Reutilización de contraseñas: por qué una fuga de 2022 aún te hackea

Por PathSentinel · Jesús Macías Rubiales — Investigación de seguridad web

La reutilización de credenciales es probablemente el error de seguridad más extendido y subestimado en las pymes, y explica una realidad que sorprende a muchos: una fuga de datos ocurrida en 2022 puede seguir sirviendo para hackear tu empresa hoy, en 2026. La contraseña que usaste en un foro o una tienda que sufrió una brecha hace años sigue viva mientras la sigas reutilizando. Este artículo desarrolla un concepto central de nuestra guía sobre cómo hackean a las pymes: infostealers, phishing y BEC.

Reutilización de credenciales: por qué el tiempo no las cura

Cada vez que un servicio sufre una brecha, millones de combinaciones de correo y contraseña acaban en bases de datos que circulan por foros y mercados clandestinos. Esas listas no caducan: se recopilan, se fusionan y se revenden durante años. Mientras tanto, la mayoría de la gente cambia de trabajo, de proyecto y de móvil, pero conserva la misma contraseña «de siempre».

Ahí está el problema. La reutilización de credenciales convierte una fuga antigua en una llave que sigue abriendo puertas nuevas. El correo profesional que creaste el año pasado puede estar protegido por la misma contraseña que se filtró en una brecha de hace cuatro años. Para el atacante, no hay que descifrar nada: la clave ya está publicada.

Credential stuffing: el ataque que lo aprovecha

El método que explota la reutilización se llama credential stuffing, y es tan sencillo como eficaz. Consiste en tomar millones de pares usuario-contraseña filtrados y probarlos de forma automática contra otros servicios, a la espera de que alguien haya reutilizado la misma clave. El proceso es:

• Recopilación: el atacante reúne listas de credenciales de brechas pasadas.
• Automatización: usa herramientas que prueban esas credenciales contra paneles de WordPress, correos, hosting o CRM a gran escala.
• Aciertos: allí donde la contraseña se reutilizó, obtiene acceso legítimo sin disparar alarmas evidentes.
• Explotación: a partir de ese acceso, roba datos, coloca puertas traseras o prepara fraudes.

Esta técnica está catalogada en MITRE ATT&CK dentro de los ataques a cuentas válidas, y es difícil de distinguir de un inicio de sesión legítimo precisamente porque la contraseña es correcta.

Por qué las pymes son el blanco perfecto

Las grandes plataformas detectan y bloquean estos intentos con relativa eficacia. Las pymes, en cambio, rara vez cuentan con sistemas que identifiquen accesos sospechosos, y suelen arrastrar tres agravantes:

• Contraseñas compartidas entre varios empleados o servicios «para simplificar».
• Patrones predecibles, como añadir el año o el nombre de la empresa a una base común.
• Ausencia de doble factor en accesos críticos como el correo o el panel de la web.

El resultado se agrava cuando la contraseña reutilizada pertenece a un perfil con muchos permisos. Ese es el nexo con el phishing a administradores web: si el atacante consigue, por reutilización o por engaño, la clave de quien administra el WordPress, no necesita nada más para tomar el control del sitio.

Cómo saber si tus contraseñas ya están filtradas

El primer paso es dejar de suponer y comprobar. Hay indicios y herramientas concretas:

• Consulta tus correos en Have I Been Pwned, que te dice en qué brechas conocidas ha aparecido cada dirección.
• Revisa los inicios de sesión desde ubicaciones o dispositivos que no reconoces.
• Desconfía de bloqueos de cuenta o avisos de intentos fallidos repetidos: pueden ser un ataque de credential stuffing en curso.
• Comprueba reglas de reenvío creadas sin tu conocimiento, señal de que alguien ya entró.

Cómo romper la cadena de una vez

La buena noticia es que la reutilización de credenciales tiene una solución clara, aunque exija disciplina:

• Una contraseña única por servicio. Sin excepciones, sin patrones. Un gestor de contraseñas lo hace viable en la práctica.
• Doble factor en todo lo crítico, preferiblemente con aplicación o llave física en lugar de SMS.
• Rotación tras cualquier brecha conocida del servicio afectado y de cualquier otro donde usaras la misma clave.
• Formación básica al equipo para que entienda por qué «esa contraseña ya no sirve», aunque nunca les haya dado problemas.
• Monitorización de accesos para detectar patrones de credential stuffing antes de que tengan éxito.

El organismo de referencia en España, INCIBE, insiste en estas mismas medidas en sus recomendaciones para empresas. Cuando la reutilización de una clave sirve como puerta de entrada, el siguiente paso del atacante suele ser el secuestro del correo empresarial para facturar en tu nombre, de modo que cortar la reutilización protege mucho más que una sola cuenta. En PathSentinel ayudamos a pymes y a entornos exigentes de banca y comercio con datos de tarjeta a cerrar estas brechas heredadas; si quieres una revisión, escríbenos por contacto.