Cómo los usuarios ciegos y con baja visión administran sus contraseñas

Las contraseñas siguen siendo la herramienta de autenticación de referencia en la vida cotidiana, afirma el investigador de CISPA Alexander Ponticello. Al mismo tiempo, las contraseñas suelen ser un punto débil de seguridad: demasiado cortas, demasiado simples y reutilizadas con demasiada frecuencia. Las personas ciegas y con baja visión enfrentan un obstáculo adicional: los sistemas deben trabajar juntos de manera sensata para que los procesos de autenticación se ejecuten sin problemas.

Un nuevo estudio cualitativo con 33 participantes estadounidenses muestra cómo este grupo administra las contraseñas y dónde se necesitan mejoras. Ponticello presentó su ponencia «Cómo los usuarios ciegos y con baja visión administran sus contraseñas» en la conferencia de seguridad de TI CCS 2025 en Taipei.

Las contraseñas siguen siendo la herramienta predeterminada para la seguridad en línea, pero también son una fuente constante de problemas. Muchas personas hoy en día tienen cientos de cuentas y para las cuales deben gestionar contraseñas de diversa complejidad. Los administradores de contraseñas pueden ayudar: crean contraseñas seguras, las almacenan y completan automáticamente las credenciales de inicio de sesión: problema resuelto, ¿verdad?

Desafortunadamente, este no es el caso, porque los administradores de contraseñas están lejos de ser utilizados de manera consistente por todos. Estudios anteriores muestran que las razones principales son el miedo a una configuración complicada, la falta de confianza y la falta de conocimiento sobre las herramientas existentes. Los grupos de usuarios de mayor edad también tienden a dudar en general acerca de las herramientas digitales. El nuevo estudio de Ponticello amplía la investigación sobre la gestión de contraseñas y el uso del administrador de contraseñas a un grupo que ha recibido poca atención hasta ahora: los usuarios ciegos y con baja visión.

Uso generalizado de administradores de contraseñas en la comunidad.

Los administradores de contraseñas pueden ser una herramienta importante para que las personas ciegas y con baja visión administren sus credenciales de inicio de sesión. «De hecho, los 33 encuestados de nuestro estudio utilizaron administradores de contraseñas, a veces conscientemente, otras inconscientemente, simplemente porque su navegador o dispositivo ofrecía administrarlos», dice Ponticello. Estos incluían programas de terceros como LastPass o 1Password, así como administradores de contraseñas integrados en el navegador como el integrado en Google Chrome y administradores de contraseñas integrados en el sistema como Apple Passwords.

«Quienes eligieron intencionadamente un administrador de contraseñas generalmente se basaron en recomendaciones de conocidos o en foros relevantes. La accesibilidad jugó un papel al menos tan importante como la seguridad del sistema», explica Ponticello.

Accesibilidad real sólo si los sistemas funcionan juntos

«Dependiendo del grado de discapacidad, los usuarios ciegos y con baja visión dependen principalmente de los lectores de pantalla para utilizar sus dispositivos en la vida cotidiana. Nuestra primera intuición fue que debía ser un gran problema que los lectores de pantalla leyeran las contraseñas en voz alta en público. Sin embargo, esto resultó ser un problema menor, ya que casi todos los participantes del estudio nos dijeron que usan auriculares», dice el investigador.

Además, la emisión de voz suele ser tan rápida que los espectadores apenas pueden entender nada. Sin embargo, para que las personas ciegas y con baja visión utilicen los administradores de contraseñas sin problemas, los lectores de pantalla, los administradores de contraseñas, las aplicaciones y los sitios web deben trabajar juntos en consecuencia.

«Si uno de estos partidos fracasa, todo el sistema se desmorona», afirma Ponticello.

Lamentablemente, todavía hay programas en los que la accesibilidad parece ser una ocurrencia tardía. A más tardar, cuando es necesario instalar actualizaciones, algunos usuarios han experimentado que los programas ya no funcionan correctamente. El resultado: los usuarios sienten que no pueden depender de manera confiable de los sistemas.

Seguridad versus vida cotidiana: los compromisos son comunes

Por lo tanto, muchos de los usuarios encuestados combinan administradores de contraseñas con estrategias de respaldo. Algunos incluso mantienen listas de contraseñas en Braille, almacenadas de forma segura, pero aún analógicas.

«Eso no es intrínsecamente inseguro», explica el investigador. «Pero hay que ser consciente de quién podría tener acceso a esa lista». Otros participantes del estudio dijeron que crean intencionalmente contraseñas más simples para poder ingresarlas sin una herramienta si es necesario.

«Esto contradice las mejores prácticas de seguridad», afirma, «pero sobre todo demuestra que los sistemas deben volverse más fiables».

Lo que (todavía) queda por hacer y cómo hacerlo mejor

Según Ponticello, un problema es cómo los administradores de contraseñas generan contraseñas: las contraseñas aleatorias con caracteres especiales suelen ser difíciles de encontrar para las personas ciegas en el teclado. Una mejor alternativa serían las frases de contraseña que unen palabras completas.

«Desafortunadamente, los lectores de pantalla leen las contraseñas letra por letra en lugar de reconocer las palabras. La integración no se ha pensado hasta el final», afirma el investigador. Las tiendas de aplicaciones también podrían ayudar etiquetando claramente la accesibilidad de una herramienta e introduciendo categorías de revisión especiales para los usuarios afectados donde las personas ciegas y con baja visión puedan obtener información directamente.

«Pero lo más importante es: necesitamos accesibilidad por diseño: etiquetas correctas para los botones, un orden de enfoque sensato y flujos consistentes de lectores de pantalla».

Perspectiva

Realizar un estudio similar con usuarios alemanes podría ser el siguiente paso de Ponticello. Hasta ahora, la legislación en Estados Unidos ha sido más estricta que en la UE. Leyes como la Ley de Estadounidenses con Discapacidades han impuesto durante mucho tiempo estrictos estándares de accesibilidad para sitios web y servicios digitales allí. La UE está haciendo lo mismo con la Ley Europea de Accesibilidad (EAA).

En Alemania, esto dio lugar a la Ley de Fortalecimiento de la Accesibilidad, que debe aplicarse desde el 28 de junio de 2025. «Tengo curiosidad por ver qué efectos tendrá esto en el futuro», dice Ponticello.

El estudio de Ponticello muestra: La accesibilidad no es un lujo sino un requisito previo básico para la seguridad digital. Muchos obstáculos (desde la falta de etiquetado hasta integraciones frágiles) pueden resolverse si las plataformas, los desarrolladores y los legisladores los toman en serio.

«Necesitamos adaptar los sistemas, no las personas», afirma el investigador. «Sólo entonces todos podrán utilizar las contraseñas de forma segura».

Proporcionado por el Centro CISPA Helmholtz para la Seguridad de la Información