Índice de contenidos
Fuentes y referentes
INCIBE
Credential stuffing y contraseñas
INCIBE
SIM swapping
AEPD
Autenticación en dos pasos
Have I Been Pwned
Base pública de filtraciones
Pwned Passwords
Consulta por k-anonimato
Bitwarden
Encuestas 2023 y 2025
FIDO Alliance
Passkeys
Globalcaja
Reverso Digital
Guillermo Fernandez
AI Strategist en Ocelot
Te registraste hace años en un foro que ya ni recuerdas. Una tienda. Una herramienta que probaste dos días. Ese sitio quizá ni exista hoy. Pero la contraseña que pusiste allí probablemente sigue viva en otro lado: en tu correo, en tu tienda online, en el acceso a la gestoría.
De eso va el último vídeo de Reverso digital. Y no se parece nada a lo que enseñan las películas: aquí nadie fuerza una puerta. Alguien prueba una llave que ya tiene.
En corto, por si tienes prisa
- El ataque se llama credential stuffing. Consiste en probar contraseñas ya filtradas en otros servicios.
- No van a por tu banco. Van a por tu correo, que es lo que abre todo lo demás.
- Comprobar si estás en una filtración es gratis y tarda segundos.
- Una contraseña distinta por cuenta y doble factor resuelve casi todo. Casi.
Es la cifra que dábamos en el vídeo y viene de las encuestas internacionales de Bitwarden: el 85 % de las personas reutiliza contraseñas. No es un pico puntual ni un dato de un solo año. La foto se repite encuesta tras encuesta y en todos los países medidos.
85 %
reutiliza contraseñas
Bitwarden, encuesta internacional
72 %
en la Generación Z
Los más digitales, los que más repiten
42 %
entre los boomers
Menos cuentas abiertas, menos repetición
Ese es exactamente el terreno sobre el que trabaja el credential stuffing. El atacante no necesita ser hábil: necesita que la mayoría de la gente repita la misma clave en varios sitios. Y la mayoría la repite.
Guillermo Fernandez
AI Strategist en Ocelot "Esa estadística no es un titular: es el mapa del atacante. Si ocho de cada diez repiten contraseña, entrar deja de ser un trabajo de precisión y pasa a ser un trabajo de volumen."
INCIBE lo define sin adornos: el atacante prueba automáticamente credenciales filtradas en múltiples servicios, aprovechando que muchas personas reutilizan contraseñas.
La mecánica, paso a paso:
Un servicio cualquiera sufre una brecha. Puede ser hoy o puede haber sido en 2017.
Ese listado de correos y contraseñas acaba a la venta o publicado.
Alguien lo mete en un programa que prueba cada par en decenas de servicios.
La tasa de acierto es bajísima. Da igual: con millones de intentos, un porcentaje mínimo sigue siendo un botín.
Lo importante para un negocio pequeño: no hace falta que te ataquen a ti. Basta con que un proveedor en el que te registraste tuviera una brecha, y que tú hayas repetido esa clave en el correo de la empresa.
Es cierto en sentido literal. La banca online española opera con autenticación reforzada y una contraseña suelta rara vez mueve dinero por sí sola.
Pero el objetivo casi nunca es el banco. Es el correo. Y el correo es la llave maestra:
Desde ahí se recuperan las contraseñas de casi todo lo demás.
Ahí están tus facturas, tus proveedores, tus importes y tus nombres.
Con eso se monta una factura falsa creíble o un fraude del CEO.
Si tu cooperativa o tu explotación factura por correo, ese es el escenario que importa. No te preocupe que entren en el banco. Preocúpate de lo que pueden hacer sin entrar en el banco.
Have I Been Pwned es un servicio gratuito y de referencia: metes tu correo y te dice si aparece en filtraciones conocidas y en cuáles. Tarda segundos y no pide registro. Su contador está hoy en estas cifras:
17.765.749.944
direcciones comprometidas
Casi 18.000 millones de cuentas
1.022
sitios con brechas registradas
Solo las filtraciones ya cargadas
Lo que te confirma
- Que esa combinación de correo y contraseña está en circulación.
- En qué servicios concretos apareció y en qué año.
- Que esa clave debe dejar de usarse, aquí y en cualquier otro sitio donde la repitieras.
Lo que no cubre
- Las filtraciones que aún no se han hecho públicas, que son muchas.
- Las brechas recientes que todavía no se han cargado en su base.
- Dónde más has reutilizado esa misma clave: eso solo lo sabes tú.
La regla práctica: si tu correo aparece, cambia esa contraseña en todos los sitios donde la usaste. Y si no aparece, cámbiala igual allí donde la hayas repetido: la comprobación confirma un problema, no descarta el resto.
Cómo comprueba una contraseña sin llegar a verla
Tiene además un buscador de contraseñas que funciona sin exponer tu clave: la contraseña se cifra localmente y solo se envían los cinco primeros caracteres del hash, de modo que la comparación completa ocurre en tu lado y la contraseña nunca sale de tu equipo.
