24 mil millones de credenciales: filtración de infostealers
El 12 de junio de 2026, el equipo de investigación de Cybernews descubrió un clúster de Elasticsearch de acceso público con más de 24 mil millones de registros de credenciales repartidos en 8,3 terabytes de datos, una de las mayores recopilaciones de datos de inicio de sesión robados que se hayan expuesto nunca. La base de datos no tenía contraseña, ni autenticación, ni restricciones de red: cualquiera que localizara su dirección en internet podía leerla íntegramente. Se desconectó el 15 de junio, pero las credenciales que contenía ya se habían copiado y siguen circulando activamente entre delincuentes.
Lo que distingue esta filtración de las anteriores "megabrechas" no es solo su tamaño, sino su composición. La inmensa mayoría de los 24 mil millones de registros son logs de infostealers: credenciales recién sustraídas y emparejadas con las URL exactas de inicio de sesión a las que dan acceso. Agregada a partir de al menos 36 fuentes distintas, la base de datos representa la consolidación industrial de la economía del robo de credenciales en un único índice consultable, que permite la toma de control automatizada de cuentas a escala planetaria.
Qué ha ocurrido
Los datos expuestos eran una recopilación cuidadosamente seleccionada, no el resultado de una única brecha de seguridad. Cybernews rastreó los 24 mil millones de registros hasta 36 fuentes distintas. El lote más grande, de unos 22,6 mil millones de registros, procedía de "colecciones" sin etiquetar: compilaciones reempaquetadas cuyas brechas de origen son difíciles de identificar. Más de 1,7 mil millones de registros se extrajeron de más de 30 canales de Telegram dedicados al cibercrimen, la mayoría en inglés y algunos en ruso, donde se comercia a diario con credenciales robadas. Alrededor de 146 millones de registros procedían de conocidas "combolists" que recopilan brechas anteriores, y unos 150 millones se exportaron directamente de servidores objetivo comprometidos y todavía activos.
Un dato clave: el operador seguía gestionando y depurando el conjunto de datos cuando se descubrió. Los investigadores observaron que el clúster contenía un artículo de noticias de ciberseguridad fechado en febrero de 2026, prueba de que quien lo había reunido vigilaba activamente el panorama de amenazas y seguía ampliando la colección con datos robados recientes hasta el mismo momento del hallazgo. No era un archivo estático, sino un almacén de credenciales vivo y mantenido de forma continua.
Qué datos quedaron expuestos
Como la mayoría de los registros son logs de infostealers, la exposición va mucho más allá de un par de usuario y contraseña. Este tipo de malware recolecta todo lo que un navegador y un sistema operativo estén dispuestos a entregar. El conjunto de datos y los logs que lo alimentan suelen incluir:
Credenciales en texto plano vinculadas a sus URL de destino
Direcciones de correo electrónico, nombres de usuario y contraseñas almacenados en bruto y sin cifrar, cada uno emparejado con el sitio web o servicio exacto al que da acceso. Los atacantes no tienen que adivinar dónde funciona una contraseña: los datos les indican exactamente qué puerta abre cada llave.
Cookies de sesión y tokens de autenticación
Los infostealers capturan cookies y tokens de sesión activos, incluidos los que permiten eludir la autenticación multifactor reutilizando una sesión ya autenticada. Así, el atacante puede saltarse por completo la pantalla de inicio de sesión y el segundo factor.
Datos de autocompletado y huellas digitales de dispositivos
Datos de formularios guardados, entradas de autocompletado del navegador y huellas digitales del dispositivo que ayudan a los atacantes a suplantar el equipo de la víctima y a burlar los sistemas de detección de fraude y de inicios de sesión anómalos.
Acceso corporativo y a la infraestructura
Entre las cuentas de consumidores se mezclan credenciales de correo corporativo, consolas en la nube, portales VPN y plataformas SaaS, sustraídas de equipos infectados de empleados y contratistas. Son precisamente las llaves por las que pagan las bandas de ransomware y los intermediarios de acceso inicial.
La presencia de exportaciones de servidores activos y de datos recientes de infostealers, en lugar de datos de brechas de hace años, es lo que convierte esta colección en un riesgo operativo activo y no en simple ruido de fondo.
Cómo se desarrollan ataques como este
Todo empieza con una infección. Un usuario descarga una aplicación pirateada, una falsa actualización de software, un truco para videojuegos o una extensión de navegador maliciosa, o bien un mensaje de tipo "ClickFix" lo engaña para que pegue un script en su terminal. A continuación, un malware infostealer como Lumma Stealer, RedLine o Raccoon extrae silenciosamente las contraseñas guardadas, las cookies y los datos de autocompletado de todos los navegadores del equipo y los envía a un servidor de comando y control.
A partir de ahí, los logs entran en la cadena de suministro delictiva. Se venden e intercambian en canales de Telegram y mercados de la dark web, se agrupan en "colecciones" y, finalmente, se agregan en bases de datos consultables como la que encontró Cybernews. Como cada credencial está etiquetada con su URL de destino, un atacante puede lanzar campañas automatizadas de relleno de credenciales (credential stuffing) contra miles de servicios a la vez, dando prioridad a los objetivos de alto valor: correo corporativo, paneles de administración en la nube, banca y pasarelas VPN.
