Hace poco, un titular de Cybernews llamó mucho la atención en internet. Decía que se habían filtrado más de 16 mil millones de credenciales, en lo que algunos ya están llamando una de las mayores exposiciones de datos de la historia. Suena impactante, ¿verdad? Pero la gran pregunta es: ¿es algo completamente nuevo? Bueno... casi.
¿Qué es lo que realmente pasó?
Según el reporte, se descubrió una colección enorme de credenciales de inicio de sesión: 16 mil millones de registros repartidos en 30 nuevos paquetes de datos. Estamos hablando de nombres de usuario, contraseñas, cookies, tokens y otros datos bastante sensibles.
Lo más preocupante es de dónde vienen. Todo indica que esta información fue robada mediante malware especializado en robar datos personales (los llamados “info-stealers”) y que afecta a un montón de servicios muy conocidos como Google, Facebook, Apple, Microsoft, Telegram, entre otros.
El reporte también señala algo clave: estos datos no son solo reciclaje de filtraciones anteriores. Parece que muchos de estos registros se recolectaron recientemente, como parte de campañas activas que todavía podrían estar en marcha.
Aunque los titulares suenan bastante alarmantes, lo cierto es que no estamos ante una filtración nueva. La mayoría de estos datos vienen de información que fue robada por malware tipo infostealer, probablemente a lo largo de los últimos años. Este tipo de software malicioso se mete en dispositivos infectados y se lleva de todo: nombres de usuario, contraseñas, cookies, y otros datos sensibles.
Lo que se ha descubierto ahora parece ser más bien una megacompilación de muchos robos anteriores. Es decir, alguien (o varios actores maliciosos) juntó registros de miles de infecciones pasadas y los empacó en un solo archivo gigante. Aunque este archivo se haya publicado o hecho visible recientemente, la mayoría de la información ya había sido robada hace tiempo.
¿Qué hay en esos miles de millones de registros filtrados?
Según los investigadores, la mayoría de los datos en esta mega filtración son una mezcla de varias fuentes: información robada, listas de credenciales obtenidas de distintas filtraciones anteriores y datos que fueron reempaquetados y revueltos.
No se pudo hacer una comparación exacta entre todos los conjuntos de datos porque hay mucho contenido duplicado y mezclado. En resumen: no se puede saber con precisión cuántas personas o cuentas fueron afectadas, pero sí está claro que muchas se repiten entre una filtración y otra.
Lo que sí pudieron identificar es que la gran mayoría de los registros siguen un mismo patrón: una URL, seguida del nombre de usuario y la contraseña. Este es el formato típico que usan los ladrones de información hoy en día cuando capturan datos directamente desde dispositivos infectados.
Y aquí viene lo preocupante: esta información abre la puerta a todo tipo de cuentas y servicios, desde plataformas súper populares como Apple, Facebook, Google y GitHub, hasta servicios de mensajería como Telegram e incluso portales gubernamentales. Cuando tienes más de 16 mil millones de registros en juego, es difícil que algo se quede fuera.
¿Por qué esto es tan grave?
Los expertos advierten que filtraciones como esta pueden alimentar toda clase de ciberataques, incluyendo:
-
Phishing personalizado
-
Robo de cuentas
-
Intrusiones con ransomware
-
Ataques dirigidos a empresas y correos corporativos (BEC)
Y lo que hace que estos datos sean aún más peligrosos es que no solo incluyen contraseñas, sino también cookies, tokens de sesión y metadatos. Eso significa que los atacantes no necesitan ni siquiera tu contraseña para meterse en tu cuenta si tienen acceso a tu sesión activa.
Si una empresa no tiene activada la autenticación multifactor (2FA) o no sigue buenas prácticas de seguridad con las credenciales, está básicamente dejando la puerta abierta.
Conoce más sobre: ¿Por qué siguen funcionando los ataques de phishing en 2025?
¿De dónde salieron estos conjuntos de datos?
