La llave que abre todas las puertas
Imaginá que tenés una llave maestra que abre la puerta de tu casa, tu oficina, tu carro y tu bodega. Cómodo, ¿verdad? Ahora imaginá que perdés esa llave, o que alguien le saca una copia sin que lo sepás. De repente, esa persona tiene acceso a todo. Eso es exactamente lo que pasa cuando usás la misma contraseña en todos lados y una de esas cuentas sufre una filtración. Tu contraseña queda expuesta, y los atacantes la prueban en todos los servicios imaginables hasta que encuentran dónde más funciona.
No es un escenario hipotético. Según el informe de Verizon Data Breach Investigations Report, el 86% de los accesos no autorizados involucran credenciales robadas o débiles. Y hay más de 24 mil millones de combinaciones de usuario y contraseña circulando en la dark web, según Digital Shadows. La pregunta no es si tus credenciales están filtradas. La pregunta es cuántas veces.
Entendiendo los ataques: no todos son iguales
Cuando hablamos de ataques contra contraseñas, hay tres técnicas principales que los atacantes usan. Se parecen, pero funcionan de manera muy diferente:
Fuerza bruta: probar todas las combinaciones posibles
Es el ataque más primitivo. El atacante usa un programa que prueba todas las combinaciones posibles de caracteres hasta encontrar la contraseña correcta. Es como intentar abrir un candado de combinación probando 0001, 0002, 0003... hasta dar con el número.
Características:
Credential stuffing: reusar lo que ya se robó
Acá es donde la cosa se pone seria. El credential stuffing no intenta adivinar tu contraseña. Ya la tiene. Usa combinaciones de correo electrónico y contraseña que fueron filtradas en brechas de datos anteriores y las prueba automáticamente en otros servicios.
La lógica es simple: si usaste "MiPerro2024!" como contraseña en una tienda en línea que fue hackeada, hay una buena probabilidad de que uses la misma contraseña en tu correo, tu banco, tu sistema contable y tu red social.
Características:
Password spraying: pocas contraseñas, muchos usuarios
Es una variante inteligente. En vez de probar muchas contraseñas contra una cuenta (lo que activa el bloqueo), el atacante prueba una o dos contraseñas muy comunes contra muchas cuentas diferentes.
Por ejemplo, un atacante podría probar la contraseña "Empresa2026!" contra los 500 correos de una empresa. Si solo uno de esos empleados usa esa contraseña, el atacante ya tiene acceso.
Las contraseñas más usadas en password spraying:
El mercado negro de credenciales: la dark web
Las credenciales filtradas no se quedan en el vacío. Existe un mercado activo y organizado donde se compran y venden:
¿De dónde vienen las credenciales filtradas?
Cada vez que una empresa sufre una brecha de datos, las credenciales de sus usuarios terminan circulando. Algunos de los casos más grandes de la historia:
Y esas son solo las brechas grandes y conocidas. Cada semana se reportan nuevas filtraciones de empresas más pequeñas. Las bases de datos de usuarios de tiendas en línea, foros, servicios de streaming y aplicaciones terminan a la venta.
¿Cuánto cuestan las credenciales?
Es sorprendentemente barato:
Los atacantes no necesitan hackear tu empresa directamente. Pueden simplemente comprar credenciales y probar si funcionan.
¿Cómo funciona un ataque de credential stuffing en la práctica?
Para que entendás la escala, así es como opera un atacante profesional:
Todo este proceso está altamente automatizado. Un atacante puede probar millones de credenciales en cuestión de horas contra múltiples servicios simultáneamente.
Casos reales que demuestran el impacto
Disney+ (2019)
El mismo día que Disney+ se lanzó, miles de cuentas fueron comprometidas y puestas a la venta en la dark web por $3-11 USD cada una. Disney no fue hackeado: los atacantes usaron credential stuffing con contraseñas filtradas de otros servicios.
Zoom (2020)
Durante la pandemia, más de 500,000 cuentas de Zoom aparecieron a la venta en foros de la dark web. De nuevo, no fue una vulnerabilidad de Zoom: fue credential stuffing masivo aprovechando que millones de personas reutilizaban contraseñas.
