Definición
El credential stuffing consiste en tomar listas de credenciales robadas en filtraciones previas (las llamadas combolists) y probarlas de forma masiva y automatizada contra los formularios de login de otros sitios. A diferencia de la fuerza bruta, no adivina contraseñas: usa combinaciones reales que ya funcionaron en algún lado. Suele apoyarse en bots, proxies residenciales y rotación de IP para esquivar bloqueos. Una variante cercana es el password spraying, que prueba pocas contraseñas comunes contra muchas cuentas.
Ejemplo
Una tienda online sufre una filtración y su base de emails y contraseñas termina publicada en un foro. Semanas después, atacantes prueban esas mismas combinaciones en servicios de streaming y bancos, y logran entrar a las cuentas de los usuarios que usaban la misma contraseña en ambos lados.
Cómo protegerse
- Usá una contraseña distinta para cada servicio, idealmente generada y guardada en un gestor de contraseñas.
- Activá la autenticación multifactor (2FA/MFA), preferentemente con app autenticadora o llave de seguridad.
- Revisá si tu email aparece en filtraciones conocidas y cambiá las contraseñas afectadas.
- Si administrás un sitio: aplicá rate limiting, detección de bots, CAPTCHA adaptativo y alertas de inicios de sesión anómalos.
- Si administrás un sitio: compará las contraseñas nuevas contra listas de contraseñas filtradas y ofrecé passkeys.
Para tener en cuenta
Un error común es creer que una contraseña larga y compleja protege contra este ataque: si se reutiliza y se filtra una vez, deja de servir en todos los sitios donde se usó. Probar credenciales ajenas en servicios de terceros es un delito en la mayoría de los países, aunque las credenciales sean públicas.
Redactado con el asistente Underc0de IA. Actualizado el 14/11/2026. ¿Ves un error o querés sumar algo? Contanos en el foro.