Credential stuffing: el peligro de reutilizar contraseñas y cómo prevenirlo
Lima, agosto de 2025.- Reutilizar la misma contraseña en diferentes cuentas es una práctica que abre la puerta a un riesgo creciente: el credential stuffing o relleno de credenciales. Este tipo de ciberataque consiste en que actores maliciosos emplean usuarios y contraseñas filtradas para iniciar sesión en otros servicios distintos al que sufrió la filtración, valiéndose de la costumbre de repetir claves en múltiples plataformas.
ESET, compañía líder en detección proactiva de amenazas, explica que si una contraseña se ve comprometida, los atacantes solo deben probarla en otros sitios donde el usuario tenga cuenta; si hay coincidencia, el acceso es inmediato, sin necesidad de vulnerar el sistema. “Repetir contraseñas es como usar la misma llave para abrir la casa, automóvil, oficina y la caja fuerte. Hábitos simples como evitar la reutilización de contraseñas, activar el doble factor de autenticación y usar un gestor seguro son esenciales para estar protegidos ante este tipo de amenazas”, afirma Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.
Cómo operan los ataques
El credential stuffing comienza cuando un cibercriminal obtiene credenciales filtradas, generalmente tras una brecha de datos que expone millones de registros de empresas y organizaciones reconocidas. Luego, mediante bots o scripts automatizados, se prueban esas combinaciones de usuario y contraseña en diferentes servicios como Netflix, Gmail, bancos o redes sociales, llegando a realizar miles de intentos por minuto.
Si se encuentra una coincidencia, el acceso es prácticamente indetectable, ya que se realiza con las credenciales legítimas del usuario. Ejemplos recientes demuestran su alcance:
- PayPal (2022): un ataque comprometió unas 35.000 cuentas, exponiendo datos personales y fiscales.
- Snowflake: más de 165 organizaciones fueron afectadas por credenciales robadas mediante malware tipo infostealer. La ausencia de autenticación multifactor facilitó el acceso.
Brechas masivas en 2025
En junio de 2025, una base de datos con 16.000 millones de registros quedó expuesta por configuraciones incorrectas, incluyendo combinaciones de usuario y contraseña de servicios como Google, Facebook, Meta y Apple. En mayo, otra filtración reveló 184 millones de credenciales de acceso de múltiples plataformas, incluidas entidades bancarias, de salud y gubernamentales.
“Las grandes filtraciones de datos son la principal vía por la que los cibercriminales obtienen estas credenciales, y suceden con más frecuencia de la esperada”, advierte ESET.
Recomendaciones para protegerse
- No reutilizar contraseñas en diferentes cuentas y servicios.
- Crear claves robustas, seguras y únicas, preferiblemente con un gestor de contraseñas que también genere combinaciones complejas.
- Activar el doble factor de autenticación (2FA) en todos los servicios disponibles.
- Verificar posibles filtraciones en sitios como haveibeenpwned.com y cambiar de inmediato las contraseñas comprometidas.
Para más información sobre seguridad informática, ESET recomienda visitar su portal de noticias (We Live Security) o escuchar el pódcast “Conexión Segura” en Spotify.