MÉTODO DE ATAQUE
Abuso de credenciales — contraseñas recicladas en acción
Credential stuffing, password spraying, fatiga de MFA e infostealers: cómo entran los atacantes con IDs y contraseñas filtradas. Migración a gestores de contraseñas y FIDO2.
Los pares usuario-contraseña filtrados en brechas pasadas se negocian años en mercados clandestinos y alimentan intentos de inicio de sesión contra otros servicios. La ANP observó unos 13.700 accesos sospechosos diarios en el primer semestre de 2026 — un 50% más interanual — señal de una preparación de ataques intensificada, incluido el reconocimiento de vulnerabilidades. Los ataques de credenciales y los de vulnerabilidades están conectados.
La reutilización de contraseñas es lo que lo hace funcionar. Para el usuario, la brecha de un servicio se convierte en llave maestra de todas sus cuentas. Varias divulgaciones japonesas del otoño de 2026 incluyeron contraseñas de socios (con hash y sin él) con avisos sobre el daño de la reutilización.
La MFA ayuda, pero la fatiga de MFA (notificaciones push insistente) y el phishing AiTM pueden superarla. La recomendación mundial no es «con MFA basta», sino migrar a autenticación resistente al phishing.
Los números
~13.700/día
Accesos sospechosos observados por la ANP (1.er sem. 2026, +50% interanual)
+89% vs 2026
Aumento de atacantes con IA, incl. intentos automatizados (CrowdStrike GTR)
Técnicas explicadas
Credential stuffing (contraseñas reutilizadas)
Listas de pares filtrados se prueban a escala contra otro servicio. Solo funciona por la reutilización: para el particular, hacer única cada contraseña es la defensa directa. Los datos públicos de brechas (incluidos los registros de este sitio) permiten construir diccionarios con facilidad.
Ataques de diccionario y password spraying
El diccionario prueba muchas candidatos contra una cuenta; el spraying prueba un candidato universal («Password123», «Company2026!») contra muchas cuentas una vez cada uno. El spraying esquiva los umbrales de bloqueo y encuentra cuentas válidas en silencio.
Ataques de fatiga de MFA
Las notificaciones de aprobación llegan repetidamente de madrugada hasta que un usuario harto aprueba. La coincidencia de números y FIDO2 lo dificultan mucho.
Malware roba-información (infostealer)
Familias de malware que esquiman contraseñas, cookies y tokens de sesión guardados en el navegador. El botín se vende por lotes y alimenta el stuffing y el robo de sesiones. Las claves API y tokens de desarrollo se filtran por la misma vía.
Robo y reutilización de tokens
Con un token de sesión o clave API no hace falta contraseña para actuar como el usuario o el sistema. Los tokens olvidados en repositorios y registros de CI se filtran sin parar y conectan directo con el daño de cadena de suministro.
Flujo del ataque (kill chain)
- Reutilizar listas de credenciales de brechas pasadas
- Probar las mismas combinaciones en otros servicios
- Secuestrar las cuentas que autentican correctamente
Datos objetivo: Cuentas de miembros, puntos y datos de pago
Tendencias y debate
Los ataques de credenciales se alimentan de fugas pasadas: el daño nunca es único. La masa de correos y contraseñas (con hash incluido) filtrada en la ola japonesa del otoño de 2026 alimentará el stuffing durante años. A las empresas que filtraron les corresponden el reseteo de contraseñas y la revocación de tokens de sesión.
Para el particular, lo más rentable: un gestor de contraseñas y FIDO2/passkeys en los servicios críticos. Para la organización: vigilancia continua de credenciales filtradas (monitorización de dark web) y acceso condicional que desconfíe de entornos desconocidos.
Contramedidas
Para particulares y pymes
- Use un gestor de contraseñas para hacer única cada contraseña (deje de reutilizar)
- Prefiera FIDO2/passkeys en los servicios críticos (banca, My Number, grandes redes sociales)
- Compruebe periódicamente si su correo aparece en filtraciones
- Si llega una petición de MFA inesperada, rechácela, cambie la contraseña y repórtela
Para organizaciones (TI)
- Centralice la identidad (IdP) y adopte acceso condicional (control por dispositivo, lugar, riesgo)
- Vigile la filtración de credenciales (dark web) y prepare procedimientos de reseteo forzado
- Emita claves API y tokens con caducidad y ámbito mínimo; rote con regularidad
- Fije umbrales de bloqueo y detección de anomalías para detectar el spraying
Los pasos concretos por nivel están en la guía →
Incidentes de Abuso de credenciales recogidos (28, por impacto)
| Empresa / organización | Divulgado | Escala | Gravedad |
|---|---|---|---|
| 日本経済新聞社(日経) | 15 de octubre de 2026 | 1.830.000 registros | A |
| チャーム本店 | 31 de agosto de 2026 | 370.000 registros | S |
| CAMPFIRE | 1 de junio de 2026 | 225.846 cuentas | A |
| ウエーブ（Webアップロード） | 31 de marzo de 2026 | 176.810 registros | A |
| シチズン時計（問い合わせ管理） | 5 de octubre de 2026 | 100.000 personas | A |
| イノベーション（GitHub） | 6 de agosto de 2026 | 62.689 personas | B |
| 損保ジャパン（SMILING ROAD） | 6 de octubre de 2026 | 60.000 registros | A |
| 扶桑電通 | 9 de septiembre de 2026 | 26.489 registros | S |
| ゼットン（forty three旧メール） | 26 de marzo de 2026 | 18.553 registros | S |
| キャリアデザインセンター（女の転職type） | 29 de mayo de 2026 | 18.253 personas | S |
| 楽天ドライブ | 5 de octubre de 2026 | 15.382 cuentas | SS |
| 株式会社ビジュアルアーツ | 3 de junio de 2026 | 6017 registros | S |
Los otros 16 incidentes, en la base de datos →
Métodos relacionados
Métodos de ataque y tendencias (Verizon DBIR 2026, CrowdStrike GTR 2026, ANP / Kyodo, Palo Alto Networks Unit 42, entre otros). Para incidentes concretos, consulte los enlaces de fuente de cada página de incidente.