Han filtrado 16.000 millones de contraseñas: qué hacer

Los expertos en ciberseguridad de Cybernews han cachado un monton de contraseñas y usuarios filtrados, 16.000 millones, para ser exactos. La mayoría de estos datos no se conocían. Vienen de todas partes (Gmail, Apple, Facebook…) y parece que los han robado con un tipo de malware que se dedica a eso, a robar contraseñas guardadas. Lo que hace que esto sea una bomba de relojería es que no es solo la contraseña; viene con el usuario y la web exacta a la que pertenece, así que los malos lo tienen a huevo para reventar cuentas.

La gigafiltración silenciosa: 16.000 millones de contraseñas andan sueltas

Justo cuando crees que ya lo has visto todo en cuanto a hackeos, llega una noticia de las que quitan el sueño. No es un susto pequeño, es un problemón con mayúsculas. Estamos hablando de un tsunami de datos que amenaza con llevarse por delante la seguridad de medio mundo. La gente de Cybernews acaba de soltar la bomba: han encontrado un montón de bases de datos que, todas juntas, suman más de 16.000 millones de contraseñas con sus nombres de usuario.

Para que te hagas una idea del percal: es como si a cada persona del planeta le hubieran robado dos de sus contraseñas. Y lo que más acojona es que casi nadie sabía que estos datos estaban por ahí. Es como descubrir que un ladrón ha tenido una copia de tus llaves durante años y no tenías ni idea.

¿Qué han encontrado exactamente?

Desde que empezaron a husmear en la web a principios de 2025, los de Cybernews encontraron 30 “alijos” de datos. El más pequeño ya era grande, pero los tres primeros de la lista son de otra liga:

• El más bestia tenía 3.564 millones de contraseñas.
• El segundo, 2.892 millones.
• Y el tercero, 1.978 millones.

Sí, es probable que muchos datos se repitan, pero la cifra total sigue siendo una locura. Y no hablamos solo de contraseñas de foros raros. Hay de todo: Gmail, Apple, Facebook, cuentas de VPN para teletrabajar, plataformas de empresas e incluso portales del gobierno.

¿Quiénes son los malos de la película?

La pregunta es obvia: ¿Quién ha juntado todo esto y para qué? Aunque no hay una foto del culpable, las pistas que han dejado huelen a chamusquina desde lejos.

Los investigadores han visto cosas que no dejan lugar a dudas:

1. Etiquetas delatoras: Algunos archivos tenían el nombre del virus que se usó para robar los datos. Es de una torpeza casi cómica.
2. El modus operandi de los “Infostealers”: La forma de ordenar los datos (usuario, contraseña y la dirección de la web) es el sello de un tipo de troyano llamado infostealer. ¿Qué hace este bicho? Se te cuela en el ordenador y su única misión es copiar todas las contraseñas que tienes guardadas en el navegador.
3. Banderas en los archivos: Algunos datos estaban agrupados por países, con referencias muy claras a Rusia y a algún país de habla portuguesa.

¿La más grande de la historia? No, pero sí la más peligrosa

Aunque 16.000 millones es una cifra que asusta, no es el récord. A principios de 2024, se filtraron 26.000 millones de registros de una web llamada Leak Lookup.

Wow, we certainly weren’t expecting that publicity.
🚨 Firewall misconfiguration has been fixed, and we’re currently analyzing logs to determine the scope of access. At this time, we’re confident that no registered user information was accessed. #MOAB #databreach #dataleak https://t.co/FTQhdFbaQi

— Leak – Lookup (@LeakLookup) January 24, 2024

Pero ojo, hay una diferencia clave que hace que esta nueva filtración sea, en la práctica, mucho más peligrosa. La de Leak Lookup era una coctelera gigante de datos. La de ahora es diferente: los datos están “limpios”, ordenaditos y vienen con el nombre de usuario y la dirección exacta de la web. Para un hacker, esto es un regalo. No tiene que ir probando; sabe exactamente qué contraseña usar y dónde.

Por qué deberías tomártelo en serio: el “Credential Stuffing”

Aquí es donde te afecta a ti. Los malos no van a intentar entrar en tu cuenta uno a uno. Usan programas automáticos para hacer lo que se llama “credential stuffing”.

Es simple: cogen tu usuario y contraseña filtrados (pepito@correo.com y Madrid2025) y un robot los prueba en cientos de webs: Amazon, Netflix, el banco, la cuenta del trabajo…

¿Por qué se molestan en hacer esto? Porque saben que casi todos cometemos el mismo error tonto: usar la misma contraseña para todo. Si te pillan la contraseña de una web que no usas nunca, les da igual. La van a usar para intentar entrar en tu correo, que es la llave de toda tu vida digital.

¿Qué puedes hacer AHORA MISMO para protegerte?

No te agobies, pero muévete. Estos son los pasos que deberías dar hoy mismo:

1. Mira si estás en la lista:
   Usa webs fiables para comprobarlo. La más famosa es “Have I Been Pwned?”, una web creada por un crack de la seguridad llamado Troy Hunt. También puedes usar el verificador de la propia Cybernews. Mete tus correos electrónicos y cruza los dedos.
2. Cambia tus contraseñas (con cabeza):
   Si has salido en la foto, o aunque no hayas salido, es hora de hacer limpieza. Empieza por lo importante:

• Tu correo electrónico principal.
• Tus cuentas del banco.
• Tus redes sociales.
• La cuenta del trabajo.

3. Pon la doble verificación (2FA) en TODO:
   Si solo puedes hacer una cosa, que sea esta. Es, de lejos, la mejor barrera que puedes poner. Aunque un chorizo tenga tu contraseña, necesitará un segundo código que te llega al móvil. Sin eso, no entra. Es como ponerle un cerrojo extra a tu puerta.
4. Usa un gestor de contraseñas:
   Nadie puede recordar 50 contraseñas diferentes y complicadas. Un gestor de contraseñas (como Bitwarden, 1Password, etc.) lo hace por ti. Te crea contraseñas imposibles para cada web y las guarda. Tú solo tienes que recordar una, la maestra.
5. Ojo con los correos falsos (Phishing):
   Después de una filtración así, prepárate para una oleada de correos falsos de tu banco, de Netflix o de quien sea, pidiéndote que entres en un enlace para “verificar tu cuenta”. Ni se te ocurra hacer clic. Si tienes dudas, abre el navegador y entra tú mismo a la web oficial.

La Seguridad ya no es Negociable

Esto no es una noticia más del telediario. Es un tortazo de realidad que nos recuerda que en internet, la seguridad no es una opción. Se acabó lo de usar “mascota123” para todo.

Al final, el que se tiene que poner las pilas eres tú. Tomar las riendas con un gestor de contraseñas y activar la doble autenticación ya no es cosa de frikis de la informática; es lo mínimo que cualquiera debería hacer. Así que, en serio, revisa tus cuentas, ponte las pilas con la seguridad y no esperes a que te toque a ti.

Mantente informado sobre todo lo relevante en Alternativo Mx.

Jabari, la nueva jirafa de Chapultepec: Guía completa

Mantente informado también de otros temas en Noticias Gobierno.