¿De dónde salen las credenciales filtradas de una empresa?
No todas las filtraciones pesan lo mismo. Saber de dónde viene una credencial te dice si es antigua o reciente, si sigue siendo válida y con qué prisa tienes que actuar.
| Origen | Qué contiene | Riesgo habitual |
|---|---|---|
| Brechas de terceros | El correo corporativo y una contraseña, en claro o como hash, de un servicio externo donde se registró el empleado | Alto si reutiliza la contraseña en sistemas de la empresa |
| Combolists | Listas de usuario y contraseña recopiladas de muchas brechas y recicladas una y otra vez | Medio: mucho dato antiguo, pero alimenta ataques automatizados de relleno de credenciales |
| Logs de infostealers | Contraseñas guardadas en el navegador, cookies de sesión, autocompletado, datos del equipo y URLs de acceso | Muy alto: datos recientes, a menudo válidos y con sesiones que pueden saltarse el MFA |
| Phishing | Credenciales escritas en una página falsa, a veces con la cookie de sesión | Muy alto: el atacante suele usarlas en minutos |
¿Por qué los logs de infostealers son el caso más grave?
Un infostealer es un malware que, nada más ejecutarse, copia las contraseñas guardadas en el navegador, las cookies de sesión y otros datos del equipo, y los envía al atacante empaquetados en un log. Esos logs se venden en mercados y canales de mensajería, y otros delincuentes los compran para entrar en cuentas o revender accesos.
Se distribuyen con software pirata, anuncios maliciosos, falsos CAPTCHA y correos de phishing. Microsoft identificó más de 394.000 equipos Windows infectados por el infostealer Lumma en todo el mundo solo entre el 16 de marzo y el 16 de mayo de 2025.
Tres motivos los hacen especialmente peligrosos para una empresa:
- Muchas veces infectan equipos que tu EDR no ve. Según el Verizon DBIR 2025, el 46 % de los equipos comprometidos por infostealers que contenían posibles credenciales corporativas eran dispositivos no gestionados, como ordenadores personales con los que alguien entra al correo o a la VPN.
- Incluyen cookies de sesión. Con ellas, el atacante puede entrar sin contraseña ni MFA hasta que la sesión caduca o se revoca.
- Pueden preceder a ataques mayores. El mismo informe encontró que el 54 % de una muestra de víctimas publicadas por grupos de ransomware tenían su dominio en logs de infostealers o en anuncios de mercados de credenciales.
¿Cómo saber si las credenciales de tu empresa están filtradas?
- Busca tus dominios en servicios de notificación de brechas. Have I Been Pwned, por ejemplo, permite verificar la propiedad de un dominio y ver qué direcciones aparecen en brechas conocidas. Su cobertura se centra en brechas y conjuntos de datos que han llegado a hacerse públicos, no en todo lo que circula en mercados de logs.
- Revisa si tu plataforma de identidad detecta credenciales filtradas. Algunas lo incluyen según la licencia; comprueba si está activado y quién recibe el aviso.
- Usa inteligencia de amenazas que cubra mercados de logs, canales de mensajería y foros. Es donde aparecen los logs recientes, y su acceso y análisis requieren fuentes especializadas.
- Busca señales en tus propios registros: inicios de sesión válidos desde IP o países inusuales, una misma sesión usada desde dos ubicaciones a la vez e intentos masivos de inicio de sesión contra la VPN o el portal de acceso.
¿Qué hacer si aparecen credenciales de tu empresa?
La respuesta depende del tipo de hallazgo. Esta tabla resume las acciones habituales:
| Hallazgo | Qué hacer |
|---|---|
| Correo corporativo en una brecha antigua de un servicio externo | Comprobar si la contraseña se reutiliza en la empresa, forzar el cambio si hay duda y recordar que el correo corporativo no se usa para servicios personales |
| Usuario y contraseña en una combolist | Cambiar la contraseña, revisar intentos de acceso recientes y confirmar que la cuenta tiene MFA |
| Log de infostealer con credenciales corporativas | Cambiar desde un equipo limpio todas las contraseñas del log, revocar sesiones, localizar y reconstruir el equipo infectado y revisar los accesos desde la fecha de infección |
| Cookies de sesión de aplicaciones corporativas | Revocar de inmediato las sesiones en el proveedor de identidad y en las aplicaciones SaaS afectadas |
| Credenciales de VPN, acceso remoto o cuentas de servicio | Máxima prioridad: rotarlas, revisar los registros de acceso y buscar persistencia |
En todos los casos, sigue este orden:
- Valida el hallazgo con tu equipo de identidad: si la cuenta existe, si sigue activa y si la fecha del hallazgo es posterior al último cambio de contraseña. No pruebes la credencial filtrada en tus sistemas.
- Contén: cambia la contraseña, revoca las sesiones abiertas y revisa los métodos de MFA registrados.
- Busca el origen. Si es un infostealer, el equipo infectado sigue robando datos. El log suele incluir nombre del equipo, usuario de Windows, IP, ruta del malware y fecha de infección, y puede tratarse de un dispositivo personal.
- Investiga el uso: revisa los inicios de sesión desde la fecha del log o de la brecha.
- Corrige la causa: contraseñas guardadas en el navegador, dispositivos no gestionados con acceso corporativo o cuentas sin MFA.
¿Cómo vigilar las credenciales filtradas de forma continua?
Una comprobación puntual es una foto fija, y los logs de infostealers se publican a diario. Una vigilancia útil tiene estos componentes:
- Cobertura de fuentes: brechas públicas, combolists, mercados y canales de logs de infostealers, y foros.
- Vigilancia por dominio y por persona: tus dominios, los de tus filiales y las cuentas de directivos y administradores.
- Deduplicación y frescura, para distinguir un hallazgo nuevo de un dato reciclado hace años.
- Contexto para actuar: qué equipo, qué fecha, qué aplicaciones y si la cuenta sigue activa.
- Conexión con la respuesta: que el aviso llegue a quien puede cambiar la contraseña y revocar la sesión, y que quede constancia de lo que se hizo.
¿Cómo reducir el impacto de futuras filtraciones de credenciales?
- MFA resistente al phishing, como llaves FIDO2 o passkeys, en cuentas privilegiadas y en el acceso remoto.
- Acceso condicional que exija dispositivo gestionado para las aplicaciones corporativas. Así, una credencial robada en un ordenador personal pierde buena parte de su valor.
- Un gestor de contraseñas corporativo en lugar del navegador.
- Sesiones más cortas o vinculadas al dispositivo en las aplicaciones críticas.
- Una norma clara: el correo corporativo no se usa para registrarse en servicios personales.
- EDR en todos los equipos que acceden a datos de la empresa.
Cómo te ayuda Ciberia CTM a vigilar credenciales filtradas
Ciberia CTM vigila de forma continua la exposición externa de tu empresa: credenciales filtradas, infraestructura expuesta y menciones de tu marca y tus directivos. Cada alerta llega con contexto y con la acción recomendada. Se apoya en Ciberia Intel, que reúne inteligencia propia y de terceros sobre credenciales e infostealers, dark web y foros.
En la plataforma Ciberia, las alertas siguen el flujo contexto, decisión (la IA propone y un analista valida las decisiones con impacto) y acción orquestada. Cada acción automática queda trazada: quién, cuándo, con qué criterio y sobre qué dato.
