La seguridad digital se enfrenta a una de sus amenazas más silenciosas y efectivas: el credential stuffing o “relleno de credenciales”. Este tipo de ataque aprovecha un hábito muy común entre los usuarios: reutilizar la misma contraseña en distintos servicios. La práctica, aunque cómoda, abre la puerta a que un cibercriminal, con una sola filtración, pueda acceder a múltiples cuentas personales o corporativas.
El fenómeno no es nuevo, pero su impacto crece en la medida en que aumentan las brechas de datos y se expanden las superficies digitales. Empresas como ESET, especialistas en ciberseguridad, advierten que se trata de un problema de primer orden para individuos, compañías y hasta infraestructuras críticas.
Cómo funciona el credential stuffing
El ataque comienza con la obtención de credenciales filtradas en una brecha de seguridad. Estas filtraciones pueden involucrar millones de combinaciones de usuario y contraseña que quedan expuestas en foros clandestinos, repositorios inseguros o bases de datos mal configuradas.
Con esos datos en mano, los atacantes emplean bots y scripts automatizados para probar las credenciales en diferentes servicios: desde correo electrónico hasta redes sociales, plataformas de streaming, bancos y portales gubernamentales. La automatización permite realizar miles de intentos por minuto, lo que convierte el proceso en una operación masiva y de bajo costo para los ciberdelincuentes.
Si una coincidencia se confirma, el acceso a la cuenta se realiza de manera legítima. Esto significa que no hay señales de actividad sospechosa evidentes, como repetidos intentos fallidos de inicio de sesión. Por esa razón, detectar un ataque de este tipo es mucho más difícil que enfrentar técnicas clásicas como el phishing o la fuerza bruta.
Casos que evidencian el impacto
El credential stuffing no es una hipótesis académica, sino una amenaza que ya afectó a grandes organizaciones:
- PayPal (2022): Entre el 6 y el 8 de diciembre de ese año, la empresa detectó un ataque de credential stuffing que comprometió unas 35.000 cuentas. Los atacantes accedieron a información sensible como nombres, direcciones, fechas de nacimiento y números de identificación tributaria.
- Snowflake (2024): Más de 165 organizaciones resultaron afectadas cuando cibercriminales accedieron a cuentas de clientes de esta plataforma en la nube. El ataque no vulneró la infraestructura central de la empresa, pero se basó en credenciales robadas por malware tipo infostealer y en la ausencia de autenticación multifactor.
Estos casos muestran cómo incluso empresas de primer nivel son vulnerables cuando sus clientes o empleados reutilizan contraseñas antiguas o débiles.
Filtraciones masivas de datos
El ecosistema que alimenta el credential stuffing se sostiene en las filtraciones. Según el investigador de seguridad Jeremiah Fowler, en mayo de 2025 quedaron expuestas 184 millones de credenciales pertenecientes a usuarios de todo el mundo. Los datos incluían accesos a servicios de correo electrónico, redes sociales como Facebook, Instagram y Snapchat, videojuegos como Roblox, productos de Apple y Google, así como información financiera y gubernamental.
Un mes después, en junio de 2025, se detectó que repositorios mal configurados alojaban bases de datos con más de 16.000 millones de registros. Aunque la exposición fue temporal, los datos incluyeron combinaciones de usuario y contraseña que pudieron ser copiadas por actores maliciosos.
Estos números muestran la magnitud del problema: cada nueva filtración aumenta el arsenal disponible para los atacantes y multiplica el riesgo para quienes usan contraseñas repetidas.
Por qué es tan efectivo
El éxito del credential stuffing se explica en gran medida por el comportamiento del usuario promedio. Un estudio de Google y Harris Poll ya señalaba en 2019 que 65% de los usuarios reutiliza la misma contraseña en varias cuentas. Esta tendencia se mantiene en la actualidad debido a la dificultad de recordar múltiples credenciales complejas.
“Repetir contraseñas es como usar la misma llave para abrir la casa, el automóvil, la oficina y la caja fuerte”, explica Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica. “Hábitos simples pueden marcar la diferencia: evitar la reutilización de contraseñas, activar el doble factor de autenticación y usar un gestor seguro son prácticas esenciales para estar protegidos”.
Consecuencias para usuarios y empresas
El robo de credenciales mediante este método tiene consecuencias directas:
- Acceso a información personal y financiera. Una cuenta comprometida puede permitir transferencias bancarias fraudulentas, compras en línea no autorizadas o robo de identidad.
- Riesgo corporativo. Si un empleado utiliza la misma contraseña en cuentas personales y laborales, un atacante puede escalar fácilmente hacia sistemas empresariales críticos.
- Exposición secundaria. Al acceder a correos electrónicos, los atacantes pueden restablecer contraseñas de otros servicios vinculados, multiplicando el alcance del ataque.
- Pérdida de reputación y costos legales. Para las empresas, una filtración derivada de credential stuffing puede implicar demandas, multas regulatorias y daño a la confianza de clientes y socios.
Cómo protegerse
Frente a esta amenaza creciente, los especialistas recomiendan una serie de medidas prácticas:
- No reutilizar contraseñas. Cada servicio debe tener una clave única.
- Usar contraseñas robustas y complejas. Deben combinar letras mayúsculas, minúsculas, números y símbolos.
- Implementar un gestor de contraseñas. Estas herramientas almacenan credenciales de manera cifrada y generan contraseñas seguras automáticamente.
- Activar la autenticación multifactor (MFA). Aunque una contraseña sea robada, el acceso quedará bloqueado si no se dispone del segundo factor.
- Verificar si una contraseña fue filtrada. Plataformas como Have I Been Pwned permiten comprobar si un correo electrónico está vinculado a una brecha conocida.
- Mantenerse informado. Las noticias sobre filtraciones masivas suelen incluir listas de servicios afectados; cambiar la contraseña de inmediato puede reducir el riesgo.
Una amenaza en evolución
El credential stuffing es solo una pieza de un panorama más amplio. Los ciberdelincuentes combinan técnicas: phishing para robar credenciales frescas, malware para capturar pulsaciones de teclado, y bases de datos filtradas para automatizar accesos. Además, la irrupción de la inteligencia artificial generativa permite crear bots más sofisticados que imitan patrones de tráfico legítimo, dificultando aún más la detección.
Al mismo tiempo, los defensores también evolucionan. Muchas empresas implementan soluciones de detección basadas en IA que analizan patrones de inicio de sesión, velocidad de los intentos y ubicación geográfica. Sin embargo, la primera línea de defensa sigue siendo el usuario y sus hábitos digitales.
Hacia una cultura de seguridad digital
La lucha contra el credential stuffing exige un cambio cultural. Recordar múltiples contraseñas fuertes es un reto, pero herramientas como los gestores y la autenticación biométrica ofrecen alternativas prácticas. En el entorno empresarial, las políticas de seguridad deben ser claras: prohibir la reutilización de contraseñas, exigir MFA y capacitar regularmente al personal.
En un mundo donde la identidad digital es tan valiosa como la identidad física, proteger las credenciales se convierte en un asunto de responsabilidad individual y colectiva. Como subrayan los expertos de ESET, “cerrar la puerta con llave” en el mundo digital es tan importante como hacerlo en el mundo físico.
