--- id: CP-348 slug: reutilizacion-contrasena-personal-profesional lang: es title: Una contraseña reutilizada entre un sitio personal y la cuenta del trabajo description: "Cómo la filtración de un sitio personal puede abrir su cuenta profesional y cómo evitarlo: contraseña única, gestor de contraseñas, doble verificación." canonical_url: https://startbrain.io/cyberpedia/es/articles/reutilizacion-contrasena-personal-profesional/ markdown_url: https://startbrain.io/cyberpedia/es/articles/reutilizacion-contrasena-personal-profesional.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Una contraseña reutilizada entre un sitio personal y la cuenta del trabajo», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/reutilizacion-contrasena-personal-profesional/ (CC BY 4.0) wing: 5 theme: master_passwords reflex: cr-011 schema: G2 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/reutilizacion-contrasena-personal-profesional/ fr: https://startbrain.io/cyberpedia/fr/articles/reutilisation-mot-de-passe-perso-pro/ en: https://startbrain.io/cyberpedia/en/articles/password-reuse-personal-work-accounts/ de: https://startbrain.io/cyberpedia/de/articles/passwort-wiederverwendung-privat-beruf/ it: https://startbrain.io/cyberpedia/it/articles/riutilizzo-password-personale-lavoro/ sources: - "n": 1 title: "Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/004/ accessed: "2026-11-03" - "n": 2 title: Credential Stuffing Prevention - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Credential_Stuffing_Prevention_Cheat_Sheet.html accessed: "2026-11-03" - "n": 3 title: Use a strong and separate password for your email publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/use-a-strong-and-separate-password-for-email accessed: "2026-11-03" - "n": 4 title: Managing your passwords publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/password-managers accessed: "2026-11-03" - "n": 5 title: Les conseils de la CNIL pour un bon mot de passe publisher: CNIL url: https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe published: "2017-01-26" accessed: "2026-11-03" - "n": 6 title: Use Strong Passwords | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/use-strong-passwords accessed: "2026-11-03" - "n": 7 title: Require Multifactor Authentication | CISA publisher: CISA url: https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authentication accessed: "2026-11-03" - "n": 8 title: "Mots de passe : recommandations pour maîtriser sa sécurité" publisher: CNIL url: https://www.cnil.fr/fr/mots-de-passe-recommandations-pour-maitriser-sa-securite published: "2022-10-14" accessed: "2026-11-03" --- # Una contraseña reutilizada entre un sitio personal y la cuenta del trabajo Cuando se piratea un sitio web o un servicio, a veces se publican en línea listas de pares de usuario y contraseña. Los atacantes las usan para intentar entrar en otras cuentas, aprovechando que muchos usuarios mantienen la misma contraseña en sus cuentas personales y profesionales [1]. Esta técnica se llama relleno de credenciales (credential stuffing en inglés). El sitio pirateado puede ser, por tanto, un foro o una tienda sin ninguna relación con su empleador. Si la contraseña allí es la misma que en el trabajo, la filtración de ese sitio también abre la puerta de la empresa: MITRE describe a atacantes que cuentan con la tendencia a usar la misma contraseña en cuentas personales y profesionales [1]. ## En 30 segundos - Dónde ocurre: en el correo, en el portal único de acceso (SSO) o en las aplicaciones en línea de la empresa, que los atacantes prueban con credenciales procedentes de otra filtración [1]. - Lo que busca el atacante: entrar con un identificador válido, obtenido en una cuenta sin relación con la empresa [1]. - Si ya ha ocurrido: cambie cuanto antes la contraseña del correo si la ha reutilizado [3]. - El reflejo: una contraseña distinta para cada cuenta, guardada en un gestor de contraseñas, con la doble autenticación activada [4]. ## Preguntas directas ### ¿Cómo afecta a mi cuenta del trabajo la filtración de un sitio personal? Los atacantes recogen los pares publicados tras la vulneración de un sitio y los prueban en otros servicios. Entre los objetivos que cita MITRE figuran las aplicaciones en línea basadas en el inicio de sesión único y los servicios de correo accesibles desde Internet, como Office 365 [1]. Si su contraseña es la misma, el intento tiene éxito. ### ¿Por qué mi dirección de correo profesional agrava el riesgo? OWASP observa que muchos sitios usan la dirección de correo como identificador y que la mayoría de las personas tiene una sola dirección para todas sus cuentas. La combinación de dirección y contraseña resulta entonces muy eficaz para el relleno de credenciales [2]. Una dirección profesional dada a un sitio personal entrega al atacante la mitad del par de la cuenta de trabajo. ### Mi sitio personal no tiene importancia. ¿Por qué preocuparse? Porque al atacante no le interesa ese sitio, sino lo que permite probar en otros. El NCSC británico lo expresa así: una contraseña propia para el correo significa que, si unos delincuentes roban la de una cuenta menos importante, no