Por qué un PIN elegido por ti es peor de lo que parece
Un PIN tiene pocas combinaciones, y lo que lo protege es que el dispositivo bloquea tras unos pocos fallos: el cajero retiene la tarjeta, la SIM pide el PUK y el móvil te hace esperar cada vez más. Esa defensa solo funciona si el PIN es imprevisible.
No suele serlo. En 2012 Nick Berry, de DataGenetics, analizó 3,4 millones de PIN de 4 cifras filtrados y encontró esto:
| PIN | Frecuencia | Por qué se elige |
|---|---|---|
| 1234 | 10,7 % | Escalera |
| 1111 | 6,0 % | Cifra repetida |
| 0000 | 1,9 % | Valor de fábrica |
| 1212 | 1,2 % | Bloque repetido |
| 7777 | 0,7 % | Cifra repetida |
Los 20 PIN más comunes sumaban más de una cuarta parte del total. Y los años de nacimiento (19xx) y las fechas en formato día-mes son el siguiente grupo que se prueba, sobre todo si el ladrón tiene tu DNI en la misma cartera.
Cuántas cifras usar
| Cifras | Combinaciones | Con 3 intentos, 1 acierto cada | Dónde se usa |
|---|---|---|---|
| 4 | 10.000 | 3.333 veces | Tarjetas bancarias, SIM |
| 6 | 1.000.000 | 333.333 veces | Móviles, apps de banca |
| 8 | 100.000.000 | 33.333.333 veces | Alarmas, cajas fuertes, PUK |
Las cifras de la tabla son con todas las combinaciones. Al descartar los PIN fáciles quedan algo menos, y el generador te dice cuántas exactamente encima de la regla.
Un PIN no aguanta un ataque sin límite de intentos
Si alguien puede probar sin bloqueo, un PIN de 6 cifras cae en menos de un segundo. Por eso la regla del medidor marca tan pocos bits: un PIN solo es seguro dentro de un dispositivo que cuenta los fallos. Para cifrar un archivo, una copia de seguridad o un gestor de contraseñas usa una frase de contraseña, nunca un PIN.
Preguntas frecuentes
¿Es seguro un PIN de 4 cifras?
Solo porque el dispositivo limita los intentos. Hay 10.000 combinaciones, y con 3 intentos antes del bloqueo quien pruebe a ciegas acierta 1 de cada 3.333 veces. El problema es que la gente no elige al azar: según el análisis de DataGenetics sobre 3,4 millones de PIN, 1234 aparecía en el 10,7 % de los casos. Con 3 intentos bien elegidos, un ladrón acertaría casi 1 de cada 5 veces.
¿Qué PIN descarta el generador?
Si dejas marcada la opción, descarta los que se prueban primero: todas las cifras iguales (0000), escaleras (1234, 9876), bloques repetidos (1212, 123123), simetrías (1221), años entre 1900 y 2099, fechas del tipo día-mes o mes-día, y una lista de los más usados, que incluye columnas del teclado como 2580.
¿Descartar PIN no reduce la seguridad?
Un poco, y lo contamos: con 4 cifras quedan menos de 10.000 combinaciones, y el medidor muestra el número exacto. A cambio quitas justo los que un atacante probaría primero, así que en la práctica sales ganando.
¿Mejor 6 cifras que 4?
Sí, siempre que el dispositivo lo admita. Pasas de 10.000 a un millón de combinaciones. Los móviles actuales piden 6 por defecto. Si el móvil admite contraseña alfanumérica, mejor todavía: una frase corta no se tarda mucho más en teclear.
¿Puedo usar el mismo PIN para la tarjeta y el móvil?
Mejor no. Si alguien ve cómo tecleas uno (en el cajero o en el autobús) y luego te roba la cartera con el móvil, tiene las dos cosas. Un PIN distinto para cada uso cuesta poco.