Credential stuffing: por qué reutilizar contraseñas es peligroso

El credential stuffing («relleno de credenciales») es un ataque muy simple y muy eficaz: los delincuentes toman listas de correos y contraseñas filtradas de un servicio y las prueban, de forma automática, en otros servicios (bancos, tiendas, redes sociales, correo). Funciona porque muchas personas usan la misma contraseña en todas partes.

Cómo acaba una cuenta comprometida

1. Un servicio pequeño o antiguo sufre una filtración y se publican sus datos de acceso.
2. Los atacantes usan programas que prueban esos mismos correos y contraseñas en cientos de webs, a miles por minuto.
3. Si en alguna coincide, entran: no han tenido que «adivinar» nada, solo reutilizar lo que tú ya habías elegido.

Tu cuenta puede caer aunque tú no hayas hecho nada mal en esa web: el fallo fue de otro sitio donde usaste la misma clave.

Cómo protegerte

• Una contraseña distinta para cada cuenta. Es la medida más eficaz. Un gestor de contraseñas las crea y las recuerda por ti.
• Verificación en dos pasos en tus cuentas importantes. Aunque la contraseña esté filtrada, el atacante necesita además el segundo factor. Consulta cómo activarla.
• Llaves de acceso (passkeys), que sustituyen la contraseña y no se pueden reutilizar en otro sitio. Más en passkeys.
• Comprobar si tu correo aparece en filtraciones y cambiar las contraseñas afectadas. Mira cómo comprobar datos filtrados o prueba la herramienta de contraseña filtrada.

Señales de que alguien ha probado tu cuenta

• Avisos de inicio de sesión desde un dispositivo o un país desconocidos.
• Correos de «restablecer contraseña» que no has pedido.
• Intentos fallidos de acceso que no reconoces.

Si crees que ya han entrado, cambia la contraseña de esa cuenta y de todas las que compartían la misma, cierra las sesiones abiertas y sigue la guía de cuenta robada: qué hacer.