Los archivos descubiertos por los investigadores eran muy variados. El más pequeño (aunque no precisamente “pequeño”) contenía más de 16 millones de registros y llevaba el nombre de un malware específico. El más grande, que parece estar relacionado con usuarios de habla portuguesa, tenía la increíble cifra de más de 3.500 millones de credenciales. En promedio, cada archivo contenía unos 550 millones de registros.
Algunos archivos tenían nombres bastante genéricos, como “logins” o “credentials”, lo cual no decía mucho sobre su contenido. Pero otros sí dejaban pistas claras de a qué servicios estaban ligados. Por ejemplo, uno con más de 455 millones de registros hacía referencia a la Federación Rusa, y otro archivo, con más de 60 millones, tenía el nombre de Telegram, la app de mensajería en la nube.
Ejemplo de lista de datos típica de un mercado de ladrones (Fuente: SOCRadar)
¿Por qué estos registros robados son tan peligrosos para usuarios y empresas?
Estos tipos de registros se organizan y se combinan en listas súper completas que los hackers pueden usar de muchas formas. Lo más preocupante es que estos registros no solo están bien estructurados y son fáciles de buscar, sino que además circulan por la red a precios muy bajos, e incluso a veces se comparten gratis.
¿Y para qué los usan los atacantes? Pues para cosas bastante serias, como por ejemplo:
-
Saltar la verificación en dos pasos (2FA) usando cookies de sesión robadas
-
Entrar a redes corporativas o herramientas de desarrolladores sin levantar sospechas
-
Robar billeteras de criptomonedas o documentos confidenciales
-
Hacer campañas de phishing muy dirigidas, usando información técnica del sistema o navegador de la víctima
A diferencia de las filtraciones de contraseñas comunes, estos registros capturados por malware suelen incluir datos muchísimo más valiosos: tokens activos, información del entorno del usuario, y hasta "huellas" digitales del dispositivo (como configuraciones únicas del navegador o del sistema).
Con toda esta información, los atacantes pueden automatizar los ataques y adaptarlos fácilmente a su objetivo. Y cuando estos registros se venden en masa o se filtran con etiquetas como "usuarios de Google Workspace" o "empresas financieras en EE. UU.", la amenaza se vuelve aún más específica y peligrosa.
Así que, aunque estos datos no sean del todo nuevos, siguen siendo un riesgo real que no deberíamos subestimar.
Podría interesarte leer: 10 Mercados de la Dark Web más Activos en 2025
¿Cómo protegerte si crees que tus datos pudieron filtrarse?
Si sospechas que tu información podría estar en una de estas enormes compilaciones de datos (o simplemente quieres estar tranquilo), hay varias cosas que puedes hacer para reducir riesgos y mejorar tu seguridad digital. Consejos clave:
-
Cambia tus contraseñas, especialmente si las has reutilizado en varios sitios. Empieza por tus cuentas más importantes: correo, redes sociales, banco, etc.
-
Activa la autenticación en dos pasos (2FA). Esto agrega una capa extra de seguridad que puede frenar a cualquiera que tenga tu contraseña.
-
Usa un gestor de contraseñas. Estas herramientas generan claves seguras y únicas, y además las guardan por ti para que no tengas que recordarlas todas.
-
Estate atento a correos o mensajes sospechosos. Si notas algo raro en tus cuentas (como accesos desde lugares extraños o mensajes que no enviaste), actúa rápido.
-
Haz un escaneo de tu sistema. Es buena idea revisar tu computadora con un antivirus o antimalware actualizado, por si tienes algún software espía activo sin darte cuenta.
Lo más preocupante del malware tipo infostealer es que puede robar cientos de credenciales de una sola computadora infectada. Y no solo son contraseñas personales: muchas veces también obtiene accesos relacionados con el trabajo, que pueden abrir la puerta a sistemas corporativos, plataformas internas o paneles de administración. Y ese es el verdadero riesgo.
Porque más allá de esta última filtración masiva, este tipo de registros ya lleva años circulando por foros de la dark web, grupos privados de Telegram y mercados clandestinos. Son el combustible detrás de ataques de phishing, credential stuffing (uso de contraseñas robadas para acceder a otras cuentas) y hasta ransomware.