¿Qué es el relleno de credenciales?
El relleno de credenciales es un ciberataque que utiliza combinaciones de nombre de usuario y contraseña filtradas de filtraciones de datos anteriores para intentar automáticamente inicios de sesión no autorizados en diversos servicios web. Explota la realidad de que muchos usuarios reutilizan la misma contraseña en múltiples servicios, lo que lo convierte en un método de ataque extremadamente eficiente.
A diferencia de los ataques de fuerza bruta que prueban contraseñas aleatorias, el relleno de credenciales utiliza credenciales que realmente estaban en uso, lo que resulta en tasas de éxito significativamente más altas. La tasa de éxito típica es del 0,1-2%, pero cuando se prueban millones de credenciales, miles a decenas de miles de cuentas pueden verse comprometidas.
Cómo funciona el ataque
Obtención de credenciales
Los atacantes obtienen grandes volúmenes de credenciales a través de los siguientes métodos:
- Bases de datos filtradas de filtraciones de datos anteriores (comercializadas en la dark web)
- Credenciales recopiladas mediante ataques de phishing
- Credenciales robadas por malware (info-stealers)
- Bases de datos de filtraciones disponibles públicamente (verificables a través de servicios como Have I Been Pwned)
Intentos masivos de inicio de sesión automatizados
Los atacantes utilizan herramientas especializadas (bots) para probar automáticamente las credenciales obtenidas en múltiples servicios web.
- Cargan la lista de credenciales filtradas en la herramienta
- Especifican la página de inicio de sesión del servicio web objetivo
- Ejecutan intentos masivos de inicio de sesión a través de servidores proxy o botnets, distribuyéndolos entre múltiples direcciones IP
- Registran los inicios de sesión exitosos y se apoderan de las cuentas
Técnicas de evasión de detección
Los atacantes sofisticados evaden la detección utilizando las siguientes técnicas:
- Uso de miles a decenas de miles de direcciones IP para eludir la limitación de tasa
- Aleatorización de intervalos entre intentos de inicio de sesión para imitar el comportamiento humano
- Uso de navegadores headless y servicios de resolución de CAPTCHA para eludir la detección de automatización
- Aleatorización de cadenas User-Agent y huellas digitales del navegador
Ejemplos de ataques reales
Incidentes de ataques importantes
- En 2024, Roku reveló un ataque de relleno de credenciales que afectó a más de 570.000 cuentas. Los atacantes utilizaron cuentas comprometidas para realizar compras no autorizadas de suscripciones a servicios de streaming
- En 2024, 23andMe reportó una filtración de datos que afectó a aproximadamente 6,9 millones de usuarios. Alrededor de 14.000 cuentas fueron comprometidas directamente mediante relleno de credenciales, lo que llevó a una exposición de datos en cascada
- En 2025, los ataques de relleno de credenciales dirigidos a las principales instituciones financieras aumentaron drásticamente. Según la FIDO Alliance, los ataques al sector financiero aumentaron un 65% interanual
Impacto de las filtraciones
Los compromisos de cuentas por relleno de credenciales pueden causar daños graves:
- Pérdida financiera: compras no autorizadas, transferencias y robo de criptomonedas
- Robo de identidad digital: uso indebido de información personal, suplantación de identidad
- Violaciones de privacidad: acceso no autorizado a datos personales incluyendo correos electrónicos, mensajes y fotos
- Plataforma de ataques secundarios: envío de correos de phishing desde cuentas comprometidas
Cómo protegerte del relleno de credenciales
Deja de reutilizar contraseñas
La causa raíz del relleno de credenciales es la reutilización de contraseñas. Usar una contraseña fuerte y única para cada servicio es la defensa más efectiva. Para un enfoque integral de la gestión de credenciales, una guía de seguridad de contraseñas puede ayudarte a construir mejores hábitos.
- Establece una contraseña aleatoria de 16 caracteres o más para cada servicio
- Usa un gestor de contraseñas (1Password, Bitwarden, Dashlane, etc.) para generar y gestionar contraseñas únicas
- Establece una contraseña maestra especialmente fuerte para tu gestor de contraseñas
Activa la autenticación de dos factores (2FA)
Activar la autenticación de dos factores previene los inicios de sesión no autorizados incluso si tu contraseña se filtra.
- Se recomiendan las aplicaciones TOTP (Google Authenticator, Authy)
- La 2FA basada en SMS es vulnerable a ataques de intercambio de SIM y debe evitarse si es posible
- Las llaves de seguridad de hardware (YubiKey, etc.) son el método 2FA más seguro
Migra a passkeys
Las passkeys son una tecnología de autenticación de próxima generación que elimina las contraseñas por completo. Con passkeys, el relleno de credenciales es fundamentalmente imposible. Configura passkeys en todos los servicios compatibles.
