Una contraseña de 8 caracteres aleatorios con mayúsculas, minúsculas, números y símbolos aguantaría 132 años frente a un atacante bien equipado. Una de 16 letras minúsculas, también aleatorias, aguantaría 9.000 millones de años. Esa comparación, sacada de la edición de 2026 de la tabla de Hive Systems, resume la lección más útil que deja: la longitud pesa mucho más que la mezcla de símbolos.En corto: esta guía explica qué mide exactamente la tabla más compartida sobre fuerza bruta de contraseñas, por qué sus cifras son un escenario optimista para ti y qué conviene hacer con tus claves.¿Qué es la tabla de Hive Systems y qué edición es la última?Es un gráfico anual que estima cuánto tardaría un atacante en probar por fuerza bruta todas las combinaciones posibles de una contraseña, según su longitud y los tipos de caracteres que usa. A octubre de 2026, la edición más reciente es la de 2026, publicada el 14 de julio de 2026 por la empresa de ciberseguridad estadounidense Hive Systems, que la elabora desde 2020. La compañía calcula que la han visto más de 6 millones de personas.La explicación metodológica de la tabla 2026 deja claro algo que se pierde cuando la imagen circula por redes: no mide cuánto tarda alguien en adivinar tu contraseña escribiéndola en una página web. Mide otra cosa.Qué mide: el ataque fuera de líneaLa tabla supone que tu contraseña ya ha sido robada en una filtración, en forma de hash, y que el atacante la ataca en su propio hardware sin límite de intentos. Un hash es una versión cifrada en un solo sentido: los servicios no guardan tu contraseña, sino su hash. El atacante genera combinaciones, calcula el hash de cada una y busca coincidencias.Por eso Hive responde así a la duda más habitual, la de que las webs te bloquean tras varios fallos: sí, pero da igual. Ese bloqueo solo protege el formulario de acceso; con la base de datos robada no hay límites, ni alertas, ni nadie que frene al atacante.Los supuestos de la edición 2026 son estos:Hardware: 16 tarjetas gráficas NVIDIA RTX 5090 de consumo, alquiladas en la nube en dos máquinas de ocho. Hive explica que ya no encontraba equipos de doce tarjetas en alquiler y que montó lo que haría un atacante motivado.Hash: bcrypt con factor de trabajo 10 (1.024 iteraciones). Hive lo elige tras revisar filtraciones catalogadas por Have I Been Pwned, donde bcrypt ha tomado el relevo de MD5, y considerar que es un valor realista a la vista de los ajustes por defecto de herramientas populares, que van del 10 al 12.Velocidad medida: 138.675 hashes por segundo en conjunto, un 24 % más que el equipo de 2025.Un dato curioso del informe: las tarjetas para juegos baten a las de centro de datos. Según Hive, ocho NVIDIA A100, diseñadas para IA, tardarían unos 52 años en una contraseña de 8 letras mayúsculas y minúsculas; ocho RTX 5090, 23.Por qué la longitud gana a la complejidadCada carácter extra multiplica el número de combinaciones mucho más que añadir un tipo de símbolo, y la tabla 2026 lo hace visible si comparas sus celdas:Contraseña aleatoriaTiempo máximo en la tabla 20268 caracteres, todo mezclado132 años8 letras minúsculas2 semanas12 letras minúsculas21.000 años12 caracteres, todo mezclado3.000 millones de años16 letras minúsculas9.000 millones de añosDieciséis minúsculas superan a doce caracteres con todos los símbolos. Es lo mismo que recomienda el NIST en su guía de autenticación SP 800-63B-4: exige un mínimo de 15 caracteres para contraseñas que se usan como único factor y prohíbe a los servicios imponer reglas de composición, como obligar a mezclar tipos de caracteres.Y el tiempo se acorta cada año. Para la misma contraseña de 8 caracteres con todo mezclado y el mismo hash, Hive calcula 225 años en 2024, 164 en 2025 y 132 en 2026, una caída de entre un 20 % y un 25 % anual. Agotar todas las combinaciones de 8 minúsculas cuesta, según sus cálculos, unos 3.400 dólares (≈ 3.020 euros al cambio de octubre de 2026) de alquiler de tarjetas gráficas.Lo que la tabla no te diceQue sus tiempos son el mejor caso posible para ti. Hive lo reconoce en el apartado de limitaciones: supone contraseñas generadas al azar, que no han aparecido en ninguna filtración anterior y que el atacante parte de cero. Los atacantes reales empiezan por diccionarios, contraseñas ya filtradas y patrones humanos.La propia Hive lo midió este año: con una sola RTX 5090, una contraseña de ocho caracteres con mezcla de símbolos como la de su ejemplo cayó en unos tres segundos cuando el atacante probó primero las variaciones predecibles. Es decir, «P@ssw0rd2026» no tiene la fortaleza de su columna, aunque la cumpla sobre el papel.¿Y la IA? Hive sostiene que no acelera la fuerza bruta: el cálculo de hashes es un problema de potencia bruta y, en sus pruebas, el hardware de IA no rinde mejor. Lo que sí ha hecho la IA, según la empresa, es abaratar la tarea de montar y coordinar varias máquinas alquiladas, y mejorar la parte «pensante» del ataque, como encontrar la vulnerabilidad que permite robar la base de datos. Es su interpretación, no una medición, pero encaja con su metodología.Dos matices más que conviene tener presentes: el servicio que guarda tu contraseña puede usar un hash más débil que bcrypt, lo que acortaría todos los tiempos, y la tabla da por hecho que no tienes segundo factor o que el atacante lo ha esquivado.Qué hacer con tus contraseñasPrioriza la longitud: 15 caracteres o más, o una frase de varias palabras al azar.Que sea aleatoria y única. Una clave reutilizada o con palabras de diccionario cae en segundos, según Hive. Lo práctico es que la genere y la recuerde un gestor de contraseñas.Comprueba si ya se ha filtrado. Algunos gestores avisan de ello: hace años que existen herramientas para saber si la contraseña que usamos se ha filtrado en internet.Activa un segundo factor o, mejor aún, usa passkeys donde puedas: así, aunque alguien descifre tu contraseña, no le bastará para entrar.Mi lectura es que la tabla de Hive funciona mejor como argumento que como cronómetro. Sus cifras sirven para convencer a alguien de que alargue sus contraseñas; leídas al pie de la letra, transmiten una falsa tranquilidad, porque casi nadie usa claves realmente aleatorias. Si tu contraseña la has inventado tú, la columna que te corresponde es la de los tres segundos.La noticia Cuánto tarda hoy un atacante en adivinar tu contraseña: lo que dice (y lo que no) la tabla de Hive Systems fue publicada originalmente en Wwwhatsnew.com por Natalia Polo.