Resumen: detección de credential stuffing en sesión frente a post-login
- Limitar por IP era el manual de la industria, pero los ataques modernos reparten 50.000 intentos de login entre 50.000 IPs residenciales, así que tus logs ven una petición por dirección y cada regla de alerta se queda muda.
- Las credenciales robadas impulsan el 39% de las brechas en el DBIR de Verizon 2026; la huella de dispositivo de cside permanece estable en modo incógnito, VPN y borrado de cookies, a través de más de 100 señales del navegador, para que la correlación entre cuentas exponga la infraestructura del atacante que la rotación de IP debía esconder.
- Antes de la próxima revisión de fraude, pregunta si tu stack de login se activa ante la reutilización de dispositivo entre cuentas, discrepancias en la huella TLS y cadencia mecánica de llenado de formularios, o solo ante umbrales de IP que los atacantes dejaron de disparar hace años.
El credential stuffing es difícil de detectar porque los atacantes ahora reparten los intentos de inicio de sesión con contraseñas robadas entre decenas de miles de IP residenciales rotativas, así que el límite de peticiones por IP ve cada dirección solo una vez. Las señales que aún funcionan son las que un atacante no puede rotar de forma barata: el dispositivo que hay detrás de las peticiones y cómo se comporta la sesión.
Tres de esas señales revelan de forma fiable el credential stuffing. La primera es la correlación de huellas de dispositivo entre cuentas, donde el mismo identificador de dispositivo aparece en intentos de inicio de sesión de cuentas diferentes dentro de una ventana de tiempo corta. La segunda es un dispositivo nuevo en una cuenta conocida, donde una cuenta registrada inicia sesión desde una huella de dispositivo que nunca había usado antes. La tercera es una anomalía en el contexto de red, donde aparece una conexión VPN o proxy en una sesión que antes siempre provenía de una IP residencial. Las tres identifican la infraestructura y el comportamiento del atacante sin importar cuántas direcciones IP vaya rotando.
Por qué el límite de peticiones por IP hoy no detecta la mayoría del credential stuffing
El límite de peticiones por IP era una defensa eficaz contra el credential stuffing cuando los ataques provenían de un número reducido de servidores. Esa época ha pasado.
Las operaciones de credential stuffing modernas usan redes de proxies residenciales que rotan las direcciones IP en cada petición. Un atacante que ejecuta 50,000 intentos de inicio de sesión los reparte entre 50,000 direcciones IP residenciales diferentes. Tu limitador de peticiones ve cada IP exactamente una vez y no actúa, porque un único intento de inicio de sesión desde cualquier IP dada es indistinguible del tráfico normal.
El ataque tiene éxito. Las cuentas quedan comprometidas. La única evidencia en los registros de tu servidor es un recuento de intentos de inicio de sesión ligeramente elevado con una distribución geográfica que imita el comportamiento de usuarios reales.
La detección requiere pasar a señales que el atacante no puede rotar de forma barata. Las credenciales robadas están implicadas en el 39% de todas las brechas de datos (Informe de Investigaciones de Brechas de Datos de Verizon 2026), así que detenerlas en la capa de inicio de sesión antes de que se produzca el daño significa apoyarse en señales que persisten a lo largo de la rotación de IP.
Señal 1: correlación de huellas de dispositivo entre cuentas
Una huella de dispositivo es un identificador estable derivado de señales del navegador: la entropía del canvas, las características de renderizado de fuentes, la salida de WebGL, el contexto de audio, los patrones de temporización y los indicadores de navegador headless. A diferencia de una dirección IP, una huella de dispositivo no se puede cambiar conectándose a un proxy diferente. El entorno de navegador del atacante se mantiene coherente entre peticiones.
Cuando el ID de dispositivo X intenta iniciar sesión en las cuentas A, B, C, D y E dentro de una ventana de 30 minutos, eso es un ataque de credential stuffing. Cada intento individual puede parecer legítimo por sí solo: formato de contraseña correcto, geolocalización coincidente, temporización razonable. La correlación entre cuentas revela que una única pieza de infraestructura está detrás de los cinco intentos.
Esta es la señal que la detección por IP se pierde por completo. El atacante rota las IP. La huella de dispositivo sigue siendo la misma.
Para implementarlo, registra la huella de dispositivo junto a cada intento de inicio de sesión y luego consulta a lo largo de los intentos para identificar los ID de dispositivo que aparecen en más de un número umbral de cuentas distintas dentro de una ventana de tiempo. Un único dispositivo que toca más de tres cuentas distintas en una hora es una señal de alta confianza. Un único dispositivo que toca diez cuentas en treinta minutos es casi seguro.
Señal 2: un dispositivo nuevo en una cuenta conocida
Una huella de dispositivo nueva y no reconocida que intenta iniciar sesión en una cuenta consolidada desde hace tiempo es una señal de alto riesgo incluso cuando se introduce la contraseña correcta. Una cuenta que siempre se ha autenticado desde la misma huella de dispositivo lleva implícita una expectativa: los inicios de sesión futuros vendrán de esa huella o de una con una puntuación de similitud alta.
