El credential stuffing es un ataque automatizado que reproduce a gran escala, contra tus endpoints de inicio de sesión, pares de usuario y contraseña filtrados en brechas de datos pasadas. Los atacantes apuestan a la reutilización de contraseñas: un par robado de un sitio suele funcionar en decenas de otros. No es adivinar. Las credenciales ya son válidas, y el atacante está comprobando dónde siguen desbloqueando una cuenta.
A continuación verás cómo funciona el ataque, por qué sigue siendo rentable, cómo los bots con agentes de IA dificultan atraparlo, y las señales y controles del login que lo detectan y lo detienen.
¿Qué es el credential stuffing y por qué funciona?
La mecánica es simple. Los atacantes arman combolists de pares de usuario y contraseña filtrados, y luego los ejecutan con herramientas automatizadas contra la API de inicio de sesión de un objetivo. No necesitan una tasa de aciertos alta. Incluso una fracción de un por ciento sobre millones de intentos produce miles de cuentas funcionales.
Funciona porque las personas reutilizan contraseñas. Dos de cada tres estadounidenses reutilizan contraseñas en sus cuentas, según security.org, lo que significa que una sola brecha compromete mucho más que el servicio vulnerado. Esa reutilización es toda la base económica del ataque.
El credential stuffing es distinto de la fuerza bruta, y la diferencia importa para la detección:
- La fuerza bruta adivina muchas contraseñas contra una sola cuenta. El tráfico es ruidoso y fácil de limitar por velocidad.
- El credential stuffing reproduce pares ya validados contra muchas cuentas. El tráfico se parece más a inicios de sesión normales, con tasas de éxito más altas y menor volumen por cuenta.
Como las credenciales son reales y el volumen por cuenta es bajo, el stuffing se camufla dentro del tráfico legítimo de login. Por eso un único umbral rara vez lo atrapa.
¿Cómo empeoran el credential stuffing los bots con agentes de IA?
Las herramientas de stuffing más antiguas eran toscas: tasas de solicitudes altas desde un puñado de IPs, user agents por defecto, sin un navegador real. Los límites de velocidad y la detección básica de bots manejaban la mayor parte. Esa era está terminando.
La nueva ola opera a través de navegadores sigilosos y agentes de IA que se comportan mucho más como personas. Estos:
- Rotan las huellas de dispositivo y navegador entre intentos para evitar que los agrupen
- Resuelven CAPTCHAs, incluidos los desafíos de imagen y de comportamiento
- Imitan el ritmo humano, el movimiento del mouse y los patrones de navegación
- Distribuyen el tráfico entre grandes redes de proxies residenciales para vencer los límites por IP
- Se adaptan en tiempo real a cómo responden tus defensas
Los kits de navegadores sigilosos ya forman parte del conjunto estándar de herramientas de automatización. Las instalaciones de playwright-stealth, uno de tantos kits de navegadores sigilosos, crecieron 10x a lo largo de 2025 según una investigación de cside. Las herramientas para ejecutar inicios de sesión automatizados convincentes son baratas y están ampliamente disponibles.
Las defensas que solo inspeccionan señales de la capa de red se pierden la mitad del panorama. El navegador es donde opera el bot, y donde están las pistas.
¿Qué señales del login revelan el credential stuffing?
La detección funciona mejor como una combinación de señales, no como una sola regla. La Credential Stuffing Prevention Cheat Sheet de OWASP recomienda combinar controles por capas en lugar de depender de una única verificación, porque los atacantes ajustan su comportamiento para colarse a través de umbrales individuales.
La tabla a continuación relaciona las señales de mayor valor con lo que indican y cómo actuar sobre ellas.
| Señal | Qué indica | Cómo actuar |
|---|---|---|
| Ráfaga de login / pico de velocidad | Reproducción por scripts de muchos pares de credenciales contra tu endpoint | Limita y regula la velocidad por IP, por cuenta y por huella; intensifica los desafíos |
| Huella de navegador headless o sigiloso | Automatización que se hace pasar por un navegador real | Bloquea o desafía la sesión; deriva a la detección de bots y agentes de IA |
| Muchas cuentas desde un mismo dispositivo o navegador | Un actor probando una combolist en varias cuentas | Marca el dispositivo y exige verificación reforzada en cada intento |
| Viaje imposible | La misma cuenta inicia sesión desde ubicaciones inalcanzables en el tiempo transcurrido | Fuerza la reautenticación y revisa los cambios recientes de la cuenta |
| Coincidencia con credenciales filtradas | El par enviado aparece en datos de brechas conocidas | Fuerza un restablecimiento de contraseña antes de dar acceso; bloquea la credencial en el restablecimiento |
| Alta proporción de fallos seguidos de éxito | Sondeo que finalmente acierta con un par válido | Pon la sesión en cuarentena y exige MFA resistente al phishing |
| IP de VPN, proxy o maliciosa conocida | Tráfico enrutado para ocultar su origen o que reutiliza una fuente señalada | Eleva la puntuación de riesgo; combínala con otras señales antes de bloquear |
Ninguna fila por sí sola es prueba suficiente. La detección más sólida aparece cuando varias se activan juntas en una misma sesión, por ejemplo una huella de navegador sigiloso más una ráfaga de login más una coincidencia con credenciales filtradas. Un usuario real casi nunca produce esa combinación.
