# Credential stuffing

> Probar contraseñas filtradas de un sitio en muchos otros, a velocidad de máquina.

- Nivel: Intermedio
- Temas: Seguridad
- URL: https://tidbit.legios.com.ar/es/credential-stuffing/
- En inglés: [Credential stuffing](https://tidbit.legios.com.ar/credential-stuffing/)

El **credential stuffing** (relleno de credenciales) agarra pares de correo y contraseña robados en una filtración de datos y los prueba, de forma automática, en los login de otros servicios: bancos, mail, tiendas, plataformas de streaming. No adivina nada. Apuesta a una costumbre humana, usar la misma contraseña en varios lados, y con miles de millones de pares filtrados dando vueltas, aunque acierte poquito son miles de cuentas tomadas.

Se diferencia de un ataque de fuerza bruta clásico, que prueba muchas contraseñas contra una sola cuenta. Acá cada cuenta recibe uno o dos intentos, con una contraseña que realmente fue de esa persona en otro sitio. Los atacantes reparten los intentos entre miles de direcciones IP usando botnets y proxies, así que para el sitio parecen usuarios comunes que se equivocaron al tipear, y los límites simples de intentos fallidos sirven mucho menos.

Del lado del usuario, la defensa es una contraseña distinta para cada sitio, que en la práctica significa usar un gestor de contraseñas, más 2FA o passkeys para que una contraseña filtrada sola no alcance. Servicios como Have I Been Pwned te dejan ver si tu correo apareció en alguna filtración conocida. Los sitios se defienden comparando las contraseñas nuevas contra listas de filtraciones, detectando tráfico de bots, pidiendo un CAPTCHA cuando algo huele raro y avisando de inicios de sesión desde lugares inusuales.

## Una analogía

Un ladrón encuentra un llavero que alguien perdió en el gimnasio y sale a probar esas llaves en todas las puertas del barrio. La mayoría no abre, pero al que usa la misma llave para la casa, el auto y la oficina le vacían todo.

## Para quedarse

- Reutiliza contraseñas filtradas reales en vez de adivinar nuevas.
- Solo funciona porque la gente repite contraseñas entre sitios.
- Los bots reparten los intentos entre muchas IP para parecer usuarios normales.
- Contraseñas únicas más 2FA o passkeys lo frenan.

## Para seguir leyendo

- [Credential stuffing en Wikipedia](https://es.wikipedia.org/wiki/Credential_stuffing)
- [Have I Been Pwned: fijate si tu correo estuvo en una filtración (en inglés)](https://haveibeenpwned.com/)
- [Credential stuffing (OWASP, en inglés)](https://owasp.org/www-community/attacks/Credential_stuffing)

## Términos relacionados

- [Filtración de datos](https://tidbit.legios.com.ar/es/data-breach/): Cuando información privada que guarda una organización termina en manos de quien no debe.
- [Ataque de fuerza bruta](https://tidbit.legios.com.ar/es/brute-force-attack/): Entrar a una cuenta probando contraseñas, una detrás de otra, hasta que alguna funcione.
- [Dirección IP](https://tidbit.legios.com.ar/es/ip-address/): El número que identifica a un dispositivo en una red, como una dirección postal.
- [DDoS](https://tidbit.legios.com.ar/es/ddos/): Tirar un sitio inundándolo con más tráfico del que puede aguantar.
- [Proxy](https://tidbit.legios.com.ar/es/proxy/): Una computadora intermediaria que hace pedidos en nombre de otro.
- [Gestor de contraseñas](https://tidbit.legios.com.ar/es/password-manager/): Una bóveda cifrada que recuerda una contraseña distinta y fuerte para cada sitio.
- [Autenticación de dos factores](https://tidbit.legios.com.ar/es/two-factor-authentication/): Una segunda prueba de que sos vos, para que una contraseña robada no alcance.
- [Passkeys](https://tidbit.legios.com.ar/es/passkeys/): Una forma de entrar sin contraseña, usando el bloqueo de tu celular o computadora.