Credential Stuffing: Cuando una Filtración Se Convierte en Muchas
Si alguna vez has reutilizado una contraseña en varias cuentas — y la mayoría de las personas lo ha hecho — eres un objetivo potencial para el credential stuffing. Es uno de los métodos de ataque más comunes y eficaces que utilizan los ciberdelincuentes hoy en día, y explota un hábito muy humano: elegir la comodidad por encima de la seguridad.
Qué Es
El credential stuffing es un tipo de ciberataque automatizado en el que los hackers toman grandes listas de nombres de usuario y contraseñas filtrados (generalmente obtenidos de filtraciones de datos previas) y los prueban sistemáticamente en docenas o cientos de sitios web diferentes. La lógica es simple: si alguien usó el mismo correo electrónico y contraseña tanto en un foro de videojuegos como en su cuenta bancaria en línea, vulnerar uno equivale a vulnerar el otro.
A diferencia de los ataques de fuerza bruta, que prueban contraseñas aleatorias o basadas en diccionarios, el credential stuffing utiliza credenciales reales que ya han demostrado funcionar en algún lugar. Esto lo hace significativamente más eficiente y más difícil de detectar.
Cómo Funciona
El proceso generalmente sigue un patrón predecible:
- Adquisición de datos — Los atacantes compran o descargan bases de datos de credenciales filtradas en mercados de la dark web. Algunas listas contienen cientos de millones de pares de nombre de usuario y contraseña.
- Automatización — Mediante herramientas especializadas (a veces llamadas "verificadores de cuentas" o frameworks de credential stuffing), los atacantes cargan las credenciales robadas y las dirigen contra una página de inicio de sesión objetivo.
- Ataque distribuido — Para evitar activar limitaciones de velocidad o bloqueos de IP, los atacantes enrutan el tráfico a través de botnets o grandes cantidades de proxies residenciales, haciendo que parezca como si los intentos de inicio de sesión provinieran de miles de usuarios diferentes en todo el mundo.
- Recolección de cuentas válidas — El software señala cualquier inicio de sesión exitoso, dando a los atacantes acceso a cuentas verificadas. Estas se explotan directamente, se revenden o se utilizan para cometer más fraudes.
Las tasas de éxito son generalmente bajas — con frecuencia entre el 0,1 % y el 2 % — pero cuando se prueban millones de credenciales, incluso un 0,5 % se traduce en miles de cuentas comprometidas.
Por Qué Es Relevante para los Usuarios de VPN
Los usuarios de VPN no son inmunes al credential stuffing — de hecho, hay un aspecto específico que vale la pena conocer. Algunos proveedores de VPN han sido ellos mismos el objetivo. En incidentes pasados, ataques de credential stuffing contra servicios VPN han resultado en que atacantes accedieran a las cuentas de los usuarios y, en algunos casos, a sus dispositivos conectados o configuraciones privadas.
Más allá de eso, usar una VPN no te protege si tus credenciales ya están comprometidas. Una VPN oculta tu dirección IP y cifra tu tráfico, pero no puede impedir que un atacante inicie sesión en tu cuenta de Netflix, correo electrónico o banco con una contraseña que reutilizaste de un sitio vulnerado.
Sin embargo, una VPN sí puede ayudar a reducir tu exposición de maneras indirectas. Al enmascarar tu dirección IP real, se vuelve más difícil para los rastreadores y los data brokers crear perfiles que vinculen tus diversas cuentas en línea, lo que puede limitar el alcance del daño cuando ocurren filtraciones.
Ejemplos del Mundo Real
- En 2020, ataques de credential stuffing afectaron simultáneamente a varios proveedores de VPN y servicios de streaming de vídeo, con atacantes probando credenciales robadas de filtraciones no relacionadas del sector de los videojuegos y el comercio minorista.
- Disney+ experimentó una oleada de apropiaciones de cuentas poco después de su lanzamiento — no debido a una filtración en los sistemas de Disney, sino porque los usuarios habían reciclado contraseñas de otros servicios comprometidos.
- Las instituciones financieras registran regularmente millones de intentos de credential stuffing al día, la mayoría bloqueados por limitaciones de velocidad y autenticación multifactor.
Cómo Protegerte
La defensa es sencilla, aunque cambiar el hábito no lo sea tanto:
- Usa una contraseña única para cada cuenta. Un gestor de contraseñas hace esto viable en la práctica.
- Activa la autenticación de dos factores (2FA) siempre que sea posible. Aunque un atacante tenga tu contraseña, no tendrá tu segundo factor.
- Consulta bases de datos de filtraciones como HaveIBeenPwned para comprobar si tus credenciales han sido expuestas.
- Supervisa los inicios de sesión en busca de ubicaciones o dispositivos desconocidos.
El credential stuffing funciona porque las personas reutilizan contraseñas. Deja de hacerlo y el ataque dejará en gran medida de ser eficaz contra ti.