Cómo saber si mi contraseña fue filtrada y qué hacer

Para saber si tu contraseña fue filtrada, compárala con las listas de contraseñas expuestas en filtraciones de datos reales. La herramienta de eThorns para verificar si una contraseña fue filtrada lo hace sin enviar tu contraseña a ningún lado. Si aparece, deja de usarla y cámbiala en todas las cuentas donde la tengas, empezando por tu correo y tu banco.

Qué es una filtración de datos y una lista de contraseñas filtradas

Una filtración de datos ocurre cuando alguien roba la información de los clientes de una empresa: nombres, correos y, muchas veces, contraseñas. Los sitios deberían guardar las contraseñas protegidas, pero algunos lo hacen mal, y de la copia robada se pueden recuperar las contraseñas débiles.

Después de una filtración, los pares de correo y contraseña se copian, se juntan y se comparten. Con los años eso ha formado listas enormes de contraseñas reales que cualquiera puede conseguir. Have I Been Pwned, un servicio gratuito del investigador de seguridad Troy Hunt, las reúne en una sola lista para que cualquier persona pueda revisar si la suya está ahí.

Por qué el verdadero peligro es repetir la contraseña

Una contraseña filtrada es un problema en un sitio. La misma contraseña en diez sitios es un problema en diez cuentas. Los atacantes saben que mucha gente repite contraseñas, así que toman los pares de correo y contraseña de una filtración y los prueban de forma automática en servicios de correo, bancos, tiendas en línea y redes sociales. Esto se llama relleno de credenciales (en inglés, credential stuffing). Un programa prueba miles de inicios de sesión y se queda con los que funcionan.

Por eso la regla más importante no es "usa una contraseña complicada", sino "usa una contraseña distinta en cada sitio". Si hackean una tiendita en tienda-ejemplo.co y ahí tenías una contraseña única, el daño se queda ahí.

Cómo funciona la revisión sin enviar tu contraseña

Esta revisión está hecha para que tu contraseña nunca salga de tu dispositivo. Usa un hash: una especie de huella digital de un texto. El mismo texto siempre da el mismo hash, pero a partir del hash no se puede recuperar el texto.

Paso	Dónde pasa	Qué viaja
Tu navegador convierte la contraseña en su hash SHA-1, de 40 caracteres	En tu dispositivo	Nada
Envía solo los primeros 5 caracteres de ese hash	Hacia Have I Been Pwned	5 caracteres, por ejemplo 5BAA6
El servicio responde con todos los hashes filtrados que empiezan igual, más entradas falsas de relleno	Desde Have I Been Pwned	Cientos de terminaciones de hash
Tu navegador busca tu hash completo en esa lista	En tu dispositivo	Nada

Por ejemplo, el hash SHA-1 de la palabra password es 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8. Solo se envía 5BAA6. Cientos de contraseñas filtradas distintas empiezan así, de modo que el servicio no puede saber cuál revisaste. Este método se llama k-anonimato: tu consulta se esconde entre muchas respuestas posibles. Y gracias al relleno, alguien que vigile la red tampoco puede deducir nada por el tamaño de la respuesta.

La herramienta de eThorns te muestra los 5 caracteres que envió, para que veas exactamente qué salió de tu equipo. Si hay coincidencia, también te dice cuántas veces se ha visto esa contraseña en filtraciones.

Cómo revisar tu contraseña, paso a paso

1. Abre la verificación de contraseña filtrada y escribe la contraseña.
2. Presiona Revisar. Tu navegador calcula el hash y envía solo sus primeros 5 caracteres.
3. Lee el resultado. Si no aparece, la contraseña no está en las filtraciones que conoce Have I Been Pwned. Si aparece, está en las listas de los atacantes, aunque la filtración no haya sido de tu cuenta.
4. Para ver en qué filtraciones salió tu correo, búscalo en haveibeenpwned.com.

Qué hacer si tu contraseña aparece

No te asustes, pero tampoco lo dejes para después. Tarde o temprano los atacantes van a probar esa contraseña, así que tómala como pública.

1. Anota todas las cuentas donde la usaste, incluidas las variaciones pequeñas, como agregarle un número al final. Los atacantes también prueban esas variaciones.
2. Cambia primero la contraseña de tu correo. Desde tu correo se pueden restablecer casi todas las demás contraseñas, así que quien lo controla controla lo demás.
3. Después, tu banco y tus cuentas de pago, y todo lo que tenga una tarjeta guardada, como tiendas en línea y apps de domicilios.
4. Luego el resto: redes sociales, cuentas del trabajo y cualquier cuenta vieja que todavía te importe. Borra las que ya no uses.
5. Usa una contraseña nueva y distinta en cada una. El generador de contraseñas las crea en tu dispositivo y no envía nada.
6. Busca señales de problemas. En tu correo, revisa los dispositivos con sesión abierta, tu celular y correo de recuperación, y cualquier regla de reenvío que no hayas creado tú. En tu banco, revisa los últimos movimientos.
7. Activa la verificación en dos pasos en tu correo y tu banco (más abajo te explicamos cómo).

