EXPLAINERS
Cómo se usan las contraseñas robadas — de la fuga a la apropiación de cuentas, y las passkeys
Una fuga expone pares de correo y contraseña de un sitio, pero esos pares se usan después como llaves para otros sitios donde se reutilizó la misma combinación. Esta explicación sigue cómo el credential stuffing rompe cuentas, dónde tiene huecos el MFA y por qué las passkeys resisten las páginas falsas, con diagramas que se mueven al desplazarse.
Publicado: 30 de octubre de 2026 ・ Fuentes verificadas a 30 de octubre de 2026
253casos
Transferencias no autorizadas notificadas (1.er semestre de 2026, banca por internet)
aprox. 2070millones de yenes
Pérdidas totales (−51 % interanual)
Cifras de la Agencia Nacional de Policía de Japón. El informe señala que las medidas técnicas como la verificación por correo y la autenticación multifactor no bastan solas: también importa la atención cotidiana.[2]
01Qué está pasando ahora
Comprobar si tu cuenta apareció en una fuga no es el final. Los pares robados se usan para iniciar sesión en otros sitios: aquellos donde reutilizaste la misma contraseña. El diagrama sigue cómo los pares filtrados acaban rellenando formularios de acceso.
Diagrama esquemático; no muestra proporciones ni escalas reales.
PASO 2
Se recopilan en listas y se venden
Los pares se recopilan en listas y se negocian en mercados clandestinos. Cómo circulan los datos robados está diagramado en el capítulo de la dark web de nuestro panorama mundial.
El credential stuffing es una de las técnicas más comunes de apropiación de cuentas.[3]
PASO 3
Herramientas automáticas los inyectan en masa
Con herramientas automáticas, los atacantes introducen los pares robados de forma masiva en los formularios de acceso de muchos sitios. Es un tipo de fuerza bruta, pero en lugar de adivinar usa pares reales ya filtrados.[3]
Si un intento tiene éxito, el atacante sabe que ese par es una credencial válida.[3]
PASO 4
Solo se rompen los sitios donde reutilizaste la contraseña
Los sitios con una contraseña única rechazan el acceso. Lo que se rompe es el sitio donde el mismo par seguía funcionando.
Las cuentas apropiadas se usan para extraer o comprar valor almacenado, ver números de tarjetas e información personal, servir de trampolín para phishing y spam, o vender la credencial válida a otros atacantes.[3]
Dónde están los números
En el DBIR 2026 de Verizon (datos hasta noviembre de 2025, más de 22.000 brechas confirmadas, 145 países), el abuso de credenciales representó el 13 % (n=19,905) de las vías de acceso inicial, superado por la explotación de vulnerabilidades, ahora primera con el 31 %.[1]
Ese 13 % es la proporción entre las vías de acceso inicial conocidas, no la proporción de brechas en las que se usaron credenciales en alguna fase.[1]
Y en cuentas de nube de terceros, solo el 23 % de las organizaciones había corregido por completo la ausencia o deficiencia de MFA. El endurecimiento sin terminar sigue dejando entrar a los atacantes.[1]
La OWASP señala la autenticación multifactor como la principal mitigación del credential stuffing.[3] ¿Y dónde están los huecos del MFA? Ese es el siguiente capítulo.
02Por qué funciona
No reutilices contraseñas y estarás a salvo; activa MFA y estarás a salvo: la segunda mitad se derrumba. El MFA tiene huecos: páginas falsas que retransmiten lo que escribes y ataques que agotan hasta que apruebas. Los diagramas muestran cómo se roban una contraseña y un código de un solo uso, y dónde se detiene una passkey.