Uber (2016)
Atacantes accedieron a un repositorio privado de GitHub usando credenciales filtradas de un desarrollador de Uber. Desde ahí obtuvieron acceso a datos de 57 millones de usuarios y conductores. Uber terminó pagando $148 millones en un acuerdo legal.
Dunkin' Donuts (2015-2019)
La cadena de restaurantes sufrió ataques de credential stuffing repetidos durante años, comprometiendo las cuentas de recompensas de clientes. Los atacantes vendían las cuentas con puntos acumulados en la dark web.
¿Cómo saber si tus credenciales están filtradas?
Antes de entrar en pánico, hay formas de verificar:
Have I Been Pwned (haveibeenpwned.com)
Creado por el investigador de seguridad Troy Hunt, este sitio te permite ingresar tu correo electrónico y ver en cuántas brechas de datos ha aparecido. Es gratuito, confiable y ampliamente recomendado por expertos en seguridad.
Cómo usarlo:
Consejo: Revisá tanto tu correo personal como el corporativo. Muchos empleados usan su correo de trabajo para registrarse en servicios externos.
Have I Been Pwned - Contraseñas
El mismo sitio tiene una sección donde podés verificar si una contraseña específica ha aparecido en alguna filtración. Esto es útil para saber si esa contraseña que usás en varios lados ya está comprometida. El sitio usa un sistema de verificación seguro que no expone tu contraseña completa.
Firefox Monitor y Google Password Checkup
Tanto Firefox como Google Chrome tienen herramientas integradas que te avisan si tus contraseñas guardadas han sido filtradas. Activá estas notificaciones.
Estrategias de protección: lo que realmente funciona
1. Usá contraseñas únicas para cada servicio
Esta es la defensa número uno contra credential stuffing. Si cada cuenta tiene una contraseña diferente, una filtración en un servicio no afecta a los demás.
"Pero no puedo recordar 50 contraseñas diferentes..."
No tenés que hacerlo. Para eso existen los gestores de contraseñas:
Solo necesitás recordar una contraseña maestra fuerte. El gestor genera y recuerda contraseñas únicas de 20+ caracteres para cada servicio.
2. Activá la autenticación multifactor (MFA) en todo
La MFA es la red de seguridad cuando tu contraseña falla. Incluso si un atacante tiene tu contraseña, necesita también tu segundo factor (un código del celular, una llave física, etc.).
Priorizá MFA en estos servicios:
Tipos de MFA, de más seguro a menos seguro:
3. Implementá políticas de contraseñas en la empresa
Si dirigís una PYME, estas políticas son esenciales:
4. Monitoreá proactivamente las filtraciones
No esperés a que un atacante use tus credenciales. Hay servicios que monitorean la dark web buscando credenciales de tu dominio:
5. Implementá controles técnicos contra ataques automatizados
Desde el lado técnico, tu empresa puede dificultar los ataques de credential stuffing:
Plan de acción inmediato para tu PYME
Hoy:
Esta semana:
Este mes:
Tus contraseñas son la primera línea de defensa, no la única
Las contraseñas por sí solas ya no son suficientes para proteger una cuenta. Pero combinadas con MFA, un gestor de contraseñas y monitoreo proactivo, la seguridad mejora exponencialmente. Un atacante que tiene tu contraseña pero se topa con MFA, rate limiting y alertas de acceso sospechoso probablemente va a pasar al siguiente objetivo más fácil.
En CiberShield ayudamos a PYMEs centroamericanas a implementar estrategias de protección de credenciales que realmente funcionan. Desde auditorías de contraseñas filtradas hasta la implementación de MFA y políticas de acceso, te acompañamos en cada paso para que tus cuentas dejen de ser un blanco fácil.
¿Querés saber si las credenciales de tu empresa ya están circulando en la dark web? Contactanos para una evaluación de exposición de credenciales y tomá el control antes de que alguien más lo haga.