En este artículo
Una filtración de datos en otra web solo se convierte en un problema de su empresa cuando la misma contraseña abre una cuenta de trabajo. Para evitarlo, verifique el dominio completo en un servicio como Have I Been Pwned, cambie las contraseñas expuestas, active MFA en todas las cuentas y facilite al equipo un gestor de contraseñas. Es cuestión de días, y es una de las bases de la ciberseguridad gestionada que DataRoad - IT Services and Consulting aplica a sus clientes.
Cómo acaban los correos del equipo en una filtración
Los empleados usan el correo profesional para registrarse en herramientas online, conferencias, tiendas y plataformas de formación. Cuando uno de esos servicios sufre un ataque, la lista de correos y contraseñas suele publicarse o venderse. La empresa no ha sido atacada, pero los datos del equipo están ahí.
Si la contraseña de esa web es la misma que la de Microsoft 365, el atacante ya tiene la llave. No necesita adivinar nada.
Credential stuffing, explicado en dos párrafos
El «credential stuffing», o relleno de credenciales, consiste en tomar miles de pares correo/contraseña robados en una web y probarlos automáticamente en otras. Funciona porque, como explica OWASP —fundación internacional de seguridad de aplicaciones—, mucha gente repite el mismo correo y la misma contraseña.
Imagine a alguien que encuentra la llave de su casa de vacaciones y la prueba, por si acaso, en la puerta de la oficina. Es exactamente eso, pero hecho por software, a una escala de miles de intentos.
Tres comprobaciones que hacer esta semana
¿Puede cada empleado consultar su propio correo?
Sí. En haveibeenpwned.com cualquiera puede buscar su dirección y ver en qué filtraciones conocidas aparece. Es excelente para concienciar al equipo, pero no ofrece la visión de conjunto de la empresa.
¿Cómo se verifica el dominio completo?
Para listar todas las direcciones @suempresa.pt, Have I Been Pwned exige demostrar que controla el dominio, por una de estas cuatro vías:
- DNS: registro TXT con el valor indicado.
- Meta tag: etiqueta en la página de inicio de la web.
- Archivo: pequeño archivo HTML subido al servidor.
- Correo: enlace enviado a una dirección de administración del dominio.
Quien gestiona el DNS o la web lo hace en minutos. Según la página de precios del servicio, la monitorización no tiene coste para dominios con hasta 10 direcciones expuestas; por encima, requiere una suscripción de pago, con tramos según el número de direcciones.
¿Y las contraseñas propiamente dichas?
El mismo servicio mantiene Pwned Passwords, una base de contraseñas ya vistas en filtraciones, que se puede consultar sin revelar la contraseña a quien la verifica. El NIST, el instituto de normalización de EE. UU., recomienda precisamente comparar cada contraseña nueva con listas de contraseñas comunes o comprometidas y rechazarla si figura en ellas. En entornos Microsoft existen protecciones equivalentes que bloquean contraseñas débiles o conocidas.
Plan de respuesta en cuatro pasos
| Paso | Acción | Cuándo |
|---|---|---|
| 1. Triaje | Listar las direcciones expuestas, las filtraciones en que aparecen y sus fechas | Día 1 |
| 2. Cambio | Cambiar las contraseñas afectadas —primero administradores, finanzas y dirección— y cerrar las sesiones abiertas | Días 1 a 3 |
| 3. MFA | MFA en todas las cuentas, sin excepciones, y bloqueo de los protocolos antiguos que no lo admiten | Semana 1 |
| 4. Gestor de contraseñas | Un gestor de contraseñas de empresa para cada empleado, para acabar con la reutilización | Mes 1 |
- Cambiar con criterio El NIST ha dejado de recomendar cambios obligatorios cada 90 días. La orientación actual es forzar el cambio solo cuando hay indicios de compromiso, y aparecer en una filtración es justamente ese indicio.
- MFA como pieza central Con MFA, la contraseña robada ya no basta; falta la aprobación en el móvil. Según Microsoft, MFA con bloqueo de la autenticación antigua frena más del 99,9 % de los ataques comunes a cuentas. Opciones en autenticación multifactor en la empresa.
- Fin de la reutilización Nadie memoriza 40 contraseñas largas y distintas. El gestor las genera, las guarda y las rellena. El NIST pide que los sistemas acepten estos gestores y la función de «pegar» contraseñas, con un mínimo de 15 caracteres cuando la contraseña es el único factor. Cómo elegir: gestor de contraseñas para empresas.
DataRoad IT Unlimited
Hable con DataRoad. Evaluamos su operación y proponemos el plan adecuado.
Cuando la cuenta ya se ha usado: señales de alarma
Estar en una filtración no prueba que alguien haya entrado. Sin embargo, estas señales exigen actuar de inmediato:
- Accesos extraños Inicios de sesión desde países en los que la empresa no opera.
- Reglas de correo nuevas Mensajes reenviados al exterior o eliminados.
- Solicitudes de MFA no pedidas Que el empleado puede aprobar por error.
- Correos extraños a clientes o proveedores Por ejemplo, con el IBAN cambiado; vea la estafa de la factura modificada.
Estas señales solo llegan a tiempo a alguien si hay monitorización con alertas. En los planes IT Unlimited de DataRoad, esa monitorización forma parte de la seguridad incluida, junto con el MFA y la protección de los puestos.
Ventask: 350 puestos con seguridad gestionada desde 2016
Ventask trabaja con DataRoad desde 2016 y tiene hoy 350 puestos con IT Unlimited, con firewalls gestionados, seguridad de los endpoints, soluciones de teletrabajo y mantenimiento de las soluciones de ciberseguridad. A esta escala, la pregunta no es si algún correo aparece en una filtración, sino con qué rapidez una cuenta expuesta deja de ser una puerta abierta.
Lea el caso Ventask: 350 puestos y firewalls gestionados y conozca nuestra ciberseguridad gestionada para empresas.
Preguntas frecuentes
¿Puedo verificar legalmente los correos de mi empresa?
Sí, en su propio dominio; de ahí la prueba de control que exige Have I Been Pwned. El objetivo es proteger las cuentas de la empresa, no investigar la vida personal de los empleados.
¿Un correo en una filtración significa una cuenta pirateada?
No necesariamente. Significa que el correo, y a veces una contraseña, quedó expuesto en otro servicio. El riesgo depende de que esa contraseña se siga usando en el trabajo y de que la cuenta tenga MFA.
¿Merece la pena obligar a cambios mensuales?
No. El NIST recomienda cambiar solo ante señales de compromiso. Contraseñas largas, únicas, guardadas en un gestor y protegidas con MFA son más eficaces.
¿Cada cuánto tiempo debemos verificar?
Lo ideal es una monitorización continua, con alerta ante cada nueva filtración que incluya direcciones de la empresa. Como mínimo, una verificación por trimestre y otra cada vez que se publique una filtración en un servicio que use el equipo.
Siguiente paso: verificación de credenciales expuestas en 5 días laborables
Analizamos su dominio en filtraciones conocidas, identificamos las cuentas en riesgo, confirmamos el MFA en todas ellas y entregamos el plan de cambio y de gestor de contraseñas listo para aplicar. Propuesta sin compromiso. Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico.
Fuentes
- Have I Been Pwned — How do I verify my domain?
- Have I Been Pwned — Pricing (sin coste hasta 10 direcciones expuestas)
- Have I Been Pwned — FAQs (Domain Search y Pwned Passwords)
- NIST SP 800-63B-4 — Authentication and Authenticator Management
- OWASP — Credential stuffing
- Microsoft Learn — Security defaults in Microsoft Entra ID