pueden usarla para llegar al correo [3]. El razonamiento vale para todas las cuentas: ninguna carece de importancia mientras su contraseña se use en otro lugar. ### ¿Qué se arriesga en concreto si cae el correo? Según el NCSC, un delincuente que accede a su correo puede leer información privada, enviar mensajes haciéndose pasar por usted y restablecer las contraseñas de sus otras cuentas [3]. ## Cómo funciona Una filtración proporciona pares de usuario y contraseña. El atacante los prueba en servicios de acceso habituales, entre ellos los accesos de administración remota, las aplicaciones en línea y el correo [1]. MITRE precisa que el método es arriesgado para el atacante, porque puede provocar numerosos fallos de inicio de sesión y bloqueos de cuentas, según la política de la organización [1]. La CISA relata el caso de Emma, un relato ilustrativo sin fecha. Recibe el aviso de su banco por una transferencia de 700 dólares que no ha pedido y descubre después que ya no puede abrir su correo para restablecer la contraseña. Tenía la misma contraseña en ambas cuentas, procedente de una filtración de una empresa publicada en línea [6]. ## Lo que usted hace Una cuenta, una contraseña. La CNIL pide proteger cada cuenta sensible (banco, correo, red social) con una contraseña propia y única, para evitar los ataques en cascada [5]. La CISA recomienda contraseñas de al menos 16 caracteres, aleatorias y distintas para cada cuenta [6]. Use un gestor de contraseñas. Es imposible recordar una contraseña fuerte por cada cuenta, y el gestor se encarga: las genera, las almacena y las introduce por usted [6]. También puede avisar de que una contraseña se ha filtrado [4]. El NCSC añade que el relleno automático protege del phishing, porque la contraseña solo aparece en el sitio correcto [4]. Solo le queda una contraseña maestra que recordar, que el NCSC aconseja proteger a su vez con la doble autenticación [4]. En un ordenador compartido, no deje nunca que el navegador guarde una contraseña [5]. Active la doble autenticación. Para el NCSC es el primer paso, porque protege incluso si la contraseña es objeto de phishing o queda comprometida [4]. La CISA precisa que las contraseñas fuertes ya no bastan por sí solas y que no todos los métodos valen lo mismo: la llave de seguridad es la que más protege y el código recibido por SMS o por correo la que menos, y debe usarse solo a falta de algo mejor [7]. También anima a los empleados a activarla en sus cuentas personales [7]. Si una contraseña ha podido filtrarse, cámbiela sin esperar. El NCSC pide cambiar cuanto antes la contraseña del correo si se ha reutilizado y elegir después una fuerte y distinta de todas las demás [3]. La CNIL espera que un servicio afectado por una filtración recomiende al usuario modificar las contraseñas de sus otros servicios si usaba la misma [8]. ## Las trampas - Mantener la misma contraseña en la cuenta del trabajo y en cuentas personales: es exactamente el caso que describe MITRE [1]. El NCSC habla de una contraseña que no se usa en ninguna otra cuenta, "either at home or at work" [3]. - Registrarse en un sitio personal con la dirección profesional. La dirección sirve de identificador en muchos sitios, y las listas de pares circulan con esas direcciones [2]. - Creer que un sitio secundario no cuenta. Una contraseña es válida en todos los lugares donde se ha reutilizado, sea cual sea el sitio del que se filtró [1]. - Conformarse con un código por SMS o por correo. Es mejor que nada, pero es la forma más débil de doble autenticación [7]. - No saber qué contraseñas están reutilizadas. Un gestor puede señalar las contraseñas débiles o reutilizadas [6]. ## Fuentes 1. MITRE ATT&CK, «Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/004/ (consultado el 3 de noviembre de 2026) 2. OWASP, «Credential Stuffing Prevention - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/Credential_Stuffing_Prevention_Cheat_Sheet.html (consultado el 3 de noviembre de 2026) 3. NCSC (Royaume-Uni), «Use a strong and separate password for your email». https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/use-a-strong-and-separate-password-for-email (consultado el 3 de noviembre de 2026) 4. NCSC (Royaume-Uni), «Managing your passwords». https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/password-managers (consultado el 3 de noviembre de 2026) 5. CNIL, «Les conseils de la CNIL pour un bon mot de passe», 26 de enero de 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (consultado el 3 de noviembre de 2026) 6. CISA, «Use Strong Passwords | CISA». https://www.cisa.gov/secure-our-world/use-strong-passwords (consultado el 3 de noviembre de 2026) 7. CISA, «Require Multifactor Authentication | CISA». https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authentication (consultado el 3 de noviembre de 2026) 8. CNIL, «Mots de passe : recommandations pour maîtriser sa sécurité», 14 de octubre de 2022. https://www.cnil.fr/fr/mots-de-passe-recommandations-pour-maitriser-sa-securite (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/reutilizacion-contrasena-personal-profesional/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.