Cuando una contraseña tuya aparece en un volcado de datos filtrados, no se siente como una emergencia. Nada se rompe. No salta ninguna alerta. La cuenta sigue funcionando. Eso es justo lo que la vuelve peligrosa, y ahora hay un número que explica por qué.
En el Verizon Data Breach Investigations Report de 2026, los investigadores tomaron organizaciones que después se publicaron como víctimas de ransomware y miraron hacia atrás. El 73% de ellas había tenido una filtración de credenciales o un evento de infostealer en el año previo al ataque. De esas, la mitad lo tuvo dentro de los 95 días anteriores al golpe.
Una credencial filtrada no es el final de un incidente. Es el arranque de una cuenta regresiva.
Cómo termina tu contraseña a la venta
Tres caminos, y solo uno es culpa tuya:
- Filtraron a otro. Una tienda, un foro, un servicio en el que te registraste en 2017. Su base de datos se filtra y tu correo y tu contraseña se van con ella. Tú no hiciste nada mal y probablemente nadie te lo va a avisar.
- Corrió un infostealer en alguna máquina. Una laptop familiar, un celular personal, una descarga que parecía inofensiva. Ese malware existe para cosechar las contraseñas guardadas en el navegador, las cookies de sesión y los tokens, y los manda directo a un mercado. Las cookies importan aquí: con un token de sesión válido, un atacante a veces se salta por completo tu segundo factor.
- Reutilización. La filtración fue de un sitio sin importancia, pero la contraseña es la misma que protege tu correo.
Por qué los atacantes esperan
Normalmente no son las mismas personas. Un grupo cosecha las credenciales, las empaqueta y se las vende a otro que hace la intrusión. Ese traspaso es lo que pone semanas o meses entre la filtración y el ataque, y es la ventana que te queda gratis si estás mirando.
También explica por qué la filtración se siente inofensiva. No pasa nada durante un tiempo precisamente porque quien se la llevó todavía no ha decidido qué hacer con ella.
Qué hacer, en orden
- Enterarte. Comprueba si tu dirección aparece en filtraciones conocidas. La nuestra es gratis y no te pide registrarte: revisar credenciales filtradas. Hazlo con tu dirección de trabajo y con las de quienes manejan pagos.
- Cambia primero la contraseña que más importa. La de tu cuenta de correo, no la del sitio que se filtró. Quien controla tu bandeja de entrada puede restablecer todo lo demás.
- Mata las sesiones, no solo la contraseña. Este es el paso que casi todo el mundo se salta. Cambiar una contraseña no siempre desconecta a un atacante que tiene una cookie de sesión viva. En Microsoft 365 y en Google Workspace existe la acción de cerrar sesión en todas partes. Úsala.
- Enciende el segundo factor en todo lo que lo ofrezca, empezando por el correo, el acceso remoto y cualquier cosa que toque dinero. Un código de aplicación es mejor que un código por mensaje de texto.
- Deja de reutilizar. Un gestor de contraseñas no va de contraseñas fuertes, va de contraseñas distintas, para que una filtración se quede en una sola filtración.
- Sospecha de la máquina, no solo de la cuenta. Si la credencial vino de un infostealer, la contraseña se la sacaron a una computadora, y esa computadora sigue ahí. Revísala o reinstálala.
Qué debería significar «vigilancia» de verdad
Revisar una vez es una foto. La filtración que importa es la que ocurre el próximo marzo. Vigilancia continua significa que alguien está pendiente de que tu dominio aparezca en volcados nuevos y te dice qué cuenta cambiar, que es lo que cubre nuestro trabajo de exposición y web oscura.
Y como esa credencial suele ser el primer paso de una cadena de ransomware, la otra mitad de la respuesta es poder recuperarte si llega hasta el final: copias que un atacante no pueda alcanzar y una restauración que de verdad se haya probado. Eso es continuidad y recuperación. Y si quieres ver a quién están golpeando ahora mismo, nuestro rastreador de ransomware es público y se puede buscar por industria.
El resumen honesto
No puedes evitar que otras empresas filtren tus datos. Lo que sí puedes es enterarte rápido, cerrar la puerta del todo y no a medias, y asegurarte de que una contraseña expuesta no se convierta en un negocio cifrado.
Noventa y cinco días no son un aviso largo. Alcanzan, si alguien está mirando.
Fuentes: Verizon 2026 Data Breach Investigations Report.