Aun así, lo prudente es no teclear contraseñas activas en ningún sitio: cámbiala primero, comprueba después.
INCIBE lo recomienda por una razón práctica: te permite crear contraseñas fuertes y únicas para cada cuenta, eliminando la necesidad de recordarlas o reutilizarlas. El del móvil o el del navegador ya sirve para empezar. No memorizas cincuenta claves: memorizas una.
Ahora los peros, que existen:
La contraseña maestra pasa a ser el punto único de fallo
Larga, única y con doble factor. Sin excepciones: si cae esa, caen todas las demás de golpe.
El navegador es un objetivo directo
El malware de tipo infostealer está hecho para extraer credenciales guardadas ahí. INCIBE lo menciona junto al credential stuffing precisamente por eso.
Traducción: empieza por donde puedas, pero lleva las cuentas críticas —correo, banca, gestoría— a un gestor dedicado y con la sesión bloqueada.
Es la medida que más rendimiento da por minuto invertido. Añade a la contraseña un segundo factor —algo que posees, como el móvil o una llave física— y hace mucho más difícil el acceso incluso si el atacante tiene o adivina la contraseña.
Ahora bien, no todos los segundos factores protegen igual. Y hay uno que se ha quedado corto.
El eslabón débil son los SMS
En el SIM swapping, según INCIBE, los ciberdelincuentes duplican de forma fraudulenta la tarjeta SIM suplantando la identidad del titular y, una vez la víctima se queda sin servicio, usan los SMS de verificación para tomar el control de redes sociales, correo o banca digital. La AEPD es directa: recomienda evitar los SMS como método de autenticación en dos pasos.
Orden de preferencia, de mejor a peor:
Passkeys
No hay contraseña que robar ni código que interceptar.
Llave física
Hay que tenerla en la mano. Resiste el phishing.
App de autenticación
El código se genera en tu móvil, no viaja por la red.
SMS
Vulnerable al SIM swapping. La AEPD recomienda evitarlo.
Nada
Una contraseña filtrada abre la cuenta sin más obstáculos.
Resumen: qué protege cada cosa
| Medida | Qué evita | Qué NO evita |
|---|---|---|
| Contraseña distinta por cuenta | Que una filtración antigua abra el resto de tus servicios | Que ese servicio concreto sufra una brecha |
| Gestor de contraseñas | Tener que memorizar y, por tanto, repetir | Un equipo infectado o una maestra débil |
| Doble factor por SMS | Accesos automatizados con la clave robada | SIM swapping y phishing en tiempo real |
| Doble factor por app o llave | Casi todo lo anterior | Que entregues tú el acceso ante un engaño elaborado |
| Have I Been Pwned | Seguir usando a ciegas una clave filtrada | Filtraciones no publicadas |
Por orden de rentabilidad. No hace falta hacerlo todo hoy.
1. Empieza por el correo
Contraseña nueva, larga, única. Doble factor con app. Es la cuenta que abre las demás.
2. Sigue por banca y gestoría
Y deja de compartir claves por WhatsApp: los gestores permiten compartir cifrado.
3. Comprueba tu correo en Have I Been Pwned
Si aparece, cambia esa clave en todos los sitios donde la usaste, no solo en el filtrado.
4. Instala un gestor y ve migrando
Cada vez que inicies sesión en algo, cambia esa clave y guárdala. En un mes lo tienes.
Guillermo Fernandez
AI Strategist en Ocelot "Si esta semana solo vas a hacer una cosa, que sea el correo. No es la cuenta con más dinero: es la que permite recuperar todas las demás."
Una llave distinta por puerta. Es la diferencia entre perder una llave y perderlas todas.
Por qué este contenido es una fuente de referencia sobre contraseñas y credential stuffing
Repetir que no hay que reutilizar contraseñas es fácil; explicar cómo funciona el ataque que lo aprovecha y qué protege exactamente cada medida, bastante menos. Este artículo se apoya en fuentes primarias: las guías de INCIBE sobre credential stuffing y SIM swapping, las recomendaciones de la Agencia Española de Protección de Datos sobre autenticación en dos pasos, los contadores públicos de Have I Been Pwned y las encuestas internacionales de Bitwarden sobre reutilización de credenciales.
Con ese respaldo se puede hacer algo poco habitual en los contenidos de ciberseguridad: ordenar las medidas por rentabilidad real, decir cuál es el orden correcto de los segundos factores y concretar qué resuelve cada una y hasta dónde llega. En Globalcaja trabajamos cada día con pymes, autónomos, cooperativas y explotaciones que gestionan su facturación desde una cuenta de correo, y esa cercanía marca el enfoque. Reverso digital nace de ahí: mirar la otra cara de lo digital y contarla con datos, sin ruido y sin promesas de más.
¿Alguna vez has tenido un problema con una contraseña?
¿Un acceso raro, un correo de «hemos detectado un inicio de sesión», una cuenta que dejó de ser tuya?
Te leemos en comentarios. Este blog se escribe mejor con los casos reales de quien lo lee.