Comprobar si su dirección aparece en una filtración

Las contraseñas robadas sirven primero para adivinar otras contraseñas. El NIST observa que las elecciones de los usuarios son muy predecibles y que los atacantes prueban las contraseñas que ya han funcionado, en particular las procedentes de filtraciones anteriores². El mismo documento recomienda que un servicio compare las contraseñas elegidas con una lista de valores conocidos como comunes, previsibles o comprometidos, por ejemplo contraseñas extraídas de filtraciones pasadas². Este texto es de junio de 2017 y fue sustituido por una revisión más reciente a partir del 1 de agosto de 2025².

El riesgo aumenta cuando una contraseña se usa en varios lugares. Si la ha reutilizado, a los criminales les basta con conocer una para acceder a todas sus cuentas⁴. Es el escenario que describe la CISA: una usuaria ve una transferencia de 700 dólares que no ha pedido, no puede entrar en su banco y luego tampoco en su correo, porque tenía la misma contraseña en ambos. Más tarde descubre que esa contraseña formaba parte de una filtración de una empresa publicada en línea³.

Después de una filtración, o ante la menor duda, el orden siguiente limita los daños, de lo más urgente a lo más duradero.

• Cambie primero la contraseña del servicio afectado¹. Si la había reutilizado para el correo, cambie también la del correo⁴.
• Elija una contraseña larga y aleatoria. La CISA indica al menos 16 caracteres, ya sea una cadena aleatoria o una frase de 4 a 7 palabras sin relación entre sí³. Cybermalveillance.gouv.fr menciona un mínimo de 12 caracteres que combinen mayúsculas, minúsculas, cifras y caracteres especiales¹.
• Una contraseña por cuenta. La CNIL pide una contraseña propia y única para cada cuenta sensible: banco, correo, red social⁵.
• Confíelas a un gestor de contraseñas. La CISA señala que, para la mayoría de las personas, memorizar contraseñas largas, aleatorias y únicas para cada cuenta es imposible, y que estas herramientas las generan, las almacenan y avisan de las contraseñas débiles o reutilizadas³.
• Active la verificación en dos pasos, sobre todo para el correo, las redes sociales y las cuentas financieras³. El NCSC precisa que impide que un criminal acceda al correo aunque conozca la contraseña⁴.

Para una cuenta profesional, aplique las mismas medidas y siga las instrucciones de su organización. El NCSC pide que la contraseña del correo no se use en ninguna otra cuenta, ni en casa ni en el trabajo⁴.

El falso mensaje de alerta de filtración

Un mensaje que anuncia una filtración y le apremia a iniciar sesión puede ser un intento de suplantación (phishing). La CISA describe como señales habituales un lenguaje urgente o cargado de emoción, la petición de información personal o financiera, enlaces acortados poco fiables y direcciones o enlaces incorrectos, como «amazan.com»⁶. Las faltas de ortografía ya no son un indicio fiable: en la era de la inteligencia artificial, algunos correos son perfectos en ese aspecto⁶.

Ante un mensaje dudoso que podría ser auténtico, no pulse ningún enlace ni llame a ningún número que contenga. Busque usted mismo el sitio del organismo, o escriba su dirección, y tome sus datos de contacto del sitio verificado⁶. En el ejemplo de la CISA, un correo anunciaba un pago rechazado y apremiaba a iniciar sesión. El usuario engañado entregó su contraseña y los datos de su tarjeta, y solo recuperó la mayor parte de sus pérdidas tras largas horas al teléfono⁶.

Cybermalveillance.gouv.fr añade que ninguna empresa u organización seria pedirá jamás su contraseña por correo o por teléfono, ni siquiera para un «mantenimiento» o una «asistencia informática». Si se la piden, se trata de un intento de piratería o de estafa¹. Un falso mensaje de filtración que reclama su contraseña entra en este caso.

Para señalar el mensaje, la CISA indica que suele haber una opción junto a la dirección del remitente, o en el botón «denunciar spam». Aconseja después eliminar el mensaje sin responder ni pulsar nada, tampoco en un enlace de baja⁶. El NCSC británico precisa que puede investigar las direcciones y los sitios fraudulentos y conseguir que se retiren, y que informar lleva un minuto⁷.

La falsa sensación de seguridad

No figurar en una base de filtraciones consultada no exime de las buenas prácticas. La regla vale en todos los casos: una contraseña distinta por cuenta, contraseñas largas y verificación en dos pasos¹³⁵.

La contraseña anotada en un mal sitio

Tras un cambio, es tentador guardar la nueva contraseña en un archivo o en un mensaje. La CNIL desaconseja las notas adhesivas, los archivos de texto, el teléfono móvil y el buzón de correo, y no guardarlas nunca en el navegador de un ordenador compartido⁵.