Gestores de contraseñas en 2026: qué pasó con LastPass y qué usar hoy

Publicada originalmente en 2015, cuando recomendaba LastPass. Reescrita y actualizada el 22 de octubre de 2026: desde entonces hubo brechas de seguridad y el panorama cambió.

En 2015 escribí que LastPass me había cambiado la vida, y la idea de fondo sigue en pie: usar un gestor de contraseñas es mejor que memorizar o repetir claves. Lo que cambió es la recomendación concreta. Aquí te cuento qué pasó, sin dramatizar, y cómo elegir un gestor hoy.

Qué pasó con LastPass

Esto es lo que dicen los avisos de la propia empresa y la prensa especializada:

• Agosto de 2022: LastPass informó de un incidente en su entorno de desarrollo. En ese momento aseguró que no se habían tocado datos de clientes.
• 30 de noviembre de 2022: avisó de un segundo incidente, que usó información robada en el primero.
• 22 de diciembre de 2022: el director general, Karim Toubba, confirmó que los atacantes copiaron respaldos con datos de clientes, incluidas copias cifradas de las bóvedas. Según la empresa, el contenido de la bóveda (usuarios, contraseñas, notas) estaba cifrado y solo se abre con una clave derivada de tu contraseña maestra. Otros datos, como las direcciones de los sitios guardados, no estaban cifrados, según reportó la prensa.
• Diciembre de 2025: la autoridad británica de protección de datos (ICO) multó a LastPass UK con 1,2 millones de libras por no aplicar medidas de seguridad suficientemente robustas. Afectó a unos 1,6 millones de usuarios en el Reino Unido.

La empresa advirtió que, con una contraseña maestra débil, los atacantes podían intentar adivinarla por fuerza bruta. También hay investigaciones que vinculan el robo de bóvedas con robos de criptomonedas; LastPass dice que no le consta evidencia concluyente de esa relación. Es un tema en el que conviene ser prudente: no hay prueba pública de que todas las bóvedas hayan sido abiertas, pero sí de que la empresa admitió que se copiaron respaldos y de que un regulador la sancionó.

Mi lectura práctica: si tienes cuenta en LastPass y tu contraseña maestra es larga y única, tu riesgo es menor, pero si es corta o la reutilizaste, cambia las contraseñas de tus cuentas importantes, empezando por correo y banco. Y si estás eligiendo desde cero, hoy hay alternativas igual de buenas sin ese historial.

Cómo comparar un gestor

Cuatro criterios me sirven:

1. Cifrado y derivación de clave. Que cifre en tu dispositivo (modelo de "conocimiento cero") y que haga costoso adivinar tu contraseña maestra.
2. Código abierto o auditorías independientes. Poder revisar el código o saber que alguien externo lo revisa.
3. Precio. Gratis o de pago, y qué incluye cada plan.
4. Doble verificación (2FA) y passkeys. Que proteja tu cuenta con un segundo paso y que guarde passkeys.

Cuatro opciones vigentes

Bitwarden. Código abierto (clientes con licencia GPL y servidor con AGPL; algunas funciones para empresas tienen una licencia aparte) y con auditorías de terceros, según su centro de ayuda. Usa por defecto PBKDF2 con 600 000 iteraciones y permite cambiar a Argon2id. El plan gratuito incluye contraseñas ilimitadas en todos tus dispositivos; Premium (códigos de verificación integrados, adjuntos cifrados, acceso de emergencia) cuesta pocos dólares al año, por ahora unos 20 según lo que reportó la prensa tras su alza de precio. Confirma la cifra en su página. Mi opción para empezar.

1Password. Sin plan gratuito; el individual cuesta desde 2,99 dólares al mes con pago anual, según su página oficial. Es de código cerrado, así que dependes de su reputación. Muy pulido y cómodo para familias o equipos. Si no te importa pagar, es una buena opción.

El gestor del navegador o del sistema (Google Password Manager, iCloud Contraseñas). Ya viene incluido, es gratuito y sincroniza passkeys: Google en Android y Chrome, Apple en iPhone, iPad y Mac. Es la opción más fácil para quien no usa nada hoy y mucho mejor que repetir claves. La desventaja es la dependencia de un solo ecosistema: si mezclas Android con Mac, se complica.

KeePassXC. Gratuito y de código abierto para Windows, macOS y Linux. Guarda todo en un archivo .kdbx que controlas tú, cifrado con AES, Twofish o ChaCha20 y con Argon2 para derivar la clave. Genera códigos TOTP e integra con el navegador. A cambio, la sincronización entre dispositivos y el uso en móvil dependen de ti (el archivo y una app compatible de terceros). Para quien quiere control total y no le asusta configurar.

| | Código abierto | Precio | Nube | |—|—|—|—| | Bitwarden | Sí (GPL/AGPL) | Gratis / Premium de pago | Sí | | 1Password | No | De pago | Sí | | Gestor del navegador | No | Incluido | Sí, en tu cuenta Google o Apple | | KeePassXC | Sí | Gratis | No, tú sincronizas el archivo |

La contraseña maestra: la única que memorizas

Esta es la clave que protege todo lo demás. Qué hacer:

• Que sea larga, no rara. Una frase de cuatro o cinco palabras sin relación entre sí es más fuerte y más fácil de recordar que P@ssw0rd!. La guía de identidad digital del NIST (SP 800-63B, revisión 4) recomienda longitud sobre reglas de composición y desaconseja cambiar contraseñas por rutina sin motivo.
• Única. No la uses en ningún otro sitio.
• Un respaldo en papel, guardado en casa. Sin etiquetarlo con el nombre del gestor. Esto de 2015 lo sigo recomendando.

Para el resto de cuentas, deja que el gestor genere claves largas y aleatorias, y no las memorices.

Doble verificación (2FA)

Activa un segundo paso en correo, banco y el propio gestor. Mejor una app de códigos o una llave física que mensajes SMS. Aegis (Android) y 2FAS (Android e iOS) son gratuitas y de código abierto, o puedes usar el generador de códigos del gestor si tu plan lo incluye. No pongas todo en el mismo lugar: si los códigos y las contraseñas viven en la misma app, un acceso comprometido abre ambas puertas.

Passkeys: el siguiente paso

Una passkey sustituye la contraseña por un par de claves: la privada se queda en tu dispositivo o gestor y el sitio solo guarda la pública. Se desbloquea con huella, rostro o PIN y, como no se escribe, no se puede entregar en una página falsa. Se basa en estándares de la FIDO Alliance. No todos los sitios las aceptan todavía, así que por ahora conviven con las contraseñas. Donde puedas, actívalas. Bitwarden, 1Password, Google y Apple pueden guardarlas.

Por dónde empezar esta semana

1. Elige un gestor (si dudas, Bitwarden o el que ya trae tu teléfono).
2. Crea una contraseña maestra larga y única, y guárdala en papel.
3. Activa la doble verificación en el gestor.
4. Cambia primero las claves de correo, banco y redes sociales.
5. Sube el resto poco a poco, según vayas entrando a cada sitio.

Seguir leyendo

Más notas como esta en la categoría Apps. Y si necesitas ayuda para proteger un sitio WordPress o una tienda con buenas prácticas de acceso, escríbeme desde la página de contacto.