El robo de credenciales no es una amenaza nueva. Lleva más de una década evolucionando y hoy se mantiene como uno de los principales motores del fraude digital en Latinoamérica. La digitalización acelerada y el aumento de servicios en línea amplifican el problema. Las cifras lo confirman. Durante el último año se reportan más de 2.6 millones de credenciales comprometidas en la región, según un informe de SOCRadar en 2025. ESET advierte que Brasil, México y Perú están entre los países más afectados por malware especializado en robo de información. El impacto no se limita a una cuenta aislada. El acceso a un correo electrónico puede abrir la puerta a servicios bancarios, plataformas corporativas, información financiera e incluso historiales médicos.
Elnur | Dreamstime.com
La compañía de ciberseguridad identifica tres grandes metodologías que explican cómo los atacantes obtienen contraseñas: ingeniería social, malware especializado y ataques a organizaciones que exponen bases de datos.
Ingeniería social: el engaño sigue siendo efectivo
La ingeniería social continúa como uno de los métodos más utilizados. El objetivo es simple. Engañar a la víctima para que entregue voluntariamente sus datos de acceso.
El phishing encabeza la lista. Los atacantes envían correos electrónicos o mensajes por aplicaciones de mensajería en los que se hacen pasar por bancos, entidades públicas o empresas reconocidas. El mensaje apela a la urgencia. Simula un pago rechazado, un problema con una cuenta o una reserva cancelada. Incluye un enlace que dirige a un sitio falso que imita la identidad visual de la organización legítima.
El usuario introduce su nombre de usuario y contraseña sin sospechar que está frente a una página fraudulenta. En cuestión de segundos, sus credenciales quedan en manos de ciberdelincuentes.
Otra variante gana terreno. Sitios falsos que aparecen como anuncios patrocinados en buscadores. El atacante paga por visibilidad y logra que su página fraudulenta se posicione por encima del resultado legítimo. Incluso usuarios precavidos pueden caer en la trampa si confían en que el primer resultado es auténtico.
Malware que roba datos en segundo plano
No todos los robos requieren interacción directa. En muchos casos el usuario ya tiene el dispositivo comprometido. El malware actúa en silencio.
Los llamados infostealers, keyloggers y spyware recolectan información de forma continua. Extraen contraseñas almacenadas en navegadores, datos de autocompletado, credenciales de aplicaciones y sesiones activas. El problema es acumulativo. El programa malicioso sigue recolectando datos mientras el equipo permanece infectado.
Dentro de este ecosistema destacan los troyanos bancarios. Se enfocan en credenciales de acceso a plataformas financieras. Funcionan mediante ventanas falsas que capturan los datos justo cuando el usuario los introduce. Esta amenaza supera 650 mil detecciones únicas durante 2025 en la región. De ellas, 110 mil corresponden a una misma familia: Guildma, activa desde hace años en América Latina.
ESET subraya que este tipo de malware no se limita a una sola cuenta. Una vez dentro del dispositivo, el alcance puede extenderse a múltiples servicios, lo que multiplica el daño potencial.
Filtraciones en organizaciones y reutilización de contraseñas
El tercer gran vector no depende del descuido directo del usuario. Se produce cuando una organización sufre una brecha de seguridad y su base de datos queda expuesta.
En los escenarios más críticos, las filtraciones incluyen credenciales completas en texto plano o con mecanismos de protección débiles. Los atacantes pueden reutilizarlas de inmediato. Incluso cuando las contraseñas no se filtran directamente, la exposición de correos electrónicos y nombres de usuario resulta valiosa.
Con esa información los ciberdelincuentes ejecutan ataques de relleno de credenciales o fuerza bruta. Aprovechan que muchas personas reutilizan la misma contraseña en distintos servicios. Una brecha puntual en una empresa termina amplificando el riesgo para múltiples plataformas y para los propios usuarios durante años.
La información robada puede circular en foros clandestinos durante largo tiempo. Se revende y reutiliza en distintos contextos. El problema no desaparece cuando la empresa corrige la falla inicial.
Martina López, Investigadora de seguridad informática de ESET Latinoamérica, explica que también existen amenazas basadas en fuerza bruta. Estos ataques prueban de manera automatizada múltiples combinaciones de usuario y contraseña hasta lograr un acceso válido. No necesitan engañar al usuario ni infectar previamente su dispositivo. Se apoyan en listas de contraseñas comunes o en credenciales filtradas en incidentes anteriores. Cuando los servicios no cuentan con limitación de intentos o monitoreo adecuado, este método sigue siendo efectivo, especialmente en accesos remotos y aplicaciones web corporativas.
Medidas clave para reducir el riesgo
Frente a este panorama, la prevención no depende de una sola acción. Requiere una combinación de buenas prácticas.
ESET recomienda utilizar contraseñas únicas y robustas para cada servicio. El relleno de credenciales es una práctica habitual entre atacantes que compran bases de datos filtradas. Si una contraseña se reutiliza, el riesgo se multiplica.
La autenticación multifactor añade una capa adicional de seguridad. Aunque la contraseña sea comprometida, el segundo factor dificulta el acceso no autorizado.
La desconfianza ante mensajes inesperados sigue siendo fundamental. Evitar descargar archivos sospechosos o ingresar en enlaces dudosos reduce la exposición al phishing y al malware.
El uso de gestores de contraseñas ayuda a almacenar credenciales de forma segura y evita guardarlas en texto plano o en dispositivos compartidos. Además, mantener sistemas y aplicaciones actualizadas corrige vulnerabilidades que pueden ser explotadas por atacantes.
También resulta clave revisar accesos y actividad inusual en las cuentas. Activar alertas de inicio de sesión y consultar periódicamente la sección de seguridad permite detectar incidentes en etapas tempranas.
Qué hacer si la contraseña ya fue robada
El tiempo de reacción marca la diferencia. Si una credencial se ve comprometida, la primera medida es cambiar la contraseña afectada y todas aquellas donde se haya utilizado la misma combinación.
Cerrar sesiones activas y desautorizar accesos recientes reduce la posibilidad de que el atacante mantenga control sobre la cuenta. Es importante verificar cambios no autorizados en configuraciones, mensajes o métodos de pago.
ESET también recomienda utilizar una herramienta de seguridad en los dispositivos potencialmente afectados. Si existe malware, debe eliminarse antes de volver a introducir nuevas credenciales.
López concluye que el robo de contraseñas crece y se adapta a nuevas tecnologías al mismo ritmo que evoluciona la vida digital. La educación digital y las buenas prácticas se vuelven esenciales tanto a nivel individual como corporativo. Mantenerse informado permite anticiparse a tendencias y reducir la superficie de ataque.
En un entorno donde una sola contraseña puede abrir múltiples puertas, la gestión adecuada de credenciales deja de ser una recomendación técnica y se convierte en una necesidad estratégica para personas y empresas en toda Latinoamérica.
