¿Cómo saber si tu contraseña ha sido filtrada?

Casi nadie se entera de que su contraseña ha sido robada. No llega un aviso, no pasa nada raro en el ordenador y el servicio afectado puede tardar meses en reconocerlo. Lo que sí ocurre, a menudo, es que un día alguien entra en otra cuenta tuya, una que no tenía nada que ver, con la misma clave.

Entender cómo pasa eso es la mejor forma de evitarlo, y comprobar si una contraseña ya circula por ahí es más sencillo y más seguro de lo que parece.

¿Qué es una filtración?

Una filtración es el momento en que la base de datos de un servicio, con sus usuarios y contraseñas, acaba en manos de quien no debía. Puede ser por un ataque, por un servidor mal configurado o por un empleado descuidado. Esas bases se venden, se intercambian y, con el tiempo, acaban publicadas en foros.

Un servicio bien hecho no guarda tu contraseña tal cual, sino una huella de ella (un hash): un resultado matemático del que no se puede volver atrás directamente. El problema es que muchas contraseñas son tan comunes que sus huellas ya se conocen, y las demás se pueden adivinar probando millones de combinaciones por segundo. Así que, en la práctica, una buena parte de cada filtración termina descifrada y en listas de texto plano.

¿Por qué una filtración ajena es problema tuyo?

Por el credential stuffing, o relleno de credenciales. Quien tiene una lista de correos y contraseñas filtradas de un servicio no intenta adivinar nada: prueba esas mismas parejas, de forma automática, en cientos de otros servicios. Correo, banca, tiendas, redes sociales, el panel de tu web.

Funciona porque la gente reutiliza contraseñas. Si usaste la misma clave en un foro de 2015 que fue atacado y en tu correo del trabajo, la segunda cuenta está tan expuesta como la primera, aunque su proveedor no haya tenido ningún fallo.

Por eso la pregunta útil no es «¿me han hackeado?», sino «¿alguna de mis contraseñas aparece en una lista que ya circula?». Si aparece, alguien la está probando en algún sitio.

Have I Been Pwned y su base de contraseñas

Have I Been Pwned es un proyecto creado por el investigador de seguridad Troy Hunt que recopila filtraciones públicas. Tiene dos partes: una para saber si tu correo aparece en alguna filtración, y otra, Pwned Passwords, con cientos de millones de contraseñas que han aparecido en filtraciones reales, cada una con el número de veces que se ha visto.

Esa segunda base la consultan gestores de contraseñas y formularios de registro de muchas empresas para rechazar claves ya comprometidas, y es lo que recomiendan guías como la del NIST estadounidense: no basta con exigir mayúsculas y símbolos, hay que impedir contraseñas que ya están en listas.

¿Cómo se comprueba sin entregar la contraseña?

Aquí está lo interesante. Mandar tu contraseña a un servicio para preguntarle si la conoce sería absurdo: le estarías dando justo lo que quieres proteger. La solución se llama k-anonimato por prefijo de hash, y se entiende con una comparación.

Imagina que quieres saber si tu número de teléfono está en una lista, pero no quieres decírselo a quien la tiene. Le pides: «dame todos los números que empiecen por 555 12». Te entrega varios miles, y tú buscas el tuyo en casa. Quien tiene la lista sabe que preguntaste por ese prefijo, pero no cuál de los miles de números es el tuyo, ni siquiera si está.

Con las contraseñas es igual, pero más seguro:

1. Tu navegador calcula la huella SHA-1 de la contraseña: 40 caracteres como 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8.
2. Envía solo los cinco primeros (5BAA6).
3. El servicio devuelve todas las huellas de su base que empiezan así, normalmente cientos, con su recuento.
4. Tu navegador busca el resto de tu huella en esa lista, sin que salga de tu equipo.

Hay algo más de un millón de prefijos posibles de cinco caracteres, y cada uno lo comparten muchísimas contraseñas. El servicio nunca recibe la contraseña ni la huella completa, y no puede saber cuál de las candidatas era la tuya.

¿Qué significa el resultado?

Si aparece, esa contraseña está quemada, aunque la hayas inventado tú y te parezca única. Da igual que aparezca una vez o cien mil: ya figura en las listas que se usan para probar cuentas. El recuento solo indica lo común que es.

Si no aparece, quiere decir que no está en las filtraciones recopiladas, no que sea buena. Una contraseña corta o predecible puede no figurar en ninguna lista y caer en minutos ante un ataque de prueba y error. La longitud sigue siendo lo que más pesa: una frase de varias palabras sin relación entre sí aguanta más que ocho caracteres con símbolos.

¿Qué hacer si tu contraseña aparece?

1. Cámbiala en todos los servicios donde la uses, no solo en uno. Empieza por el correo: es la llave que permite restablecer todas las demás.
2. Usa un gestor de contraseñas. Genera y recuerda una clave distinta y larga para cada servicio, y es la única forma realista de no reutilizar. Muchos ya avisan solos si una de tus claves aparece en filtraciones.
3. Activa la verificación en dos pasos (2FA) donde puedas, sobre todo en correo, banca, hosting y redes de la empresa. Con ella, una contraseña filtrada ya no basta para entrar. Una aplicación de autenticación o una llave de seguridad es más robusta que un código por SMS, y las passkeys, donde estén disponibles, evitan la contraseña por completo.
4. Revisa la actividad reciente de las cuentas importantes: sesiones abiertas, reglas de reenvío en el correo, cambios de datos de contacto.
5. Comprueba también tu correo en la web de Have I Been Pwned, que te dice en qué filtraciones concretas aparece y te avisa de las nuevas.

En una empresa, lo mismo vale para las cuentas compartidas: el acceso al hosting, al dominio, al panel de la web o a las redes. Son las que más daño hacen si caen y las que más a menudo llevan una contraseña reciclada desde hace años. Asegurar las cuentas es una capa; la propia web tiene las suyas, como las cabeceras de seguridad HTTP.

¿Cómo comprobar la tuya?

Nuestro comprobador de contraseñas filtradas hace exactamente el proceso descrito: calcula la huella en tu navegador, envía solo los cinco primeros caracteres a Pwned Passwords y compara el resto en tu equipo. Te dice si aparece y cuántas veces, y añade una lectura de la longitud y la composición para orientarte aunque no aparezca.

Si quieres asegurarte de que no sale nada más, puedes abrir las herramientas de desarrollo del navegador mientras la usas: verás una única petición con cinco caracteres en la URL.

---

Una contraseña filtrada no es un desastre si te enteras a tiempo y no la repites en otros sitios. El hábito que de verdad protege es sencillo: una clave distinta por servicio, guardada en un gestor, y un segundo paso de verificación en las cuentas que importan.