Se filtró tu contraseña: esto es lo que debes hacer

Si acabas de enterarte de que una de tus contraseñas se filtró, empieza por lo tranquilizador: es algo habitual y tiene solución. Actúa rápido, pero no hace falta entrar en pánico: una contraseña filtrada solo es realmente peligrosa cuando se reutiliza o no está protegida por un segundo factor, y ambas cosas puedes arreglarlas hoy.

Cómo se filtran realmente las contraseñas

Entender el mecanismo te ayuda a responder de forma proporcionada. Hay tres vías principales:

• Una brecha en un servicio. Un sitio o una app que usabas sufrió una brecha y quedaron expuestas las credenciales que almacenaba. Si esas contraseñas se guardaban como hashes débiles o sin sal, los atacantes las descifran rápido; las listas resultantes circulan y se combinan en enormes volcados agregados.
• Credential stuffing. Los atacantes toman pares de usuario y contraseña filtrados en un lugar y los prueban automáticamente en muchos otros sitios. Funciona por una sola razón: la reutilización de contraseñas. Si tu combinación de correo y contraseña de un foro vulnerado es también la de tu banco, el atacante ya está en tu banco.
• Malware infostealer. Un malware en un dispositivo recoge directamente de la máquina las contraseñas guardadas, las credenciales almacenadas en el navegador e incluso las cookies de sesión activas, saltándose por completo el inicio de sesión.

El hilo común de las tres: una sola filtración rara vez se queda en el problema de una sola cuenta. Se propaga porque la misma contraseña se usó en más de un sitio.

Qué hacer ahora mismo

Si sabes que una contraseña concreta está expuesta, sigue estos pasos en orden:

• Cambia primero la contraseña de la cuenta afectada. Pon una contraseña nueva, larga, aleatoria y única, no un pequeño retoque de la anterior.
• Cámbiala en todos los sitios donde la reutilizaste. Este es el paso más importante. Cada cuenta que compartía esa contraseña está expuesta hasta que la cambies. Si no recuerdas dónde la reutilizaste, asume que en muchos sitios y prioriza el correo, la banca y todo lo que guarde datos de pago o personales.
• Activa la autenticación multifactor. Activa el MFA en la cuenta si aún no lo está, y prefiere un método resistente al phishing (una passkey o una llave de seguridad FIDO2) en lugar de los códigos por SMS, que pueden interceptarse o robarse con un SIM swapping.
• Comprueba si hubo accesos no autorizados. Revisa los inicios de sesión recientes, el correo y el teléfono de recuperación, las reglas de reenvío y cualquier mensaje o transacción que no hayas hecho. Los atacantes suelen cambiar primero la configuración de recuperación para mantener un punto de apoyo.
• Atento al phishing posterior. A una filtración suelen seguirle señuelos convincentes que hacen referencia a ella («tu cuenta fue vulnerada, haz clic aquí»). Desconfía de los enlaces no solicitados y entra en los sitios por tu cuenta.

Cómo comprobar si estás expuesto

No tienes que adivinarlo. Los servicios de notificación de brechas reputados (los conocidos sitios del estilo «have I been pwned») te permiten introducir una dirección de correo y ver en qué brechas conocidas ha aparecido. Algunos te dejan comprobar si una contraseña concreta ha aparecido en algún volcado, con un método que preserva la privacidad para que la contraseña completa nunca salga de tu dispositivo. Un buen gestor de contraseñas incorpora este monitoreo: marca de forma continua las contraseñas reutilizadas, débiles o que se sabe que aparecen en conjuntos de datos de brechas, y te pide que las corrijas. Los navegadores modernos hacen cada vez más lo mismo con las credenciales guardadas. Toma cualquier coincidencia como una señal para cambiar esa contraseña en todas partes y activar el MFA.

