Un jueves cualquiera llegan cuatro avisos de «inicio de sesión sospechoso» de servicios que no tocas hace meses, y un código que no pediste. No te atacaron a ti en particular: lo más probable es que una contraseña tuya, filtrada de un sitio viejo, se esté probando de forma automática en cientos de servicios. Eso es el credential stuffing, y se defiende con medidas concretas.
Qué es exactamente el credential stuffing
Cuando un sitio sufre una filtración, lo que se escapa suele ser una lista de pares: dirección de correo y contraseña. Quien obtiene esa lista no necesita criptografía ni adivinanzas: prueba esos mismos pares, de forma masiva y automatizada, en cientos de servicios donde la persona quizá tenga cuenta: correo, banca, tiendas, redes.
Conviene distinguirlo de sus vecinos: la fuerza bruta adivina contraseñas una tras otra y el phishing te engaña para que las entregues tú. El credential stuffing no adivina ni engaña: reutiliza. Su tasa de éxito es baja por intento pero rentable a escala, y funciona por una sola razón: mucha gente repite la misma contraseña en varios sitios. Si cada cuenta tuviera una distinta, la lista filtrada no serviría fuera del sitio de origen.
Por qué tu dirección de correo es la pieza que une todo
La contraseña es la mitad del par; la otra mitad, tu correo, permite cruzar bases de datos. Si usas la misma dirección en el banco, en la tienda y en un foro de 2013, esa dirección es la llave de unión entre filtraciones muy distintas.
Reducir esa superficie es sencillo: reserva tu dirección principal para lo que importa —correo, banco, trabajo— y usa un alias o un buzón desechable para registros de bajo valor: descargas, pruebas gratuitas, foros, cupones. Si ese sitio de una sola visita filtra su base, lo filtrado no se enlaza con tu vida financiera. No es invulnerabilidad, pero corta el hilo entre un descuido viejo y una cuenta seria.
Cómo se nota que lo están intentando
Casi siempre hay señales antes del daño, y casi todas llegan por correo:
- Avisos de inicio de sesión, de dispositivo nuevo o de un país donde no estuviste.
- Peticiones de código de segundo factor repetidas durante minutos: es la fatiga de MFA, y significa que alguien ya tiene tu contraseña y espera que aceptes por cansancio.
- Correos de restablecimiento que no pediste, o un bloqueo repentino por «demasiados intentos».
- Cargos pequeños e inexplicables en una tarjeta guardada.
- Reglas de bandeja o reenvíos que no creaste —el truco favorito para seguir leyendo tu correo sin volver a entrar— y aplicaciones conectadas que no reconoces.
Las dos últimas no llegan solas: hay que ir a mirarlas. Un aviso aislado puede ser ruido; tres en una semana, no.
Primera medida: una contraseña distinta en cada sitio
Todo lo demás es secundario. La reutilización es la vulnerabilidad que se explota: eliminarla desactiva el ataque entero, porque la lista filtrada deja de abrir puertas ajenas. Nadie memoriza cincuenta contraseñas únicas, así que la respuesta práctica es un gestor con una clave maestra larga que solo exista en tu cabeza. Al crear una cuenta, deja que la contraseña se genere sola: un generador de contraseñas seguras produce una cadena aleatoria que no estará en ninguna lista.
Segunda medida: un segundo factor que sobreviva a la filtración
Si la contraseña ya está en manos de otro, el segundo factor es lo único que queda en pie, y no todos valen igual. Las llaves de acceso (passkeys) son las más resistentes: están atadas al dominio real y no se pueden entregar a un sitio falso. Después van las aplicaciones de códigos TOTP, seis dígitos que cambian cada treinta segundos y se generan en tu dispositivo sin red de por medio. El SMS es el más débil: viaja por una red que no controlas y es vulnerable al intercambio de SIM. Aun así, mejor que nada. Si nunca configuraste una, prueba primero el flujo con nuestro generador de códigos TOTP en línea para entender cómo funciona, y después activa la app autenticadora en el correo, el banco y las cuentas con medios de pago. Guarda los códigos de recuperación aparte.
Tercera medida: saber qué se filtró ya
No puedes priorizar lo que no conoces. Revisa qué filtraciones incluyen tus direcciones y, sobre todo, qué contraseñas de ellas seguiste usando. Ese es el conjunto peligroso: no todas tus cuentas, sino las que comparten una clave que ya circula. Rota primero esas, por orden de valor. Nuestra guía sobre cómo saber si tu contraseña fue filtrada explica cómo comprobarlo sin entregar tus datos a sitios dudosos.
Si ya ocurrió: el orden de la limpieza
Empieza por la cuenta de correo, porque controla el restablecimiento de todas las demás: si sigue comprometida, cualquier otro arreglo se deshace solo. Cambia esa contraseña por una única, cierra las sesiones activas y revoca tokens y contraseñas de aplicación.
Después audita la configuración, donde se esconde la persistencia: correos y teléfonos de recuperación que no reconozcas, reglas de reenvío y filtros que archiven avisos de seguridad, aplicaciones de terceros y delegaciones de acceso. Revisa el segundo factor, por si quedó un dispositivo extra, y regenera los códigos. Luego repite el cambio en cada sitio donde usaste esa contraseña y vigila tus tarjetas unas semanas.
El largo le gana a la sopa de símbolos
La regla de «ocho caracteres con mayúscula, número y símbolo» produce claves cortas, difíciles de recordar y fáciles de atacar. Cada carácter adicional multiplica el espacio de búsqueda mucho más que cambiar una letra por un símbolo: una frase larga es más fuerte y más usable. Aun así, contra el credential stuffing la longitud es secundaria, porque una contraseña de treinta caracteres reutilizada en seis sitios cae igual que una corta. La unicidad manda. Para las tres o cuatro claves que sí necesitas memorizar arma una frase de contraseña larga y memorable; para el resto, que trabaje el generador de contraseñas aleatorias.
Si administras un sitio, del otro lado del mostrador
Quien opera un servicio pequeño puede encarecer estos intentos. Limita la frecuencia de inicios de sesión por IP y por cuenta, con bloqueos progresivos. Contrasta las contraseñas nuevas contra listas públicas de claves filtradas. Ofrece segundo factor y hazlo obligatorio para el personal interno. Vigila patrones anómalos, como muchas cuentas fallando desde el mismo origen. Y nunca reveles cuál de los dos datos estaba mal.
Un orden de prioridades realista
Si hoy tienes una hora, gástala así: primero la cuenta de correo principal, con contraseña única y segundo factor fuerte. Segundo, todo lo que mueva dinero: banco, tarjetas, plataformas de pago. Tercero, cada sitio donde sepas que repetiste una contraseña. Cuarto, el resto, sin prisa. Y una advertencia honesta: nada de esto protege una cuenta cuyo buzón de recuperación sigue desprotegido. Si ese buzón cae, el resto cae detrás.