Aquí es también donde importa la visibilidad de la capa del navegador. Las ráfagas de login y la reputación de las IP se ven del lado del servidor, pero los navegadores sigilosos, la rotación de huellas y el comportamiento de los agentes de IA solo salen a la luz cuando puedes leer lo que el navegador está haciendo realmente.
¿Cómo se detiene el credential stuffing?
La detección te avisa de que un ataque está en marcha. Detenerlo requiere controles por capas, de modo que eludir uno no entregue la cuenta. Trabaja estos pasos en orden:
- Aplica MFA resistente al phishing en los inicios de sesión de alto valor. Las passkeys y las llaves de seguridad de hardware son resistentes al phishing y derrotan de plano las credenciales reproducidas, porque una contraseña válida por sí sola no basta. OWASP nombra el MFA como una defensa principal contra el credential stuffing. Los códigos de un solo uso por SMS y correo electrónico son más débiles, así que reserva los métodos más fuertes para los flujos sensibles.
- Bloquea las contraseñas filtradas conocidas. Verifica las contraseñas contra bases de datos de brechas en el registro y en el restablecimiento, y rechaza las coincidencias. Si una credencial vigente aparece después en una brecha, fuerza un restablecimiento antes de que un atacante pueda usarla.
- Limita y regula la velocidad de los endpoints de login. Aplica límites por IP, por cuenta y por huella de dispositivo, no solo por IP, ya que los atacantes se distribuyen entre redes de proxies. Añade retrasos progresivos y desafíos a medida que aumenta el riesgo.
- Suma fingerprinting más detección de bots y agentes de IA. Usa fingerprinting de navegador y dispositivo para identificar la automatización, los navegadores sigilosos y los agentes de IA que rotan huellas y resuelven CAPTCHAs. Filtra ese tráfico antes de que llegue a la autenticación.
- Responde rápido cuando una sesión parezca comprometida. Revoca las sesiones activas, invalida los tokens y fuerza la reautenticación. Revisa los cambios en la cuenta hechos después del inicio de sesión sospechoso, como un correo electrónico, teléfono o datos de pago actualizados.
El MFA es fundamental, y no es suficiente por sí solo. Los atacantes aún pueden abusar de sesiones robadas, de proxies de phishing tipo adversary-in-the-middle y de flujos de recuperación débiles. Combinar el MFA con señales a nivel de navegador y dispositivo cierra esas brechas. El mismo enfoque por capas sustenta una defensa más amplia contra el robo de cuentas, ya que el credential stuffing es la vía más común hacia el ATO.
¿Dónde encaja la capa del navegador?
Los usuarios reales, los usuarios fraudulentos y los bots llegan a tu login a través de un navegador. Eso convierte al navegador tanto en un canal de entrega de código malicioso como en una rica fuente de señales sobre quién está iniciando sesión en realidad.
Dos realidades de la capa del navegador moldean la defensa contra el credential stuffing:
- El navegador expone la automatización que la red oculta. Los navegadores sigilosos, los entornos de ejecución headless, la rotación de huellas y el comportamiento de los agentes de IA son visibles en el entorno del navegador, no en un paquete de red. Leer esas señales separa los inicios de sesión por scripts de los humanos.
- El navegador puede ser la propia superficie de ataque. Un script de terceros comprometido o inyectado en tu página de login puede robar credenciales antes de que tu servidor vea siquiera la solicitud, o redirigir a los usuarios a un login falso. El monitoreo de seguridad del lado del cliente atrapa la manipulación de scripts que los controles de red pasan por alto.
cside es una plataforma de seguridad del lado del cliente creada para la capa del navegador. Combina la detección de agentes de IA con el fingerprinting de dispositivo y navegador para sacar a la luz las señales de la tabla anterior, y luego las entrega como señales en bruto a través de una API para que los equipos liderados por desarrolladores puedan conectarlas a su propia lógica de riesgo de login y recuperación. Como el análisis está anclado en el navegador, atrapa los navegadores sigilosos y los bots con agentes de IA que las herramientas heredadas, centradas solo en la red, no ven.
¿Qué deberían hacer los equipos primero?
No necesitas desplegar todos los controles a la vez. Una secuencia práctica:
- Activa el bloqueo de contraseñas filtradas en el registro y el restablecimiento. Es de bajo esfuerzo y elimina una gran parte de las credenciales utilizables.
- Aplica MFA resistente al phishing en tus inicios de sesión de mayor valor antes de extenderlo más.
- Instrumenta tu login con las señales de detección anteriores, y luego ajusta los umbrales sobre combinaciones en lugar de reglas individuales.
- Suma fingerprinting de la capa del navegador y detección de agentes de IA para que puedas ver la automatización que las señales de red pasan por alto.
El credential stuffing prospera gracias a la reutilización de contraseñas y a la automatización barata. Contrarresta lo primero con MFA y verificaciones de contraseñas filtradas, y lo segundo con límites de velocidad y detección en la capa del navegador.
Para ver en acción las señales de la capa del navegador, agenda una demo o revisa los precios de cside.