La solución duradera es estructural

Correr a cambiar contraseñas después de cada filtración es agotador y nunca queda del todo completo. La solución duradera es cambiar la estructura para que una filtración simplemente no pueda propagarse:

• Un gestor de contraseñas, para tener contraseñas únicas en todas partes. Cuando cada cuenta tiene su propia contraseña larga y aleatoria, la brecha de un servicio expone exactamente una cuenta: el credential stuffing no tiene nada que reutilizar. Este único cambio neutraliza la forma más habitual en que una filtración se convierte en muchas.
• MFA en todos los sitios que lo ofrezcan. Con un segundo factor, una contraseña robada no basta por sí sola para iniciar sesión. Los factores resistentes al phishing (passkeys, llaves FIDO2) son los más fuertes; cualquier MFA es mejor que ninguno.
• Passkeys donde se admitan. Las passkeys sustituyen el secreto compartido de la contraseña por un par de claves criptográficas: no hay ninguna contraseña almacenada en el servidor que pueda filtrarse, y la credencial está vinculada al origen del sitio real, así que no puede robarse mediante phishing. Adoptarlas elimina por completo el secreto filtrable.

Con contraseñas únicas más MFA, un futuro aviso de «tu contraseña se filtró» se convierte en un incidente menor y acotado en lugar de una emergencia.

Qué deberían hacer las organizaciones

La misma lógica escala. Para una empresa que protege cuentas de empleados y clientes, los equivalentes son:

• Monitoreo de credenciales filtradas. Comprueba de forma continua si las credenciales corporativas o de clientes aparecen en volcados conocidos y fuerza un cambio cuando lo hagan: los atacantes reutilizan volcados antiguos durante años, así que es algo continuo, no puntual.
• MFA obligatorio, idealmente resistente al phishing, para que las contraseñas filtradas no puedan usarse por sí solas.
• Defensas contra el credential stuffing. Limitación de intentos, detección de bots y alertas ante picos de inicios de sesión fallidos repartidos entre muchas cuentas: la firma de una campaña de stuffing.
• Bloquea las contraseñas comprometidas en el momento de crearlas. Rechaza las contraseñas filtradas conocidas y las más comunes cuando un usuario establece una, para que una contraseña mala nunca llegue a usarse.

Como base de todo ello, trata las credenciales expuestas como un riesgo de identidad continuo que gestionar, no como una tarea de limpieza que termina. Las cuentas que más quiere un atacante son las que llegan a otros sistemas, que es también donde más rinden el monitoreo y los factores fuertes.

La conclusión

Una contraseña filtrada importa solo por dos razones: puede haberse reutilizado y puede no estar respaldada por un segundo factor. Cierra ambos huecos (contraseñas únicas con un gestor, MFA y passkeys en todos los sitios que puedas) y una sola filtración deja de ser una crisis. Las claves de API son la excepción: no tienen segundo factor, así que una clave filtrada, como en el hackeo de OpenCode que expuso claves de API de proveedores, hay que rotarla, no solo vigilarla. Hazlo una vez, de forma estructural, y dejarás de apagar el mismo fuego después de cada brecha.

Preguntas frecuentes

Se filtró mi contraseña: ¿qué hago primero? Cámbiala en la cuenta afectada y después en todos los sitios donde la reutilizaste, haz que cada nueva sea única, activa el MFA y revisa la cuenta en busca de accesos no autorizados y cambios en la configuración de recuperación.

¿Cómo se filtran las contraseñas? Las brechas en servicios exponen las credenciales almacenadas; el credential stuffing reutiliza contraseñas repetidas en distintos sitios; y el malware infostealer recoge las contraseñas guardadas en los dispositivos. La reutilización es lo que propaga el daño.

¿Cómo compruebo si la mía se filtró? Usa un servicio de notificación de brechas reputado para comprobar tu correo o una contraseña concreta, o deja que un gestor de contraseñas marque de forma continua las contraseñas reutilizadas, débiles y filtradas.

¿Cómo hago que una contraseña filtrada deje de importar? Elimina la reutilización (un gestor de contraseñas da a cada cuenta una contraseña única) y añade un segundo factor (MFA, idealmente passkeys o llaves FIDO2) para que una contraseña robada por sí sola no sirva de nada.

¿Qué deberían hacer las organizaciones? Vigilar las credenciales filtradas y forzar cambios, exigir MFA resistente al phishing, defenderse del credential stuffing con limitación de intentos y detección, y bloquear las contraseñas comprometidas conocidas cuando se establecen.