Ataques de Credential Stuffing: Cómo los Hackers Explotan Tus Contraseñas
El credential stuffing es un ataque automatizado en el que los hackers utilizan combinaciones de nombre de usuario y contraseña robadas para obtener acceso no autorizado a tus cuentas en múltiples sitios web y servicios. El ataque funciona porque muchas personas reutilizan la misma contraseña en diferentes plataformas—cuando una empresa sufre una violación de datos, los criminales recopilan las credenciales filtradas y utilizan software especializado para probar rápidamente esas mismas combinaciones de inicio de sesión en cientos de otros sitios. Según el Informe de Investigación de Violaciones de Datos 2024 de Verizon, el compromiso de credenciales está involucrado en más del 40% de las violaciones de datos, lo que lo convierte en uno de los vectores de ataque más comunes. Un único ataque de credential stuffing puede probar millones de combinaciones de inicio de sesión en cuestión de horas, con tasas de éxito entre el 0,1% y el 2% dependiendo de la calidad de la lista de contraseñas del atacante. Esto significa que en una lista de un millón de credenciales robadas, los atacantes podrían acceder exitosamente a entre 1.000 y 20.000 cuentas—y esas cuentas típicamente contienen información financiera, datos personales o acceso a sistemas más sensibles. El peligro del credential stuffing va más allá del compromiso inicial de la cuenta. Una vez que los atacantes obtienen acceso a tu cuenta de correo electrónico, pueden solicitar restablecimientos de contraseña en tus cuentas bancarias, redes sociales y criptomonedas. Si acceden a tu correo de trabajo a través de credenciales de LinkedIn, obtienen un punto de entrada para espionaje corporativo o despliegue de ransomware. El Centro de Denuncias de Delitos en Internet del FBI en 2023 recibió más de 14.000 reportes relacionados con compromiso de credenciales, resultando en pérdidas superiores a 137 millones de dólares. El ataque es particularmente insidioso porque las víctimas a menudo no se dan cuenta de que han sido comprometidas hasta que ven cargos fraudulentos en sus cuentas o notan cambios no autorizados en su información de perfil. Las violaciones a gran escala como las que afectaron a LinkedIn (700 millones de cuentas), Yahoo (3 mil millones de cuentas) y numerosas cadenas minoristas han creado enormes bases de datos de credenciales que los criminales explotan activamente.
Common Tactics
- • Obtener listas de credenciales robadas de mercados de la dark web o de violaciones de datos anteriores, luego usar herramientas automatizadas como Sentry MBA u OpenBullet para probar rápidamente estas credenciales contra portales de inicio de sesión de bancos, proveedores de correo electrónico, plataformas de redes sociales y sitios de comercio electrónico.
- • Utilizar servidores proxy rotativos y direcciones IP residenciales para distribuir solicitudes en múltiples rangos de IP, eludiendo medidas de seguridad de limitación de velocidad estándar que normalmente marcarían intentos de inicio de sesión rápidos desde una única fuente.
- • Probar credenciales primero en sitios menos protegidos como cuentas de foro o minoristas antes de intentar objetivos de alto valor como cuentas de correo electrónico y bancarias, permitiéndoles verificar qué credenciales aún funcionan antes de dirigirse a cuentas financieramente valiosas.
- • Implementar variaciones leves o mutaciones de contraseñas robadas durante el ataque, como agregar sufijos comunes como '123' o '!' para tener en cuenta a los usuarios que cambiaron ligeramente sus contraseñas después de una violación.
- • Monitorear el acceso exitoso a cuentas para identificar qué credenciales proporcionan la información más valiosa, luego vender estas credenciales activas verificadas en la dark web o usarlas para ataques secundarios como apropiación de cuenta o robo de identidad.
- • Programar ataques durante horas de menor actividad o distribuirlos en períodos extendidos para evitar activar alertas de seguridad que serían generadas por grandes números de intentos de inicio de sesión fallidos simultáneos.
How to Identify
- Recibes una notificación de que alguien inició sesión en tu cuenta desde una ubicación o dispositivo desconocido, o ves actividad de inicio de sesión en momentos en que no estabas en línea.
- Tu cuenta de correo electrónico contiene notificaciones de restablecimiento de contraseña o intentos de recuperación de cuenta que no iniciaste, indicando que alguien intenta acceder a tu cuenta.
- Observas actividad inusual como información de perfil cambiada, compras no autorizadas, configuración de seguridad modificada, o aplicaciones o dispositivos conectados desconocidos en tu cuenta.