Monitoreo regular de filtraciones
- Verifica si tu dirección de correo electrónico aparece en bases de datos de filtraciones usando Have I Been Pwned (haveibeenpwned.com)
- Usa las funciones de monitoreo de filtraciones de tu gestor de contraseñas (Watchtower de 1Password, Informes de Salud del Cofre de Bitwarden, etc.)
- Cambia inmediatamente las contraseñas de cualquier servicio donde se confirme una filtración
Defensas para proveedores de servicios
Los operadores de servicios web pueden defenderse contra el relleno de credenciales implementando las siguientes medidas.
Limitación de tasa y bloqueo de cuentas
- Limitar los intentos de inicio de sesión por dirección IP
- Bloquear temporalmente las cuentas después de un cierto número de intentos fallidos de inicio de sesión
- Detectar y bloquear patrones de inicio de sesión anormales (intentos masivos en períodos cortos)
Detección de bots y CAPTCHA
- Implementar CAPTCHA en las páginas de inicio de sesión (equilibrando la experiencia del usuario)
- Análisis de comportamiento para la detección de bots (análisis de movimiento del ratón, patrones de pulsación de teclas)
- Huella digital del dispositivo para detectar accesos anómalos
Verificación de contraseñas filtradas
- Verificar las contraseñas de los usuarios contra bases de datos de filtraciones conocidas (API de Have I Been Pwned) durante la configuración de contraseñas
- Rechazar contraseñas filtradas y solicitar a los usuarios que las cambien
- Cruzar periódicamente las credenciales de los usuarios con bases de datos de filtraciones y notificar a los usuarios afectados
Últimos desarrollos en 2025-2026
Ataques cada vez más sofisticados
Desde 2025, los ataques de relleno de credenciales se han vuelto aún más sofisticados. Los atacantes utilizan aprendizaje automático para analizar automáticamente las estructuras de formularios de inicio de sesión y mejorar la precisión de evasión de CAPTCHA. El uso de proxies residenciales también ha aumentado, haciendo aún más difícil distinguir el tráfico de ataque del tráfico legítimo de usuarios.
Passkeys como solución fundamental
A medida que crece la adopción de passkeys, se espera que la amenaza del relleno de credenciales disminuya a medio y largo plazo. Dado que las passkeys no almacenan credenciales de autenticación en los servidores, incluso si ocurre una filtración de datos, las credenciales no pueden ser explotadas.
Auge de los servicios de inteligencia de credenciales
Los servicios de inteligencia de credenciales que monitorean las credenciales filtradas en tiempo real y notifican a las organizaciones están experimentando un crecimiento rápido. Servicios como SpyCloud, Recorded Future y Flare monitorean continuamente los datos de filtraciones en la dark web y alertan inmediatamente a las organizaciones cuando las cuentas de sus usuarios están en riesgo.
Fortalecimiento regulatorio
La Directiva NIS2 de la UE y las reglas de divulgación de ciberseguridad de la SEC de EE.UU. han fortalecido las obligaciones de notificación de filtraciones de datos causadas por relleno de credenciales. Las organizaciones ahora deben no solo detectar y defenderse contra los ataques, sino también establecer procedimientos de notificación rápida de incidentes.
Lista de verificación práctica
Sigue estos pasos para proteger tus cuentas del relleno de credenciales:
- Verifica si tu dirección de correo electrónico ha sido filtrada en Have I Been Pwned
- Adopta un gestor de contraseñas y establece contraseñas únicas para todos los servicios
- Activa la autenticación de dos factores en cuentas críticas (correo electrónico, banca, redes sociales)
- Configura passkeys en los servicios compatibles y haz la transición a la autenticación sin contraseña
- Revisa la fortaleza de tus contraseñas y cambia cualquier contraseña débil o reutilizada
- Verifica el estado de seguridad de tu conexión en IP Check-san
- Monitorea regularmente el estado de tu protección de identidad digital y vigila actividades sospechosas
Resumen
El relleno de credenciales es un ciberataque altamente efectivo que explota el hábito humano de reutilizar contraseñas. La base de la defensa es la gestión de contraseñas únicas a través de un gestor de contraseñas y la activación de la autenticación de dos factores. Además, migrar a passkeys puede neutralizar fundamentalmente este tipo de ataque. Para quienes busquen fortalecer su postura de seguridad general, los libros sobre protección de cuentas en línea ofrecen estrategias prácticas. Comienza verificando si tus credenciales han sido filtradas y empieza a tomar medidas de protección hoy.
Para las definiciones de los términos técnicos utilizados en este artículo, visita nuestro glosario.