--- id: CP-036 slug: credential-stuffing-reutilizacion-credenciales lang: es title: Credential stuffing description: Contraseñas robadas en una filtración se prueban con robots en otros servicios. Cómo funciona el ataque y cómo protegerse. canonical_url: https://startbrain.io/cyberpedia/es/articles/credential-stuffing-reutilizacion-credenciales/ markdown_url: https://startbrain.io/cyberpedia/es/articles/credential-stuffing-reutilizacion-credenciales.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Credential stuffing», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/credential-stuffing-reutilizacion-credenciales/ (CC BY 4.0) wing: 1 theme: master_passwords reflex: cr-008 schema: G3 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/credential-stuffing-reutilizacion-credenciales/ fr: https://startbrain.io/cyberpedia/fr/articles/credential-stuffing-reinjection-identifiants/ en: https://startbrain.io/cyberpedia/en/articles/credential-stuffing-leaked-passwords/ de: https://startbrain.io/cyberpedia/de/articles/credential-stuffing-wiederverwendete-zugangsdaten/ it: https://startbrain.io/cyberpedia/it/articles/credential-stuffing-reinserimento-credenziali/ sources: - "n": 1 title: Credential stuffing | OWASP Foundation publisher: OWASP url: https://community.owasp.org/attacks/Credential_stuffing accessed: "2026-11-03" - "n": 2 title: "Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/004/ accessed: "2026-11-03" - "n": 3 title: Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/ accessed: "2026-11-03" - "n": 4 title: Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/ accessed: "2026-11-03" - "n": 5 title: Pourquoi et comment bien gérer ses mots de passe ? publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe published: "2019-11-23" accessed: "2026-11-03" - "n": 6 title: Les conseils de la CNIL pour un bon mot de passe publisher: CNIL url: https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe published: "2017-01-26" accessed: "2026-11-03" - "n": 7 title: Choosing and Protecting Passwords publisher: CISA url: https://www.cisa.gov/news-events/news/choosing-and-protecting-passwords published: "2009-05-21" accessed: "2026-11-03" - "n": 8 title: Password administration for system owners publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/passwords published: "2018-11-19" accessed: "2026-11-03" --- # Credential stuffing El credential stuffing, en español reutilización de credenciales, consiste en tomar pares de usuario y contraseña robados en una filtración de datos y probarlos de forma automática en otros sitios. OWASP lo describe como la inyección automatizada de esos pares en formularios de inicio de sesión, para acceder de forma fraudulenta a cuentas [1]. El empleado no tiene que cometer ningún error para verse afectado: su cuenta no ha sido atacada directamente. Basta con que una contraseña usada en un sitio sin importancia se use también en otro lugar, por ejemplo en el correo del trabajo. ## En 30 segundos - Dónde ocurre: en cualquier servicio con formulario de inicio de sesión, incluidos el correo, las aplicaciones en línea de la empresa y los portales de inicio de sesión único [1][2]. - Qué quiere el atacante: encontrar, entre pares de credenciales robados, los que abren una cuenta real, contando con la reutilización de contraseñas [1][2]. - El reflejo: una contraseña distinta para cada servicio, guardada en un gestor de contraseñas, con doble autenticación cuando exista [5][6]. - Si ya ha pasado: cambiar sin demora la contraseña afectada [5]. ## Preguntas directas ### ¿En qué se diferencia de la fuerza bruta? La fuerza bruta prueba varias contraseñas contra una o varias cuentas: el atacante adivina. El credential stuffing usa pares ya conocidos, procedentes de una filtración, contra otros sitios [1]. OWASP lo clasifica como un subconjunto de la fuerza bruta, y MITRE lo recoge como la subtécnica T1110.004 de la técnica «Brute Force» [1][2]. ### ¿Por qué funciona? Porque mucha gente reutiliza la misma contraseña y el mismo nombre de usuario o la misma dirección de correo. Cuando esos datos quedan expuestos, enviarlos a decenas o cientos de otros sitios puede bastar para comprometer las cuentas [1]. MITRE añade que la reutilización afecta tanto a las cuentas personales como a las profesionales [2]. ### Mi contraseña es larga y compleja: ¿estoy a salvo? No, si se usa en varios sitios. Según la