Cuando el ID de dispositivo 456 intenta iniciar sesión en una cuenta que ha usado exclusivamente el ID de dispositivo 123 durante dos años, trátalo como de alto riesgo aunque la contraseña sea correcta. La probabilidad de que el usuario legítimo haya cambiado a un entorno de navegador completamente nuevo justo en el momento en que un atacante también tiene su contraseña es baja.
La señal se vuelve mucho más fuerte cuando se combina con el contexto de red. Un dispositivo nuevo y desconocido que intenta iniciar sesión con una VPN de centro de datos activa, en una cuenta que solo se ha conectado alguna vez desde IP residenciales, es el indicador individual más fuerte de un secuestro de cuenta dirigido mediante credential stuffing.
Esta detección requiere un historial de dispositivos por cuenta. Registra la huella de dispositivo en cada autenticación correcta. Cuando aparece una huella nueva en una cuenta de alto valor o consolidada desde hace tiempo, márcala para autenticación reforzada (step-up) o bloquéala a la espera de verificación.
Las huellas de dispositivo tienen que mantenerse estables a lo largo de los escenarios que los atacantes usan para ocultar su identidad. La huella de cside aguanta con alta precisión en el modo incógnito, las conexiones VPN y el borrado de cookies, derivada de más de 100 señales del navegador por sesión. Un atacante que borra las cookies y se conecta a través de una VPN sigue produciendo la misma huella de dispositivo.
Señal 3: contexto de red más cadencia de sesión
Combinar la detección de VPN y proxy con una cadencia de sesión automatizada produce el veredicto de credential stuffing con mayor confianza, porque ambas señales son difíciles de falsificar por separado y juntas son casi concluyentes.
Las redes de proxies residenciales permiten a los atacantes rotar por direcciones IP domésticas reales para evadir el filtrado geográfico y por reputación de IP. Las características de conexión de una petición de proxy residencial siguen siendo diferentes de las de una conexión residencial genuina. El fingerprinting TLS TLS handshake fingerprint analiza los parámetros del handshake TLS, incluidos el orden del conjunto de cifrado y la presencia de extensiones, para distinguir las conexiones retransmitidas por un proxy de las conexiones residenciales directas.
Una cuenta que se ha conectado desde una dirección IP residencial genuina del Reino Unido durante tres años y que de repente muestra una huella TLS coherente con la retransmisión por proxy es una anomalía en el contexto de red. Por sí sola, eso merece atención. Combinada con una cadencia de sesión automatizada, es evidencia casi segura de un ataque automatizado.
El credential stuffing automatizado produce intentos de inicio de sesión a velocidades inhumanamente rápidas o a intervalos mecánicamente uniformes. Un humano teclea sus credenciales con una variación natural en la temporización entre pulsaciones, pausas entre campos e interacción irregular con el formulario. Un script rellena los campos de forma instantánea o a intervalos cronometrados con precisión. cside mide esta cadencia como parte de su evaluación de la sesión.
Una sesión que muestra características TLS coherentes con un proxy y una cadencia de rellenado de formularios mecánica, en una cuenta sin historial de conexiones por proxy, es un intento de credential stuffing con muy alta confianza.
Cómo cside devuelve estas señales
cside evalúa cada sesión y devuelve un veredicto en tiempo real cuyos valores se corresponden directamente con las tres señales de detección anteriores.
Devuelve un identificador de huella de dispositivo estable. Regístralo en cada intento de inicio de sesión y luego consúltalo a lo largo de los intentos para encontrar la correlación entre cuentas (Señal 1) y frente al historial por cuenta para detectar un dispositivo nuevo y desconocido (Señal 2).
Devuelve un indicador de VPN y proxy, que se activa cuando la sesión se conecta a través de una VPN, un proxy de centro de datos o una retransmisión de proxy residencial detectada mediante el fingerprinting TLS TLS handshake fingerprint. Combínalo con el historial de la cuenta para identificar las anomalías en el contexto de red (Señal 3).
Devuelve una puntuación de cadencia de sesión que cuantifica cuánto se acerca la temporización de interacción de la sesión a los patrones humanos. Una puntuación de cadencia baja junto con un indicador de proxy activo se corresponde directamente con la tercera señal.
Combinar estos valores te permite detectar ataques de credential stuffing que serían invisibles para el límite de peticiones por IP, una puntuación de bot por sí sola o cualquier enfoque de una única señal.
Detección frente a prevención
La detección te indica que un ataque de credential stuffing está en curso. La prevención impide que tenga éxito.
Una vez que has identificado un ataque activo usando las tres señales anteriores, tienes varias opciones: bloquear la huella de dispositivo para que no haga más intentos de inicio de sesión, exigir autenticación reforzada (step-up) para las cuentas afectadas, invalidar cualquier sesión establecida durante la ventana del ataque y avisar a los usuarios afectados para que restablezcan sus contraseñas.
Las señales de detección descritas aquí son las entradas. La lógica de tu aplicación, tu capa de orquestación de fraude o tu WAF determinan la respuesta.
Para un enfoque completo sobre cómo detener el credential stuffing una vez detectado, consulta la guía de cside sobre entender y detener los ataques de credential stuffing, la página de soluciones de fingerprinting de dispositivos para ver cómo se integran estas señales en una pila completa, y el caso de uso de secuestro de cuentas para ver dónde encajan en una defensa contra el ATO.
