Nadie adivinó tu contraseña. Solo la reutilizaron.

Un bot en un centro de datos en algún lugar está intentando tu dirección de correo en 130 sitios web en este momento, y ya conoce la contraseña. No una adivinanza. No un diccionario de las comunes. La cadena exacta que escribiste — porque la escribiste antes, en algún sitio que fue vulnerado, y los atacantes apostaron a que eras lo suficientemente perezoso como para usarla dos veces.

Esa apuesta da resultado un número pasmoso de veces. Una encuesta de Google y Harris Poll encontró que el 65% de las personas reutilizan la misma contraseña en múltiples sitios, y algunos admiten usar una contraseña en casi todos lados. Probablemente leíste ese número y pensaste, claro, otras personas. Ese es el modelo de negocio completo. El atacante no cuenta contigo específicamente siendo descuidado. Cuenta con que el 65% de una lista robada sea descuidado, y solo necesita una pequeña porción para tener éxito.

Esto es credential stuffing (relleno de credenciales), y el nombre es literal. Alguien toma un volcado de pares correo-contraseña filtrados — Have I Been Pwned ahora indexa más de 14 mil millones de cuentas comprometidas en miles de vulneraciones — y "rellena" esos pares en formularios de inicio de sesión por toda internet. Bancos. Servicios de streaming. Programas de fidelización. Tu correo en sí mismo. Lo automatizan, rotan a través de IPs proxy para que nada se vea sospechoso, y dejan que el volumen haga el trabajo.

Y el volumen es absurdo. Akamai, que se interpone ante una gran fracción del tráfico web, ha registrado decenas de miles de millones de intentos de credential stuffing en un único año, con algunos reportes midiendo bien más de cien mil millones anualmente. Una contraseña comprometida no abre una puerta. Es una llave maestra siendo probada contra cada cerradura de la calle, rápido, por algo que nunca se cansa.

Aquí está la parte que debería replantear cómo lo piensas. La página de inicio de sesión en la que reutilizaste esa contraseña no necesitaba haber sido vulnerada. El sitio débil que la filtró — un foro desaparecido, un minorista de 2014, una aplicación de preguntas — les da a los atacantes la llave para los sitios fuertes. Tu banco puede tener seguridad perfecta y aun así perder, porque la contraseña que la protege ya estaba sentada en un archivo de texto vendido por centavos, extraída de algún lugar con la seguridad de una puerta de mosquitero.

Entonces, ¿cómo sabes si estás en uno de estos volcados? Frecuentemente, ya te lo dijeron. No mediante un informe de seguridad — mediante tu carpeta de spam. Esos correos de "intento de inicio de sesión inusual", "confirma tu cuenta" y "detectamos un inicio de sesión desde un dispositivo nuevo" que borras reflexivamente son frecuentemente la alarma real y legítima disparándose porque un bot intentó tus credenciales y activó un límite de velocidad. Las notificaciones de vulneración reales y las alertas de inicio de sesión reales terminan constantemente en spam, justo al lado de las falsas que las impersonan. La señal está ahí. Solo está enterrada bajo el ruido diseñado para verse idéntico.

La solución es aburrida y funciona. Deja de reutilizar contraseñas — un gestor de contraseñas convierte cada inicio de sesión en una cadena aleatoria única, así que una fuga de un sitio envenena exactamente una cuenta en lugar de todas ellas. Activa autenticación de dos factores, lo que significa que una contraseña robada correcta aún falla en el segundo paso. Y realmente comprueba si tu dirección está en una vulneración conocida; Have I Been Pwned te lo dirá gratis, y la mayoría de gestores de contraseñas ahora marcan automáticamente entradas reutilizadas y comprometidas.

La verdad incómoda es que el atacante más trabajador dirigido a ti no es un hacker con capucha. Es un script, ejecutando una lista, explotando el único hábito que casi todos comparten y casi todos asumen que no les aplica.