Credential stuffing

El atacante empieza por conseguir credenciales: la filtración de un sitio, el phishing o un sitio de volcado de contraseñas¹. No necesita tener nada contra una persona en concreto. La CISA señala que un ataque a menudo no apunta a una cuenta precisa, sino al acceso que esta ofrece para lanzar un ataque más amplio⁷.

Después entrega esos pares a herramientas automáticas, que los prueban en numerosos sitios: redes sociales, tiendas en línea, aplicaciones web¹. Un inicio de sesión correcto le indica que tiene credenciales válidas¹.

Queda sacarles partido. OWASP cita cuatro continuaciones posibles: vaciar las cuentas de su valor almacenado o hacer compras, leer información sensible (números de tarjeta, mensajes privados, documentos), enviar mensajes de phishing o spam desde la cuenta y revender las credenciales válidas a otros atacantes¹.

MITRE subraya que este método puede provocar numerosos fallos de autenticación y bloqueos de cuentas, según la política de la organización objetivo². Los defensores, por su parte, pueden bloquear las solicitudes de inicio de sesión de riesgo, como las que pasan por servicios de anonimización o proxies².

La víctima rara vez ve el ataque en sí. Ve sus efectos, y varían según lo que el atacante haya decidido hacer con la cuenta.

• Un mensaje del servicio que avisa de un inicio de sesión desde un dispositivo desconocido. La CNIL describe este caso: el sitio avisa por SMS o por correo, y la persona puede autorizar o rechazar el acceso⁶.
• Una cuenta bloqueada, tras numerosos fallos de inicio de sesión. MITRE menciona estos bloqueos como una consecuencia posible².
• Compras, mensajes o documentos afectados que el titular no hizo ni envió, ya que son los usos que describe OWASP¹.
• Un correo de restablecimiento de contraseña que nadie ha solicitado. Cybermalveillance.gouv.fr explica por qué se apunta al correo: recibe los enlaces de restablecimiento de las demás cuentas, y quien lo vulnera puede usar la función «contraseña olvidada» para tomar el control de, por ejemplo, una cuenta bancaria⁵.

Ninguna de estas situaciones prueba por sí sola un credential stuffing. Todas justifican cambiar la contraseña y avisar al departamento informático si la cuenta es profesional.

OWASP ilustra el mecanismo con un esquema: la base de datos de un sitio, acme.com, resulta comprometida. El atacante prueba esas credenciales en otros tres sitios. Comprueba que un usuario, «spongebob», reutiliza su contraseña en dos sitios y que una usuaria, «sally», la reutiliza en uno: se abren tres cuentas¹.

Los objetivos no se limitan a los sitios de cara al público. MITRE cita servicios de administración en puertos habituales (SSH, RDP, SMB, LDAP, bases de datos), pero también el inicio de sesión único, las aplicaciones en la nube basadas en protocolos federados y los servicios de correo expuestos, como Office 365². En cuanto a la detección, MITRE describe señales típicas: numerosos fallos con pares distintos desde una misma dirección IP en poco tiempo, o fallos en aplicaciones en la nube con pares procedentes de dominios sin relación².

Otro punto técnico: cuando un atacante conoce la contraseña correcta pero choca con una regla de acceso basada en la ubicación, puede cambiar de infraestructura para coincidir con la localización de la víctima y eludir la regla³.

Las medidas de defensa por parte de la organización, según MITRE: bloquear las cuentas tras un número de fallos (una regla demasiado estricta puede bloquear cuentas legítimas), exigir la autenticación multifactor y restablecer de forma proactiva las cuentas que se sabe que aparecen en filtraciones². OWASP señala la autenticación multifactor como la contramedida principal¹.

• Una contraseña distinta por servicio. Así, si se roba una, solo es vulnerable el servicio afectado⁵. La CNIL pide una contraseña propia y única para cada cuenta sensible (banco, correo, red social) para evitar los ataques en cascada⁶.
• Un gestor de contraseñas, que recuerda por usted contraseñas largas y todas distintas⁶. Cybermalveillance.gouv.fr cita KeePassXC, certificado por la ANSSI en su versión 2.7.9⁵. La contraseña maestra del gestor debe ser, a su vez, sólida⁷.
• La doble autenticación cuando el servicio la ofrece: además de la contraseña, una confirmación mediante código, aplicación, llave o biometría hace que solo usted autorice un nuevo dispositivo⁵.
• Un cambio inmediato ante la menor sospecha, o en cuanto se sabe que una empresa en la que se tiene una cuenta ha sido vulnerada, sin esperar a saber si es cierto⁵.
• Una contraseña de correo especialmente robusta, ya que da paso al restablecimiento de muchas otras cuentas⁵.

Por otra parte, el NCSC británico indica, en una noticia del 23 de abril de 2026, que las claves de acceso (passkeys) son un método de inicio de sesión más seguro y más sencillo, y deberían ser la opción por defecto para los particulares⁸.

• Creer que una cuenta «sin importancia» no cuenta. Una contraseña robada en un sitio secundario se prueba en otros¹.
• Memorizar una sola buena contraseña y repetirla idéntica. Eso es reutilización⁷.
• Guardar las contraseñas en una nota adhesiva, en el correo, en un archivo sin protección o en el teléfono⁵.
• Guardar las contraseñas en el navegador de un ordenador compartido⁶.

OWASP reúne filtraciones cuyo análisis indica, según él, que son resultado de credential stuffing. Estas son cuatro de ellas, tal como las recoge¹.

Sony, 2011

Un analista observa que, entre los usuarios presentes a la vez en los datos de Sony y en los de la filtración de Gawker, ocurrida antes ese mismo año, dos tercios tenían la misma contraseña en ambos sistemas¹.

Yahoo, 2012

OWASP cita a Troy Hunt, que relaciona las filtraciones de Sony y de Yahoo por un punto en común: las contraseñas¹.

Dropbox, 2012

Dropbox indicó que los nombres de usuario y las contraseñas mencionados en la prensa habían sido robados en otros servicios, no en el suyo. Unos atacantes los habían probado después en sitios de todo internet, entre ellos Dropbox¹.

JPMorgan Chase, 2014

Los datos de la filtración contenían combinaciones de contraseñas y direcciones de participantes inscritos en el sitio Corporate Challenge, una plataforma de carreras benéficas anuales gestionada por un proveedor externo, abiertas a los empleados del banco y de otras empresas. OWASP precisa que esta filtración procede de una fuente distinta: unos atacantes apuntaron a un sitio de carreras de terceros para obtener credenciales y usarlas contra JPMC¹.