Contraseña filtrada: qué significa y cómo comprobar la tuya

Una contraseña filtrada es una contraseña que apareció en una filtración de datos: alguien robó la base de datos de un sitio donde la usaste y la publicó o la vendió.

Si tu iPhone o el Administrador de contraseñas de Google te avisan que una contraseña está filtrada o hackeada, no significa que alguien entró a tu cuenta. Significa que esa contraseña ya está en las listas que los atacantes prueban primero. Puedes comprobar cualquier contraseña en un segundo sin que salga de tu equipo, y aquí te explico cómo funciona, qué significa el resultado y qué cambiar primero.

  CÓMO FUNCIONA LA COMPROBACIÓN

  tu contraseña → huella SHA-1
       └─ sale: los primeros 5 caracteres
  servidor → huellas con ese inicio
       └─ cientos, se comparan en tu equipo
  [!] tu contraseña nunca sale

Por qué importa aunque sea de un sitio viejo

Hay miles de millones de contraseñas de filtraciones viejas circulando. No de tus sitios en particular, de cualquiera: el foro donde te registraste hace diez años, una tienda en línea, una app de comida a domicilio. Cuando se publica una base así, sus contraseñas van directo a las listas que usan los programas para adivinar contraseñas. Si la tuya está ahí, adivinarla toma segundos, porque el programa solo recorre la lista.

Lo peligroso no es que hayan hackeado un foro viejo. Es que probablemente usas esa misma contraseña en otras cinco cuentas, incluido tu correo. Y el correo es la llave de todo lo demás: desde ahí se recuperan el banco, las redes sociales y los trámites. Así que la pregunta no es «¿me hackearon?», sino «¿mi contraseña está en la lista que se prueba primero?».

Contraseña filtrada en iPhone o Google: qué significa el aviso

• iPhone. La app Contraseñas revisa las contraseñas que tienes guardadas y te avisa si aparecen en filtraciones de datos conocidas; las ves en la sección Seguridad. Apple explica que hace la revisión con técnicas criptográficas que no le revelan tus contraseñas.
• Google. El Administrador de contraseñas de Google puede avisarte cuando detecta en línea alguna de tus contraseñas guardadas, y en sus pantallas las llama contraseñas hackeadas. En Android: abre Chrome, toca Más, los tres puntos, → Configuración → Administrador de contraseñas de Google → Revisión.

En los dos casos, el aviso funciona igual que la comprobación de abajo: no es que alguien haya entrado, es que esa contraseña ya no sirve. Cámbiala en el orden de la sección «Qué cambiar y en qué orden».

Cómo comprobar si tu contraseña fue filtrada

Mandar tu contraseña a un sitio para saber si se filtró sería, por decir lo menos, irónico. Por eso la comprobación funciona de otra forma:

1. Tu navegador calcula una huella SHA-1 (un resumen corto del texto que no se puede convertir de regreso en el texto) de la contraseña. Es de un solo sentido: a partir de la huella no se puede recuperar la contraseña.
2. Solo salen los primeros cinco caracteres de esa huella. Millones de contraseñas distintas comparten esos cinco caracteres, así que la solicitud no dice qué estabas revisando.
3. El servidor de la base de datos regresa todas las terminaciones de huellas que empiezan con esos cinco caracteres. Normalmente son cientos.
4. Tu navegador busca la terminación de tu huella en esa lista. Si está, la contraseña aparece en la base; si no, no está en ninguna filtración publicada.

Este método se llama k-anonimato (te escondes entre cientos de solicitudes parecidas) y es la forma estándar de consultar Have I Been Pwned, la base que lleva años juntando contraseñas de filtraciones conocidas. Solo guarda huellas, sin correos ni nombres.

No tienes que creerlo a ciegas. Abre nuestra comprobación de contraseñas filtradas, luego las herramientas para desarrolladores del navegador, la pestaña Red, y escribe una contraseña. La única solicitud va a api.pwnedpasswords.com, con cinco caracteres en la dirección. Tu contraseña no está ahí.

Qué significa el resultado

«No encontrada». Esta contraseña no aparece en ninguna filtración publicada. No es garantía de que nadie la haya robado: la base solo conoce las filtraciones que se hicieron públicas. Pero «no encontrada» más una contraseña larga y única es un buen lugar donde estar.