- Las cuentas financieras muestran transacciones no autorizadas, o tu banco te alerta sobre intentos de inicio de sesión sospechosos aunque uses contraseñas sólidas y únicas.
- Recibes alertas de tu proveedor de correo electrónico sobre actividad sospechosa, intentos de inicio de sesión fallidos desde múltiples ubicaciones, o solicitudes para cambiar tu contraseña de fuentes que no reconoces.
- Tus cuentas de redes sociales han sido utilizadas para enviar mensajes sin solicitud o solicitudes de amistad a tus contactos, una señal de que alguien más tiene control de tus credenciales de inicio de sesión.
How to Protect Yourself
- Crea contraseñas únicas y complejas para cada cuenta en línea usando un administrador de contraseñas como Bitwarden, 1Password o Dashlane—evita reutilizar contraseñas en sitios, ya que esto es lo que permite que los ataques de credential stuffing tengan éxito.
- Habilita autenticación multifactor (MFA) en todas las cuentas que la soportan, especialmente en cuentas de correo electrónico, bancarias, de criptomonedas y redes sociales; usa aplicaciones de autenticación como Google Authenticator o Authy en lugar de SMS cuando sea posible, ya que SMS es vulnerable al intercambio de tarjetas SIM.
- Monitorea tus cuentas regularmente para detectar actividad sospechosa y configura alertas de cuenta para inicios de sesión desde dispositivos o ubicaciones nuevas; la mayoría de las plataformas principales te permiten revisar sesiones activas y cerrar sesión en dispositivos desconocidos.
- Coloca una alerta de fraude o congelación de crédito con Equifax, Experian y TransUnion para evitar que los atacantes abran nuevas cuentas a tu nombre si obtienen tu información personal durante un compromiso.
- Verifica si tu dirección de correo electrónico aparece en violaciones de datos conocidas usando haveibeenpwned.com y researchbreaches.com; si se encuentra en violaciones, cambia inmediatamente la contraseña de esa cuenta y cualquier otra que use las mismas credenciales.
- Mantén tus dispositivos actualizados con los últimos parches de seguridad y usa software antivirus reputado para evitar que registradores de pulsaciones o malware que robe credenciales capturen tus contraseñas antes de que lleguen al sitio web objetivo.
Real-World Examples
Las credenciales de LinkedIn de una desarrolladora de software fueron expuestas en una violación de 2021 pero no actualizó su contraseña. Meses después, los atacantes utilizaron su nombre de usuario y contraseña filtrados para acceder a su cuenta de LinkedIn, luego utilizaron el proceso de recuperación de cuenta para restablecer su contraseña de Gmail. Una vez dentro de su correo, restablecieron sus contraseñas de AWS, GitHub y banca, ganando acceso a la infraestructura en la nube de su empresa y sus ahorros personales. Descubrió la violación cuando el equipo de seguridad de su empresa detectó patrones de acceso inusuales a AWS, revelando que el ataque ya había causado 8.000 dólares en cargos fraudulentos en la nube y expuso código de proyecto confidencial.
Un gerente minorista reutilizaba la misma contraseña en su cuenta de trabajo, correo electrónico y sistema de banca personal. Cuando el minorista sufrió una violación de datos que expuso 50.000 credenciales de empleados, los atacantes inmediatamente probaron esas credenciales contra sitios bancarios populares. La cuenta bancaria del gerente fue accedida dentro de 12 horas, y los defraudadores transfirieron 4.200 dólares a intercambios de criptomonedas antes de que el sistema de detección de fraude del banco activara una retención de transacciones adicionales. La investigación reveló que los atacantes probaron las credenciales en 47 sitios web diferentes, accediendo exitosamente a su correo electrónico y cuentas de PayPal también.
Una propietaria de negocio de comercio electrónico notó contracargos inusuales en su cuenta de comerciante y descubrió que los atacantes habían obtenido acceso a su correo electrónico a través de credential stuffing. Usando su acceso al correo, iniciaron sesión en el panel de administración de su plataforma de comercio electrónico y modificaron precios de productos, redirigieron pagos de clientes a cuentas controladas por atacantes, y robaron información de pago de clientes. Durante un período de 5 días antes de que notara el fraude, los atacantes procesaron 23.000 dólares en transacciones desviadas y comprometieron datos de pago de más de 300 clientes, resultando en responsabilidad significativa y daño a la reputación.