El relleno de credenciales (credential stuffing) es un ataque automatizado que prueba en otros sitios listas masivas de usuarios y contraseñas robados, aprovechando que la gente reutiliza contraseñas.
Cómo funciona el credential stuffing
- Los atacantes toman credenciales filtradas en brechas de datos o recolectadas por infostealers.
- Las combinan en «combolists» de millones de entradas.
- Las introducen en herramientas automatizadas.
Las peticiones se reparten entre botnets y proxies residenciales para que cada dirección IP envíe solo unos pocos intentos. Cada acceso exitoso se guarda y después se vende o se usa para fraudes o nuevos ataques.
A diferencia de la fuerza bruta, aquí no se adivinan contraseñas: se reutilizan combinaciones reales. Incluso una tasa de éxito de décimas de punto porcentual produce miles de cuentas secuestradas.
Por qué es importante para la seguridad
Es una de las principales causas de robo de cuentas en tiendas online, servicios de streaming y videojuegos, bancos y portales corporativos. En 2023, los atacantes usaron contraseñas reutilizadas para entrar en unas 14.000 cuentas de 23andMe y, a través de una función de parientes, expusieron datos de millones de usuarios.
Las cuentas robadas se usan para:
- comprar con tarjetas guardadas;
- vaciar puntos de fidelidad;
- enviar spam y phishing desde perfiles de confianza;
- entrar en redes corporativas.
Cómo protegerse
- Usuarios: una contraseña única para cada servicio (un gestor de contraseñas ayuda) y autenticación de dos factores o passkeys.
- Compruebe sus direcciones en servicios como Have I Been Pwned.
- Sitios web: exigir MFA, limitar los intentos de acceso, detectar bots y comprobar las nuevas contraseñas contra listas de contraseñas filtradas.
- Avise a los usuarios de accesos desde dispositivos y lugares nuevos.
