Por qué reutilizar contraseñas es riesgoso

Reutilizar una sola contraseña en varios sitios convierte una filtración en muchas puertas abiertas. Si el sitio A expone tu correo y contraseña, los atacantes pueden probar ese mismo par en el sitio B, el sitio C y tu proveedor de correo. Ese patrón se llama credential stuffing: intentos automatizados de inicio de sesión con credenciales robadas, esperando que la reutilización haga el resto. Esta guía explica el riesgo en lenguaje claro y qué hacer en su lugar. No inventa conteos de brechas ni afirma con qué frecuencia el stuffing tiene éxito.

Cómo falla la reutilización (patrón trabajado)

Imagina tres cuentas en México que comparten un secreto:

Esa cadena es una demo publicada. No la uses en ningún lado. Si la base de la tienda se roba y la contraseña estaba mal almacenada o luego se descifra, el atacante ya sabe qué correo y contraseña probar en el foro y en el buzón. El correo vale especialmente porque ahí suelen llegar los enlaces de restablecimiento de otros servicios.

Los secretos únicos rompen la cadena:

Una filtración en la tienda ya no entrega una llave que funcione para el correo. Aun así rotas la contraseña de la tienda y revisas actividad sospechosa, pero el radio de daño se encoge.

Credential stuffing, paso a paso

1. Se filtran credenciales de un servicio (phishing, malware o una brecha en ese servicio).
2. Los atacantes cargan pares correo/usuario y contraseña en scripts.
3. Los scripts prueban esos pares en muchos formularios de acceso.
4. Donde reutilizaste la contraseña, el script puede acertar sin “adivinar” desde cero.

El stuffing no es lo mismo que adivinar una contraseña corta desde cero. Cabalga sobre la igualdad. Una contraseña larga reutilizada aún te puede fallar si aparece en una filtración y la usaste dos veces.

El phishing sigue siendo un riesgo aparte: una página falsa puede cosechar una contraseña única de un sitio. La autenticación en dos pasos y revisar la URL ayudan ahí. La reutilización aún empeora el daño cuando la contraseña cosechada también abre otras cuentas.

Qué hacer en su lugar

1. Contraseña única por cuenta

Nunca recicles el mismo secreto entre servicios. Variaciones leves (Tienda2024!, Foro2024!) siguen siendo una familia de reutilización. Prefiere valores totalmente independientes.

2. Usa un gestor de contraseñas

Un gestor guarda contraseñas únicas para que no dependas de la memoria. Protégelo con una contraseña maestra fuerte que no reutilices en otro lado, y activa la autenticación en dos pasos en la cuenta del gestor cuando el producto la ofrezca. Genera secretos nuevos en un generador de confianza y luego guárdalos en el gestor.

3. Activa la autenticación en dos pasos (2FA)

Donde un servicio ofrezca 2FA, actívala, sobre todo en correo, banca, trabajo y el propio gestor. Los códigos de app o hardware suelen preferirse al SMS cuando puedes elegir, pero cualquier segundo factor supera solo-contraseña en una cuenta de alto valor.

4. Genera valores frescos aquí y guárdalos

Usa el generador de contraseñas en tu navegador, copia un valor recién creado y pégalo en el gestor o en el formulario de alta. No pegues muestras del artículo en cuentas reales.

Para cómo longitud y conjuntos de caracteres cambian la estimación de entropía en la página, ve cómo crear una contraseña segura. Para frases secretas frente a cadenas aleatorias densas, ve frase secreta vs contraseña aleatoria. Este artículo se centra en la reutilización, no en elegir entre esos dos estilos.

Errores frecuentes

• Guardar una “principal” para sitios “poco importantes”. Esos sitios aún tienen flujos de restablecimiento y tarjetas guardadas.
• Cambiar solo el sitio filtrado y dejar la misma contraseña en el correo.
• Guardar únicas en una nota sin cifrar que se sincroniza en todas partes.
• Desactivar 2FA porque “retrasa” y apoyarte en reutilizar por comodidad.
• Reutilizar la contraseña maestra del gestor en otros sitios web.

Orden práctico de limpieza

1. Lista cuentas que pueden restablecer otras (correo primero).
2. Genera una contraseña única nueva para el correo y activa 2FA.
3. Repite en banca, trabajo, almacenamiento en la nube y compras que guarden métodos de pago.
4. Donde aún veas la cadena vieja reutilizada, sustitúyela.
5. Quita el secreto viejo de cualquier navegador que lo autocompletara en dispositivos compartidos.

No necesitas una estadística pública para justificar el trabajo. La lógica basta: un secreto, muchas puertas; muchos secretos, una puerta cada uno.

Los inicios de sesión compartidos en casa también piden cuidado. Si dos personas comparten la contraseña de un streaming, es una elección de producto. Si además reutilizan esa misma cadena para el correo, la comodidad compartida se vuelve un incidente compartido. Mantén las contraseñas de entretenimiento compartido fuera del conjunto que usas para identidad y dinero.

En México es habitual que el correo institucional o el de la escuela también sirva para recuperar apps bancarias o de gobierno. Trátalo como cuenta de alto valor aunque “solo sea correo”.

Genera una contraseña única ahora

Elige una longitud que el sitio acepte, activa los conjuntos de caracteres que permita, regenera y copia solo un valor que acabas de crear. La generación usa el generador seguro de números aleatorios del navegador. Nada se envía a un servidor de Numbrixiya para almacenarlo como tu contraseña.

Cuando un servicio te escriba sobre un restablecimiento que no pediste, cambia esa contraseña, revisa el 2FA del correo y escanea otras cuentas que aún compartían el secreto viejo. La velocidad importa más que reconstruir cómo ocurrió la filtración.