«Apareció 12,000 veces». El número es cuántos registros con esa contraseña salieron en todas las filtraciones. No quiere decir que te hackearon 12,000 veces: quiere decir que doce mil personas eligieron la misma contraseña, y que lleva años en las primeras líneas de las listas. Esa contraseña se adivina en segundos en cualquier sitio donde la uses, sin importar de dónde se filtró.

  QUÉ SIGNIFICA EL NÚMERO

  no encontrada    fuera de las listas
  de 1 a 10 veces  ya está en las listas
  miles de veces   se adivina en segundos
     └─ no es «cuántas veces te
        hackearon», es «cuánta gente
        eligió la misma»

Qué cambiar y en qué orden

El orden importa más que la prisa. No cambies todo con pánico: primero protege lo que más cuesta.

1. Tu correo. Todo lo demás se recupera desde ahí. Contraseña nueva, larga y que no se parezca a la anterior.
2. El banco y las apps de pago. Donde está el dinero.
3. Los portales de trámites y lo que tenga tus documentos, como el SAT.
4. Todos los sitios donde usaste la misma contraseña. Y aquí está el verdadero problema: acordarte de dónde más la usaste es casi imposible. Por eso una misma contraseña en varios sitios es peligrosa: una filtración abre todas las puertas.
5. Verificación en dos pasos en el correo y en el banco. Aunque la contraseña se vuelva a filtrar, sin el segundo paso no sirve de nada.

No inventes la nueva contraseña en tu cabeza: lo que inventa una persona casi siempre ya está en alguna lista. El generador de contraseñas crea una larga y aleatoria, y no tienes que memorizarla: para eso está un administrador de contraseñas.

  DESPUÉS DE LA COMPROBACIÓN

  [ ] correo: contraseña nueva
  [ ] banco: contraseña nueva
  [ ] verificación en dos pasos
  [ ] lo demás, a un administrador
      └─ una tarde, y ya no tienes
         que volver a revisar

Cómo dejar de revisar cada mes

Revisar filtraciones es tratar el síntoma. La causa es que las contraseñas se repiten y se inventan a mano. Si cada sitio tiene su propia contraseña aleatoria, una filtración de cualquiera afecta a una sola cuenta, y ya no hay nada que revisar.

Eso es justo lo que hace un administrador de contraseñas: crea, guarda, rellena y, lo más importante, no rellena en un sitio falso con una dirección parecida. La app Contraseñas del iPhone y el Administrador de contraseñas de Google ya vienen incluidos y sirven muy bien para empezar.

Siendo honesto, esto es lo que yo haría: revisar las contraseñas del correo, del banco y del SAT. La que aparezca, se cambia hoy. Las demás no las revisaría una por una: las pasaría a un administrador en una tarde para no volver a pensar en esto.

Lo que esta comprobación no hace

No revisa si tu correo aparece en filtraciones. Revisar por correo implica mandar el correo, y eso ya no es anónimo; esa búsqueda está en haveibeenpwned.com y funciona distinto.

No ve filtraciones que nadie ha reportado. Y no sabe si usas la misma contraseña en otro lado: eso solo lo sabes tú.

Una última cosa: esto no tiene que ver con una VPN. Un túnel oculta tu dirección de la red, pero una contraseña no se filtra desde la red, se filtra desde la base de datos del sitio donde la escribiste alguna vez. Es otra amenaza y otra herramienta.

Si la contraseña apareció y no sabes por dónde empezar, cuéntale tu caso a una IA:

Ayúdame a saber qué hacer después de revisar si
mi contraseña se filtró.

Resultado: (no encontrada / apareció N veces /
aviso del iPhone o de Google).
Dónde uso esa contraseña: (correo / banco / redes
/ no sé dónde más).
¿Tengo verificación en dos pasos?: (sí / no / no
sé).
¿Uso administrador de contraseñas?: (sí / no).

Dime qué cambiar primero y en qué orden, y cómo
encontrar los sitios donde pude usar la misma
contraseña. No me digas solo «cambia todas».

En resumen

Comprobar si una contraseña se filtró es seguro: salen cinco caracteres de una huella y la contraseña se queda contigo. «Apareció N veces» significa que ya está en las listas y se adivina en segundos. Si aparece: correo, banco, trámites y verificación en dos pasos, en ese orden. Y para no volver a revisar, cada sitio con su propia contraseña aleatoria, guardada en un administrador.