CONTRASEÑA + CÓDIGO
Escribes la contraseña y un código de 6 dígitos en un sitio falso
Un phishing típico reproduce una copia convincente de la página real de inicio de sesión y pide no solo el usuario y la contraseña, sino también el código de 6 dígitos de la app de autenticación.[4]
RETRANSMISIÓN
El sitio falso lo retransmite al real y el acceso se completa
Lo que escribes se reenvía de inmediato del sitio falso al real. Como la persona legítima introduce un código válido, el acceso se completa y el atacante entra en esa sesión. Crees que iniciaste sesión en el sitio real, pero el tráfico pasó por el falso.[4]
SATURACIÓN DE PUSH
Push bombing: notificaciones hasta que apruebes
El MFA por notificaciones push puede atacarse con push bombing (fatiga de push): el atacante envía avisos de aprobación sin parar hasta que un usuario cansado o apurado pulsa Aprobar.[4]
PASSKEY
Una passkey no se puede usar en el sitio falso
Las credenciales de clave pública están limitadas al origen del servicio (relying party) al que pertenecen. El navegador y el autenticador hacen cumplir ese límite en conjunto, así que una passkey creada para el sitio real no puede usarse en el dominio del falso, ni retransmitirse.[6]
Los cuatro niveles de fuerza del MFA[4]
- MFA resistente al phishing (FIDO / WebAuthn, PKI)Gold standard
Débil ante: El push bombing, SS7 y el SIM swap no aplican
- App de autenticación (códigos de un solo uso, push con coincidencia de números)
Débil ante: Phishing (retransmisión desde un sitio falso)
- Notificación push sin coincidencia de números
Débil ante: Push bombing y errores del usuario
- SMS / voz
Débil ante: Phishing, SS7, SIM swap: el último recurso
La longitud de las barras indica el orden (esquema), no valores medidos.
La CISA llama al MFA resistente al phishing (FIDO/WebAuthn, PKI) el gold standard. La coincidencia de números es la mitigación adicional cuando aún no se puede migrar al MFA resistente al phishing.[4]
Cómo se ve el push bombing
Avisos de aprobación que llegan uno tras otro mientras no estás iniciando sesión: esa es la señal de un ataque. La CISA señala que las notificaciones push sin coincidencia de números son débiles ante el push bombing y los errores del usuario.[4]
Con la coincidencia de números hay que escribir el número mostrado en pantalla, así que limitarse a pulsar notificaciones no aprueba nada. Se recomienda como medida adicional cuando migrar al MFA resistente al phishing aún no es posible.[4]
Una racha incesante de avisos de aprobación (esquema)
Con coincidencia de números: hay que escribir el número mostrado; aprobar solo no basta
03Cómo defenderse
En orden de prioridad; empieza por lo que puedas hacer hoy.
Elimina la reutilización, empezando por correo, banca y telefonía/identidad
Usa un gestor de contraseñas y asigna una contraseña distinta a cada sitio (no recomendamos productos concretos).
La NIST SP 800-63B-4 exige al menos 15 caracteres cuando la contraseña se usa sola (al menos 8 como parte de un factor múltiple), prohíbe las reglas de composición y los cambios periódicos obligatorios, y exige cotejar las contraseñas con listas de bloqueo de contraseñas filtradas y habituales.[5]
Activa las passkeys
- 1.Abre los ajustes de Seguridad de cada servicio
- 2.Elige Crear una passkey
- 3.Confirma con la biometría o el bloqueo de pantalla del dispositivo
- 4.Desde el siguiente inicio, ten presente: un sitio falso nunca la pedirá (no puede usarla)
Nunca apruebes una notificación push que no has provocado
Una ráfaga de notificaciones es señal de ataque. Si el servicio ofrece coincidencia de números, actívala.[4]
No inicies sesión desde enlaces de correo
La NPA señala que las medidas técnicas como la verificación por correo y la autenticación multifactor no bastan solas: no pulses enlaces de mensajes a la ligera y accede desde el sitio web o la app oficial.[2]
Si sabes que tu contraseña se filtró
Cambia la contraseña en ese servicio y en todos donde usaste la misma, y activa MFA o una passkey.
Si sufriste daños, los contactos están en Si le afectó (contactos). Para buscar incidentes de fuga, usa Breach Watch y la lista de incidentes.
Páginas relacionadas
Fuentes
- [1]Verizon 2026 Data Breach Investigations Report(Executive Summary)
- [2]警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」
- [3]OWASP — Credential stuffing
- [4]CISA — Implementing Phishing-Resistant MFA(2022)
- [5]NIST SP 800-63B-4 — Authentication and Authenticator Management
- [6]W3C — Web Authentication (WebAuthn) Level 3
Fuentes verificadas a 30 de octubre de 2026. Este artículo ofrece información general; para tu situación concreta, sigue las indicaciones oficiales de cada servicio.