Cuando se le pide que cree una contraseña, ya sea para una nueva cuenta en línea o para restablecer la información de inicio de sesión de una cuenta existente, Es probable que elija una contraseña que sepa que puede recordar. Muchas personas usan contraseñas extremadamente básicas, o un más oscuro una reutilizan en muchos sitios. Nuestra investigación ha encontrado que otros, incluso los que usan contraseñas diferentes para cada sitio, tienen un método para diseñarlas, por ejemplo, basándolas todas en Una frase familiar y hacer ajustes específicos del sitio..

En todos esos casos, las personas están creando contraseñas débiles que son fáciles de adivinar, especialmente cuando se enfrentan al software automatizado de descifrado de contraseñas que puede probar miles de posibilidades por segundo. Una de las razones de esta debilidad podría ser la conexión emocional de sus usuarios con su rutina de creación de contraseña preexistente.

Los esfuerzos de seguridad cibernética a menudo alientan a las personas a elegir contraseñas más seguras, pero rara vez reconocen la idea de que las personas tienen este sentimiento de apego. Se centran en la mejora medible de la seguridad sin darse cuenta de que están tratando de persuadir a las personas para que cambien a una método menos personal.

Tendencias inseguras

Las contraseñas son claves para la ciberseguridad. Para personas y empresas. Una sola contraseña incorrecta puede otorgar a un hacker acceso a un Toda la red de computadoras y servidores de almacenamiento de datos..

Como resultado, muchos sistemas informáticos obliga a los usuarios a crear nuevas contraseñas regularmente - digamos, cada 30 o 45 días - y exija que cada contraseña contenga letras mayúsculas, números y caracteres de puntuación a pesar de que expertos federales desaconsejan Ambas prácticas. Requerir regularmente que las personas elijan nuevas contraseñas que son difíciles de recordar conduce a efectos secundarios desafortunados. La gente podría reutilizar una contraseña segura en varios sitios, o podrían escribir la nueva contraseña, que es Seguro solo si confías en las otras personas Quienes tienen acceso donde guardas el registro.

Capacitar a las personas para crear contraseñas seguras no ha hecho mucha diferencia a la seguridad general de la contraseña en internet. La gente puede no entiendo los riesgos relacionado con contraseñas débiles - aunque algunos expertos culpan defectos de carácter, estupidez or simplemente indiferencia.

El efecto de dotación

Nuestra investigación ha identificado otra explicación de por qué las personas eligen contraseñas débiles: las personas sienten que son propietarias y están emocionalmente vinculadas a la forma en que usualmente crean contraseñas. En economía del comportamiento, este tipo de respuesta se denomina efecto de dotación, en el que la gente lo sobrevalorar sus posesiones existentes que ellos No quiero intercambiarlos por otros artículos. - Incluso si el nuevo artículo es mejor o más valioso.

El efecto de dotación por lo general se aplica a los bienes físicos, y puede ayudar a explicar por qué su abuela no quiere tener una lavadora nueva para reemplazar a la que tiene décadas. Nuestra investigación sugiere que el mismo proceso psicológico influye en cómo las personas contemplan sus rutinas de creación de contraseñas.

En nuestro estudio, les preguntamos a los participantes de 419 cómo crearon sus contraseñas. Muchos usaron algo que ya sabían, como el nombre de una mascota o su propio cumpleaños. Otros habían desarrollado un sistema personal. Es posible que tengan una contraseña de root y luego la personalicen para cada sitio diferente, utilicen un patrón en el teclado o inventen una frase tonta.

Cuando investigamos con mayor profundidad, descubrimos que las personas tenían una sensación de propiedad y orgullo personal con respecto a su rutina de creación de contraseñas. Uno dijo: "Creo que mi manera es un buen sistema". Además, descubrimos que sobrevaloraron su propio método y se sintieron amenazados por las sugerencias de que tenía defectos.

Brindamos un escenario donde "Terry" se burla de la rutina de creación de contraseñas de "Pat", y luego les preguntamos a las personas cómo pensaban que reaccionaría Pat. Las respuestas más populares fueron: ponerse a la defensiva, evitar la conversación o retirarse de ella. Todo esto sugiere que una crítica de una rutina de contraseña personal fue percibida como un ataque o una amenaza.

Estas respuestas que encontramos se alinearon perfectamente con el efecto de dotación, incluida la conclusión de que los participantes trabajaron bajo la ilusión de que sus contraseñas proporcionaban más protección de la que realmente tenían.

Más que un simple hábito

El apego que la gente siente a su método de elección de contraseña es más que un simple hábito. Psicológicamente hablando, un hábito es un comportamiento guiado por un evento o un objeto en el medio ambiente, como lavarse los dientes antes de acostarse, lavarse las manos antes de las comidas o apagar las luces al salir de una habitación. A menudo son casi automáticos y no requieren una decisión deliberada o mucha reflexión. Algo que es un hábito parece ocurrir naturalmente, sin que ninguna decisión deliberada active su activación.

Elegir una contraseña es diferente. Siempre requiere cognición deliberada y con esfuerzo. Eso es lo que pone en juego el efecto de dotación. Los programas de capacitación en ciberseguridad deben incluir información no solo sobre cómo elegir contraseñas más seguras, pero también debe reconocer que los usuarios pueden sentir una sensación de pérdida sobre el cambio.

La gente no elegirá contraseñas más seguras solo porque se las pidan. Si sienten que sus métodos existentes están siendo tratados con desdén, podrían percibir eso como un ataque personal y ser incluso menos propensos a adoptar prácticas más seguras.

En su lugar, los expertos en seguridad deberían encontrar maneras de minimizar la sensación de pérdida de los usuarios, y tal vez incluso animarlos a encontrar una nueva conexión emocional con un método de elección más seguro.

Autores: Merrill Warkentin, James J. Rouse Profesor Dotado de Sistemas de Información, Universidad Estatal de Mississippi; Karen Renaud, Profesor de ciberseguridad, Universidad de Abertayy Robert otondo, Profesor Asociado de Sistemas de Información, Universidad Estatal de Mississippi

Este artículo se republica de La conversación bajo una licencia Creative Commons. Leer el articulo original.