¿Por qué das por hecho que está filtrada?
Cada vez que un servicio sufre una brecha de seguridad, sus bases de datos de usuarios pueden acabar publicadas o vendidas: correos, nombres de usuario y contraseñas, a veces en texto plano y a veces como hashes que los atacantes intentan descifrar. El proyecto Have I Been Pwned, creado por el investigador Troy Hunt, recopila miles de millones de cuentas procedentes de cientos de filtraciones públicas. Si tienes un correo con más de unos pocos años, es muy probable que aparezca en alguna.
El problema no es solo que un servicio haya perdido tus datos. Es lo que pasa después con ellos, y ahí entran tres mecanismos que conviene entender.
¿Qué es el relleno de credenciales (credential stuffing)?
El relleno de credenciales es un ataque automatizado: se toma una lista de pares correo/contraseña robados en un sitio y se prueban, uno por uno, en otros servicios (correo, banca, tiendas, redes sociales). No hace falta adivinar nada. Si usaste la misma contraseña en el foro que fue atacado y en tu correo, el atacante entra en tu correo a la primera.
Estos ataques se hacen con herramientas que distribuyen los intentos entre muchas direcciones IP para esquivar los bloqueos. Por eso la reutilización es, con diferencia, el hábito más peligroso: convierte una filtración en un servicio irrelevante en un acceso a tus cuentas importantes. Lo explicamos con más detalle en los errores más comunes con contraseñas.
Listas combo: filtraciones recicladas
Las listas combo (combolists) son recopilaciones de credenciales de muchas filtraciones distintas, limpiadas, deduplicadas y organizadas para usarlas directamente en ataques de relleno. Circulan en foros y canales de mensajería, a menudo gratis. Muchas mezclan datos antiguos con nuevos, de modo que una contraseña que usabas hace diez años puede seguir apareciendo hoy. Por eso no basta con pensar «eso fue hace mucho»: si sigues usando esa clave (o una variante obvia, como cambiar el año del final), sigue siendo útil para un atacante.
Infostealers: el robo directo desde tu equipo
Los infostealers son programas maliciosos diseñados para robar información de un ordenador o móvil infectado: contraseñas guardadas en el navegador, cookies de sesión, datos de autocompletado, carteras de criptomonedas. Suelen llegar camuflados en programas pirateados, extensiones falsas, «cracks» de juegos o adjuntos de correo.
Su peligro es doble. Por un lado, roban todas tus contraseñas a la vez, incluso las únicas y robustas. Por otro, al llevarse las cookies de sesión, el atacante puede entrar en cuentas ya iniciadas sin necesidad de contraseña ni segundo factor. Los registros que generan (logs) se venden en mercados clandestinos y, con el tiempo, alimentan también las listas combo.
¿Cómo compruebo si mi contraseña está filtrada?
Hay dos comprobaciones distintas y complementarias: saber si tu correo aparece en filtraciones conocidas y saber si una contraseña concreta aparece en listas de claves comprometidas.
Por correo electrónico: Have I Been Pwned
En haveibeenpwned.com introduces tu dirección de correo y el servicio te dice en qué filtraciones públicas aparece y qué tipo de datos se expusieron en cada una (contraseñas, teléfonos, direcciones…). También puedes suscribirte para recibir un aviso si tu correo aparece en filtraciones futuras. Es la forma más rápida de saber qué servicios tienes que revisar.
Por contraseña: Pwned Passwords y el k-anonimato
Comprobar una contraseña es más delicado: no quieres enviarla a ningún sitio. El servicio Pwned Passwords lo resuelve con una técnica llamada k-anonimato:
- Tu navegador calcula el hash SHA-1 de la contraseña.
- Envía solo los 5 primeros caracteres de ese hash.
- El servidor devuelve todos los hashes conocidos que empiezan por esos 5 caracteres (cientos de ellos).
- Tu navegador compara localmente y te dice si hay coincidencia y cuántas veces aparece.
El servidor nunca ve la contraseña ni el hash completo, así que no puede saber cuál estabas comprobando. Tienes el proceso explicado paso a paso en nuestra guía cómo saber si tu contraseña fue filtrada, y puedes analizar la robustez de una clave en el verificador de contraseñas.
¿Qué hago si mi contraseña está filtrada? Plan por prioridades
No hace falta cambiarlo todo en una tarde. Sigue este orden, de más a menos crítico:
Plan de respuesta
- Asegura tu correo principal.Es la puerta a todo lo demás porque recibe los enlaces de restablecimiento. Ponle una contraseña nueva y única, revisa las reglas de reenvío y los dispositivos conectados, y cierra las sesiones abiertas.
- Cambia la clave en el servicio filtrado y en todos donde la repetías.La filtración en sí importa menos que la reutilización. Cada cuenta que compartía esa contraseña está expuesta.
- Activa la verificación en dos pasos.Empieza por correo, banca y gestor de contraseñas. Sigue nuestra guía de autenticación de dos factores; prefiere app o llave física al SMS.
- Revisa la actividad reciente.Inicios de sesión desconocidos, cambios de datos de contacto, pedidos o transferencias que no reconozcas. Si ves algo raro en la banca, llama a tu entidad.
- Descarta malware si hay indicios.Si varias cuentas con claves distintas se ven comprometidas a la vez, sospecha de un infostealer: limpia el equipo antes de cambiar contraseñas, o hazlo desde otro dispositivo.
- Pide ayuda si la necesitas.En España, INCIBE ofrece la línea gratuita y confidencial 017 de ayuda en ciberseguridad para particulares y empresas.
¿Cómo dejo de reutilizar contraseñas para siempre?
La única solución realista es dejar de depender de tu memoria. Nadie puede recordar cien contraseñas únicas y largas, y por eso acabamos reciclándolas. La salida tiene tres piezas:
- Un gestor de contraseñas. Genera, guarda y rellena una clave distinta para cada sitio. Solo tienes que recordar una: la maestra. Compara opciones en nuestra guía de gestores de contraseñas o, si prefieres software abierto, en cómo elegir un gestor de código abierto.
- Una contraseña maestra robusta. Una frase de varias palabras aleatorias es fácil de recordar y difícil de adivinar. Puedes crearla con el generador de frases de contraseña.
- Migración gradual. No intentes cambiarlo todo de golpe. Cada vez que inicies sesión en un sitio, aprovecha para sustituir la clave antigua por una generada. En pocas semanas habrás cubierto las cuentas que realmente usas.
Muchos gestores incluyen además un informe que te avisa de contraseñas repetidas, débiles o presentes en filtraciones conocidas (varios consultan Pwned Passwords con el mismo método de k-anonimato). Es una forma cómoda de saber por dónde empezar.
¿Y las recomendaciones oficiales?
La guía NIST SP 800-63B del Instituto Nacional de Estándares y Tecnología de EE. UU., referencia internacional en autenticación, pide a los servicios que comprueben las contraseñas nuevas contra listas de claves comprometidas y que no obliguen a cambiarlas periódicamente, sino cuando haya evidencia de compromiso. Traducido a uso personal: no hace falta rotar todas tus claves cada tres meses, pero sí actuar en cuanto sepas que una se ha expuesto. Repasamos los cambios en la actualización de NIST sobre contraseñas.
En resumen: asume que alguna de tus contraseñas antiguas ya circula por ahí, comprueba cuáles, cambia primero las que protegen tu correo y tu dinero, y elimina la reutilización con un gestor. Con eso neutralizas la gran mayoría de ataques que dependen de credenciales filtradas.