Comprobador de contraseñas filtradas

Por qué una contraseña filtrada es peor que una débil

Cuando un sitio web sufre una brecha, la tabla de cuentas robada suele ponerse a la venta, y un tiempo después es gratis. Con los años, estos volcados se han unido en colecciones con miles de millones de pares de correo electrónico y contraseña. Los atacantes dejaron de adivinar hace mucho. Pasan los pares a un script que prueba cada uno en bancos, proveedores de correo y tiendas. Se llama credential stuffing, y funciona siempre que alguien reutilizó una contraseña.

Así que una contraseña que está en esas colecciones está quemada, por larga o complicada que parezca. Tr0ub4dor&3 impresiona a cualquier medidor de seguridad, y está en las listas.

Esta comprobación consulta Pwned Passwords, la base de datos pública del proyecto Have I Been Pwned. Contiene las contraseñas de las brechas que el proyecto ha procesado, cada una con el número de veces que se vio.

Comprobar sin entregar la contraseña

Enviar tu contraseña a un sitio web para preguntar si es segura sería una forma rara de protegerla. La comprobación lo evita con un método llamado k-anonimato:

1. Tu navegador calcula el hash SHA-1 de lo que escribiste. Un hash es un código de longitud fija derivado del texto. Para Summer2024! es 7E8B0A3433F1210A9699D85420E363A1B162ECAC.
2. Solo los cinco primeros caracteres, aquí 7E8B0, llegan a nuestro servidor, que los pasa al servicio Pwned Passwords.
3. El servicio devuelve todos los hashes filtrados que empiezan por esos cinco caracteres, normalmente entre mil y dos mil, rellenados con líneas señuelo para que ni siquiera el tamaño de la respuesta revele nada.
4. Tu navegador busca en esa lista los 35 caracteres restantes de tu hash.

Hay 1.048.576 prefijos posibles de cinco caracteres. Quien vea el tuyo solo sabe que tu contraseña es una de las miles que lo comparten, o ninguna de ellas. Eso es todo lo que obtiene. La línea bajo el resultado muestra el prefijo enviado y cuántos hashes volvieron, para que puedas ver el intercambio tú mismo.

Cómo leer las dos respuestas

Encontrada en filtraciones, con un recuento

El recuento es el número de veces que esta contraseña exacta aparece en los datos de las brechas. Un recuento de miles significa que mucha gente la eligió y que está en los primeros puestos de todas las listas de ataque. Un recuento de 1 o 2 puede ser perfectamente tu propia cuenta de una brecha antigua. En cualquier caso, considera la contraseña pública.

No se encontró ninguna filtración

La contraseña no está en la base de datos. Es una buena noticia, pero solo a medias: no cubre una brecha que aún no ha salido a la luz, y una contraseña corta todavía se puede adivinar directamente.

Por esa segunda mitad, la página también estima la fortaleza mientras escribes, en tu dispositivo. La estimación parte de la longitud multiplicada por la variedad de caracteres usados (minúsculas, mayúsculas, dígitos, símbolos), expresada en bits. Después resta puntos por los hábitos que los atacantes prueban primero: una palabra muy común, aunque tenga letras cambiadas por dígitos; cuatro teclas o letras consecutivas como qwer o 1234; el mismo carácter tres veces seguidas; un año. Por debajo de 28 bits se considera muy débil, por debajo de 45 débil, por debajo de 65 aceptable, y de 65 en adelante fuerte. Una contraseña que no está filtrada pero queda por debajo de “aceptable” recibe una advertencia.

Qué hacer si está en la lista

1. Cámbiala primero en tu cuenta de correo electrónico. Tu buzón recibe los enlaces de restablecimiento de todo lo demás, así que es la cuenta que más quiere un atacante.
2. Cámbiala en todos los demás sitios donde la usaste, incluidas las versiones con otro dígito al final. Los scripts también las prueban.
3. Deja que un gestor de contraseñas invente las nuevas. Bitwarden, 1Password, KeePassXC o el gestor integrado en tu navegador o teléfono generará y recordará una contraseña aleatoria distinta para cada sitio. Si tienes que memorizar una, cuatro o cinco palabras sin relación entre sí son más fuertes y más fáciles que una mezcla corta de símbolos.
4. Activa la verificación en dos pasos donde se ofrezca, preferiblemente con una aplicación de autenticación o una passkey. Después de eso, una contraseña robada ya no basta para iniciar sesión.

Esta comprobación trata una contraseña cada vez y no sabe cuáles de tus cuentas fueron vulneradas. Para buscar por dirección de correo electrónico, ve directamente al sitio de Have I Been Pwned. La mayoría de los gestores de contraseñas también pueden auditar una caja fuerte entera con el mismo método de k-anonimato.