Después de una filtración conocida suelen llegar correos falsos de "restablece tu contraseña". Cambia tus contraseñas escribiendo tú mismo la dirección del sitio, no desde un link que te llegó en un mensaje. En nuestra guía sobre cómo saber si un link es seguro te contamos cómo reconocer esos mensajes.

Contraseñas seguras que sí puedes recordar

La guía actual de NIST, la agencia de estándares de Estados Unidos, en su documento SP 800-63B, prioriza la longitud sobre la complejidad. Les pide a los sitios web no obligar a mezclar símbolos y mayúsculas, no exigir cambios de contraseña cada cierto tiempo (solo cuando hay indicios de una filtración) y comparar las contraseñas nuevas con listas de contraseñas filtradas y comunes. En pocas palabras: larga y única le gana a corta y rara.

Solo necesitas recordar unas pocas contraseñas. Para todo lo demás, usa un gestor de contraseñas: una app que guarda todas tus contraseñas cifradas detrás de una contraseña principal y las llena por ti. El que viene en tu celular o en tu navegador es un buen comienzo.

Para las pocas que escribes a mano, como la del gestor, la de tu computador y la de tu correo, usa una frase de contraseña: varias palabras al azar seguidas. Una frase de palabras aleatorias es fácil de imaginar y de escribir, y difícil de adivinar por su longitud. Las palabras tienen que ser elegidas al azar, no sacadas de una canción o de un refrán. En el generador de contraseñas, elige Frase de contraseña y verás la fuerza en bits del resultado exacto. Con su lista de palabras integrada, que está en inglés, recomienda usar 8 palabras o más.

Activa la verificación en dos pasos

La verificación en dos pasos (también llamada 2FA o MFA) te pide una segunda prueba después de la contraseña, normalmente un código de una app en tu celular, una llave de seguridad o una llave de acceso (passkey). Con ella, una contraseña filtrada no basta para entrar a tu cuenta.

1. Empieza por la configuración de seguridad de tu correo y de tu banco.
2. Si te dan la opción, elige una app de autenticación o una llave de seguridad. Un código por SMS es más débil, pero mucho mejor que nada.
3. Guarda los códigos de respaldo en tu gestor de contraseñas o en papel, en un lugar seguro, por si pierdes el celular.

Lista de verificación

• Revisa tus contraseñas importantes con la verificación de contraseña filtrada.
• Si una aparece, cámbiala en todas partes, primero en tu correo y tu banco.
• Una contraseña distinta en cada sitio, guardada en un gestor de contraseñas.
• Frases largas de palabras al azar para las pocas que escribes a mano.
• Verificación en dos pasos en tu correo y tu banco.
• Cambia contraseñas escribiendo tú la dirección, no desde links en mensajes.

Preguntas frecuentes

¿Es seguro escribir mi contraseña real en la herramienta?

Sí. Tu navegador calcula su hash y envía solo los primeros 5 de sus 40 caracteres a Have I Been Pwned. La contraseña y el hash completo se quedan en tu dispositivo, y la comparación se hace ahí.

Mi contraseña no aparece. ¿Quiere decir que es segura?

No. Solo significa que no está en las filtraciones que conoce Have I Been Pwned. Una contraseña corta o predecible se puede adivinar rápido, y una filtración que todavía no se ha hecho pública no aparecería.

Mi contraseña aparece, pero nunca me han hackeado la cuenta. ¿Por qué?

La revisión mira la contraseña, no tu cuenta. Puede que otra persona haya usado la misma, sobre todo si es común. De cualquier forma, ya está en las listas que usan los atacantes, así que deja de usarla.

¿Debo cambiar todas mis contraseñas cada pocos meses?

No, si son largas, únicas y no se han filtrado. NIST recomienda no obligar a cambiarlas cada cierto tiempo, porque la gente termina haciendo cambios pequeños y fáciles de adivinar. Cambia una contraseña cuando haya un motivo: una filtración, una revisión que la encuentre o señales de que alguien más entró a tu cuenta.

Pruébalo

• 1.11¿Contraseña filtrada?Revisa si una contraseña aparece en filtraciones de datos sin enviarla: con k-anonimato solo salen de tu dispositivo 5 caracteres de su hash.
• 1.9Generador de contraseñasContraseñas aleatorias (8 a 128 caracteres) o frases de contraseña, creadas en tu navegador con su generador criptográfico.