Tu contraseña en algún sitio . 16 mil millones de credenciales expuestas en una sola filtración. La pregunta ya no es «¿me afectará?» sino «¿cuántas cuentas caerán a la vez?» Todos tenemos el mismo reflejo: una contraseña «bastante fuerte», reutilizada en todas partes, porque es imposible recordar cuarenta. Los atacantes cuentan exactamente con eso. Hoy ya no son genios los que «rompen» tu contraseña: son bots que reutilizan credenciales robadas en otro sitio. Por qué la contraseña memorizada ha llegado al límite — con casos reales y recientes — y qué cambia concretamente un gestor de contraseñas. 16 mil M de credenciales expuestas en una compilación descubierta en junio de 2025 6 167 filtraciones de datos registradas por la CNIL en 2025, +10 % interanual 88 % de los ataques web explotan credenciales robadas (Verizon 2025) El peligro no es una contraseña débil. Es una contraseña reutilizada. En junio de 2025, investigadores de Cybernews descubrieron una compilación de 16 mil millones de credenciales agregadas desde unas treinta bases de datos distintas, afectando cuentas de Google, Apple, VPN e incluso sitios gubernamentales. El detalle más alarmante : no se trataba de filtraciones antiguas recicladas, sino de datos frescos e inmediatamente explotables, incluidas cookies y tokens de sesión. Y este volumen no es una excepción. El informe de 2025 de la CNIL recoge 6 167 filtraciones de datos , un 10 % más que el año anterior. Estadísticamente, algunas de sus credenciales ya circulan. Mientras una contraseña sea única para un solo servicio, una filtración sigue siendo un incidente aislado. Reutilizada en diez sitios, se convierte en una llave maestra. Credential stuffing: cómo una filtración desencadena diez más Desde el lado del atacante, el principio es desarmantemente simple. Una contraseña robada en el sitio A se reproduce automáticamente mediante bots en cientos de otros servicios: banca, correo, redes sociales, comercio electrónico. Como indica la CNIL : una sola llave que abre todas las puertas. Según el informe Verizon 2025, las credenciales robadas o forzadas intervienen en el 88 % de los ataques web . Para los defensores, es el ataque con mejor relación esfuerzo/beneficio que existe: sin vulnerabilidad que encontrar, sin exploit sofisticado. Se alquila una lista barata, se lanzan bots desde miles de IP y una pequeña tasa de éxito sobre millones de cuentas basta para rentabilizar la operación. 14 000 cuentas comprometidas → 6,9 millones expuestos Entre abril y septiembre de 2023, atacantes accedieron a unas 14 000 cuentas mediante credential stuffing. A través de funciones de intercambio de datos, alcanzaron 5,5 millones de perfiles adicionales y 1,4 millones de árboles genealógicos. Resultado: un acuerdo de 30 M$ y protección concursal en 2025. Datos sensibles extraídos en 3 días En diciembre de 2022, PayPal sufrió un ataque masivo de credential stuffing. Nombres completos, números fiscales y de la seguridad social, datos de tarjetas quedaron expuestos — no por una falla de PayPal, sino porque las credenciales reutilizadas de los clientes ya habían filtrado en otro lugar. Transporte público de París como objetivo Un ataque de credential stuffing con credenciales robadas accedió fraudulentamente a cuentas de usuarios del operador de transporte parisino — un recordatorio local y reciente de que nadie está fuera de alcance. El mito de la «contraseña compleja» Un informe que analiza más de mil millones de contraseñas robadas por malware lo confirma: muchas superaban los requisitos regulatorios de longitud y complejidad. Frente a un infostealer que lee su contraseña en texto plano en su dispositivo, la complejidad no protege nada. Lo que importa es la unicidad y un segundo factor. Memorizar es el problema. Delegar es la solución. La causa raíz no es técnica, es humana: un cerebro no puede generar y recordar 40 contraseñas únicas y aleatorias. Así que reutilizamos. Un gestor de contraseñas elimina ese compromiso en origen — usted recuerda solo un secreto maestro; él se encarga del resto. El beneficio antiphishing está subestimado: un gestor solo rellena credenciales en el dominio exacto guardado. En un sitio falso «paypa1.com», simplemente se niega a rellenar — donde un humano apresurado caería en la trampa. Sus próximos 5 minutos Un último reflejo de seguridad: si recibe una alerta de filtración para un servicio concreto, nunca haga clic en el enlace del correo. Abra usted mismo la aplicación o escriba la dirección manualmente, y cambie la contraseña desde allí. Las notificaciones de filtración son un cebo de phishing ideal. Compruebe la exposición de sus direcciones en Have I Been Pwned — gratuito y de confianza. Instale un gestor de contraseñas y cree una contraseña maestra larga y única (una frase de contraseña es ideal). Active la autenticación de dos factores (2FA/MFA) : Microsoft estima que bloquea más del 99,9 % de las compromisiones de cuentas. Cambie primero las contraseñas reutilizadas en cuentas críticas: correo principal, luego banca. Deje que el gestor regenere el resto gradualmente, un sitio a la vez. Deja de memorizar. Empieza a proteger. Crea tu cofre QubKey: genera, almacena y rellena contraseñas únicas en todos tus dispositivos — en minutos. Este artículo tiene fines informativos. Los casos citados (23andMe, PayPal, Île-de-France Mobilités, filtración Cybernews de junio de 2025) se basan en prensa especializada y autoridades como la CNIL. Ante una notificación de filtración, siga siempre las instrucciones oficiales del servicio afectado.