CISA, reutilizar una contraseña, aunque sea robusta, pone en peligro las cuentas tanto como una contraseña débil [7]. La longitud protege contra las conjeturas, no contra la reutilización de una contraseña ya robada. ### ¿Es la contraseña reutilizada la única puerta de entrada? No. OWASP señala que los datos de una filtración también sirven para restablecer contraseñas, sobre todo en cuentas de empresa: las preguntas de seguridad, las direcciones de recuperación u otra información personal contenida en la filtración permiten entonces tomar el control incluso sin reutilización [1]. ### ¿Puede una cuenta tomada servir para algo más? Sí. Una cuenta válida permite entrar en la red sin software malicioso, lo que hace más difícil detectar la presencia del atacante [4]. ## En la piel del atacante El atacante empieza por conseguir credenciales: la filtración de un sitio, el phishing o un sitio de volcado de contraseñas [1]. No necesita tener nada contra una persona en concreto. La CISA señala que un ataque a menudo no apunta a una cuenta precisa, sino al acceso que esta ofrece para lanzar un ataque más amplio [7]. Después entrega esos pares a herramientas automáticas, que los prueban en numerosos sitios: redes sociales, tiendas en línea, aplicaciones web [1]. Un inicio de sesión correcto le indica que tiene credenciales válidas [1]. Queda sacarles partido. OWASP cita cuatro continuaciones posibles: vaciar las cuentas de su valor almacenado o hacer compras, leer información sensible (números de tarjeta, mensajes privados, documentos), enviar mensajes de phishing o spam desde la cuenta y revender las credenciales válidas a otros atacantes [1]. MITRE subraya que este método puede provocar numerosos fallos de autenticación y bloqueos de cuentas, según la política de la organización objetivo [2]. Los defensores, por su parte, pueden bloquear las solicitudes de inicio de sesión de riesgo, como las que pasan por servicios de anonimización o proxies [2]. ## Lo que ve en la pantalla La víctima rara vez ve el ataque en sí. Ve sus efectos, y varían según lo que el atacante haya decidido hacer con la cuenta. - Un mensaje del servicio que avisa de un inicio de sesión desde un dispositivo desconocido. La CNIL describe este caso: el sitio avisa por SMS o por correo, y la persona puede autorizar o rechazar el acceso [6]. - Una cuenta bloqueada, tras numerosos fallos de inicio de sesión. MITRE menciona estos bloqueos como una consecuencia posible [2]. - Compras, mensajes o documentos afectados que el titular no hizo ni envió, ya que son los usos que describe OWASP [1]. - Un correo de restablecimiento de contraseña que nadie ha solicitado. Cybermalveillance.gouv.fr explica por qué se apunta al correo: recibe los enlaces de restablecimiento de las demás cuentas, y quien lo vulnera puede usar la función «contraseña olvidada» para tomar el control de, por ejemplo, una cuenta bancaria [5]. Ninguna de estas situaciones prueba por sí sola un credential stuffing. Todas justifican cambiar la contraseña y avisar al departamento informático si la cuenta es profesional. ## Bajo el capó OWASP ilustra el mecanismo con un esquema: la base de datos de un sitio, acme.com, resulta comprometida. El atacante prueba esas credenciales en otros tres sitios. Comprueba que un usuario, «spongebob», reutiliza su contraseña en dos sitios y que una usuaria, «sally», la reutiliza en uno: se abren tres cuentas [1]. Los objetivos no se limitan a los sitios de cara al público. MITRE cita servicios de administración en puertos habituales (SSH, RDP, SMB, LDAP, bases de datos), pero también el inicio de sesión único, las aplicaciones en la nube basadas en protocolos federados y los servicios de correo expuestos, como Office 365 [2]. En cuanto a la detección, MITRE describe señales típicas: numerosos fallos con pares distintos desde una misma dirección IP en poco tiempo, o fallos en aplicaciones en la nube con pares procedentes de dominios sin relación [2]. Otro punto técnico: cuando un atacante conoce la contraseña correcta pero choca con una regla de acceso basada en la ubicación, puede cambiar de infraestructura para coincidir con la localización de la víctima y eludir la regla [3]. Las medidas de defensa por parte de la organización, según MITRE: bloquear las cuentas tras un número de fallos (una regla demasiado estricta puede bloquear cuentas legítimas), exigir la autenticación multifactor