Cómo recuperar un ZIP con contraseña olvidada en 2026

Te tiraste de cabeza a abrir un ZIP que mandaste en 2019, o uno que recibiste de un cliente, o el backup de fotos viejas — y la contraseña no aparece. La buena noticia: en 2026 hay varias formas reales de recuperarla. La mala: depende de qué tipo de ZIP es y qué pista tenés.

Primero: ¿qué tipo de ZIP tenés?

Hay dos familias de cifrado ZIP, y la dificultad de crackear cada una difiere en órdenes de magnitud:

• ZIP "legacy" (ZipCrypto) — Es el cifrado clásico de WinZip pre-2003. Hoy se considera roto: con un ataque de "plaintext conocido" (si tenés UNO solo de los archivos descomprimidos), se rompe en segundos. Sin plaintext, hashcat con GPU prueba miles de millones por segundo.
• ZIP AES-128 o AES-256 — Estándar moderno. Sin pista, requiere fuerza bruta pura. Una RTX 3090 prueba ~6 millones de claves/seg. Con una clave de 8 caracteres alfanuméricos: ~6 días. Con 10 caracteres: décadas.

Para identificar tu tipo: zipinfo -v archivo.zip en Linux/Mac, o abrirlo con 7-Zip y mirar la columna "Method" → si dice "ZipCrypto" es legacy, si dice "AES-256" es moderno.

Método 1: Pista personal + diccionario inteligente

El método con mayor ratio de éxito en la práctica. Si recordás fragmentos (un nombre, una fecha, una palabra) podés generar un diccionario chico (~10K combinaciones) probando variaciones:

hashcat -m 17225 -a 0 hash.txt mi_diccionario.txt

Donde 17225 es el modo para ZIP AES y 17220 para ZipCrypto. Para extraer el hash usá zip2john archivo.zip > hash.txt.

Método 2: Mask attack (sabés la estructura)

Si recordás que la clave era "algo+4 dígitos+!" (común patrón humano), un mask attack lo encuentra rápido:

hashcat -m 17225 -a 3 hash.txt ?l?l?l?l?d?d?d?d?s

Donde ?l=lowercase, ?d=digit, ?s=symbol. Para 4 letras + 4 dígitos + símbolo: ~1 hora en GPU media.

Método 3: Brute force puro

Solo viable si la clave es corta (≤8 caracteres) o pobre (solo lowercase). Para AES-256 con 10+ chars random: matemáticamente inviable sin años de cómputo.

Método 4: Diccionario rockyou + reglas

Si la clave fue elegida por humano (no random), hay alta chance que esté en rockyou.txt (14 millones de claves filtradas históricamente):

hashcat -m 17225 -a 0 hash.txt rockyou.txt -r best64.rule

¿Cuándo NO vale la pena hacerlo solo?

• El archivo vale más que tu tiempo (proyecto laboral, contratos, fotos irreemplazables)
• No tenés GPU (CPU solo es 100× más lento)
• No tenés ni idea de la estructura de la clave
• Probaste 2-3 días sin resultado

Notas finales

Si el ZIP es viejo (pre-2003) y usaste WinZip o el zip stock de Windows XP, casi seguro es ZipCrypto y se puede romper en horas con una pista mínima. Si lo cifraste con 7-Zip o WinRAR moderno con AES-256 y clave random de 16+ chars: olvidate, no hay método práctico. La criptografía funciona.

Más guías de recuperación en nuestro blog · Wallets cripto en wallet-recovery.