y restablecer de forma proactiva las cuentas que se sabe que aparecen en filtraciones [2]. OWASP señala la autenticación multifactor como la contramedida principal [1]. ## Lo que usted hace - Una contraseña distinta por servicio. Así, si se roba una, solo es vulnerable el servicio afectado [5]. La CNIL pide una contraseña propia y única para cada cuenta sensible (banco, correo, red social) para evitar los ataques en cascada [6]. - Un gestor de contraseñas, que recuerda por usted contraseñas largas y todas distintas [6]. Cybermalveillance.gouv.fr cita KeePassXC, certificado por la ANSSI en su versión 2.7.9 [5]. La contraseña maestra del gestor debe ser, a su vez, sólida [7]. - La doble autenticación cuando el servicio la ofrece: además de la contraseña, una confirmación mediante código, aplicación, llave o biometría hace que solo usted autorice un nuevo dispositivo [5]. - Un cambio inmediato ante la menor sospecha, o en cuanto se sabe que una empresa en la que se tiene una cuenta ha sido vulnerada, sin esperar a saber si es cierto [5]. - Una contraseña de correo especialmente robusta, ya que da paso al restablecimiento de muchas otras cuentas [5]. Por otra parte, el NCSC británico indica, en una noticia del 23 de abril de 2026, que las claves de acceso (passkeys) son un método de inicio de sesión más seguro y más sencillo, y deberían ser la opción por defecto para los particulares [8]. ## Las trampas - Creer que una cuenta «sin importancia» no cuenta. Una contraseña robada en un sitio secundario se prueba en otros [1]. - Memorizar una sola buena contraseña y repetirla idéntica. Eso es reutilización [7]. - Guardar las contraseñas en una nota adhesiva, en el correo, en un archivo sin protección o en el teléfono [5]. - Guardar las contraseñas en el navegador de un ordenador compartido [6]. ## Autopsias OWASP reúne filtraciones cuyo análisis indica, según él, que son resultado de credential stuffing. Estas son cuatro de ellas, tal como las recoge [1]. ### Sony, 2011 Un analista observa que, entre los usuarios presentes a la vez en los datos de Sony y en los de la filtración de Gawker, ocurrida antes ese mismo año, dos tercios tenían la misma contraseña en ambos sistemas [1]. ### Yahoo, 2012 OWASP cita a Troy Hunt, que relaciona las filtraciones de Sony y de Yahoo por un punto en común: las contraseñas [1]. ### Dropbox, 2012 Dropbox indicó que los nombres de usuario y las contraseñas mencionados en la prensa habían sido robados en otros servicios, no en el suyo. Unos atacantes los habían probado después en sitios de todo internet, entre ellos Dropbox [1]. ### JPMorgan Chase, 2014 Los datos de la filtración contenían combinaciones de contraseñas y direcciones de participantes inscritos en el sitio Corporate Challenge, una plataforma de carreras benéficas anuales gestionada por un proveedor externo, abiertas a los empleados del banco y de otras empresas. OWASP precisa que esta filtración procede de una fuente distinta: unos atacantes apuntaron a un sitio de carreras de terceros para obtener credenciales y usarlas contra JPMC [1]. ## Fuentes 1. OWASP, «Credential stuffing | OWASP Foundation». https://community.owasp.org/attacks/Credential_stuffing (consultado el 3 de noviembre de 2026) 2. MITRE ATT&CK, «Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/004/ (consultado el 3 de noviembre de 2026) 3. MITRE ATT&CK, «Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/ (consultado el 3 de noviembre de 2026) 4. MITRE ATT&CK, «Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/ (consultado el 3 de noviembre de 2026) 5. Cybermalveillance.gouv.fr, «Pourquoi et comment bien gérer ses mots de passe ?», 23 de noviembre de 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (consultado el 3 de noviembre de 2026) 6. CNIL, «Les conseils de la CNIL pour un bon mot de passe», 26 de enero de 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (consultado el 3 de noviembre de 2026) 7. CISA, «Choosing and Protecting Passwords», 21 de mayo de 2009. https://www.cisa.gov/news-events/news/choosing-and-protecting-passwords (consultado el 3 de noviembre de 2026) 8. NCSC (Royaume-Uni), «Password administration for system owners», 19 de noviembre de 2018. https://www.ncsc.gov.uk/collection/passwords (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/credential-stuffing-reutilizacion-credenciales/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.