La fase final es la toma de control de la cuenta. Cuando las víctimas han reutilizado contraseñas o carecen de una autenticación resistente al phishing, un único inicio de sesión robado puede desembocar en el compromiso total de la cuenta y, en el caso de las credenciales corporativas, en una intrusión en la red. La vía que lleva del infostealer a la empresa se ha convertido en el principal vector de acceso inicial de 2026: una infección de bajo costo con malware dirigido a consumidores en un solo portátil se convierte habitualmente, semanas después, en la puerta de entrada de un incidente de ransomware de seis cifras.
Por qué debe importar a los directivos
Esta filtración no corresponde a una brecha de seguridad de ninguna organización concreta, y eso es precisamente lo que la hace peligrosa. Una empresa puede tener una seguridad perimetral impecable y, aun así, tener credenciales de empleados, contratistas o clientes en esta base de datos, sustraídas de un dispositivo personal que no gestiona. La frontera tradicional entre "nuestros sistemas" e "internet" no sirve para contener el riesgo de los infostealers.
La magnitud acaba con cualquier ilusión de pasar inadvertido. Con 24 mil millones de registros indexados y vinculados a sus destinos, una fracción significativa de todas las contraseñas en uso ya está en manos de los atacantes, lista para pruebas automatizadas. Cualquier cuenta protegida solo por una contraseña, por robusta que sea, debe considerarse expuesta. Las obligaciones regulatorias derivadas del RGPD, PCI DSS y los marcos normativos sectoriales se activan en el momento en que unas credenciales robadas dan lugar a un acceso no autorizado a datos personales o de pago, y "las credenciales procedían de la computadora doméstica de un empleado" no es una defensa que los reguladores acepten.
Para los responsables de seguridad, la cuestión operativa ya no es si se han filtrado credenciales, sino si la organización es capaz de detectar su uso y sobrevivir a él. Eso implica validar que la MFA se aplica en todos los puntos donde importa, que la detección de relleno de credenciales y de inicios de sesión anómalos realmente se activa y que una sola contraseña comprometida no puede convertirse, paso a paso, en el compromiso de todo el dominio.
Qué hacer ahora
Migre las cuentas críticas a una autenticación resistente al phishing
Implante passkeys y llaves de seguridad FIDO2 para el correo electrónico, las consolas en la nube, las VPN y las cuentas de administración. A diferencia de las contraseñas y los códigos de un solo uso, estas credenciales están vinculadas criptográficamente al sitio legítimo y no se pueden obtener mediante phishing, reutilizar ni robar con infostealers. Son el único modelo de autenticación que esta economía del robo de credenciales no puede vencer.
Aplique la MFA en todas partes y elimine la reutilización de contraseñas
Exija autenticación multifactor en todas las cuentas, dando prioridad a las que compartan contraseña con otro servicio. Imponga el uso de un gestor de contraseñas para que cada inicio de sesión tenga una credencial única, larga y aleatoria, y restablezca cualquier contraseña de la que se sepa o sospeche que se reutiliza en varios sistemas.
Busque activamente infecciones de infostealers en los endpoints
Dado que la causa raíz es el malware en los dispositivos, implante y supervise soluciones de detección y respuesta en endpoints para identificar la actividad de infostealers, y restrinja la instalación de software no autorizado, extensiones de navegador y aplicaciones pirateadas. Considere comprometido cualquier dispositivo que haya manejado credenciales corporativas y muestre indicios de infección mientras no se demuestre lo contrario.
Supervise de forma continua las credenciales expuestas
Suscríbase a servicios de supervisión de credenciales y de la dark web para que los accesos corporativos filtrados se detecten en cuanto aparezcan, no meses después. Detectar a tiempo una credencial robada suele ser la única oportunidad de romper la cadena de ataque antes de que llegue a los sistemas de producción.
Valide sus defensas frente a rutas de ataque reales
Contrate a un equipo de pruebas de penetración para simular ataques de relleno de credenciales y de toma de control de cuentas, y confirmar que la MFA, la gestión de sesiones y los controles de detección resisten bajo presión. Compleméntelo con una revisión de código de seguridad de la lógica de autenticación y de gestión de sesiones para cerrar las carencias (invalidación de sesiones deficiente, falta de vinculación de tokens, ausencia de limitación de peticiones) que convierten una sola credencial robada en un compromiso total.
Preguntas clave
¿Estaba mi contraseña en esta filtración?
No es posible consultar la base de datos directamente, pero dado su tamaño y el hecho de que la mayoría de los registros son logs recientes de infostealers, debe dar por hecho que cualquier contraseña que haya reutilizado o introducido en un dispositivo infectado está expuesta. Compruebe sus direcciones de correo electrónico en servicios fiables de notificación de brechas y considere cualquier coincidencia como una señal para cambiar esa credencial en todos los sitios donde la haya utilizado.
¿Me protege la autenticación multifactor?
La MFA reduce drásticamente el riesgo de que una contraseña robada, por sí sola, conduzca a la toma de control de la cuenta, y sigue siendo imprescindible. Sin embargo, los logs de infostealers suelen incluir cookies de sesión que permiten eludir la MFA reutilizando una sesión ya autenticada. Los métodos resistentes al phishing (passkeys y llaves FIDO2) eliminan ese punto débil; los códigos de un solo uso por SMS o mediante aplicación no lo hacen del todo.
Somos una empresa, no un particular. ¿Cómo nos afecta esto?
Las credenciales corporativas aparecen mezcladas por todos estos logs, sustraídas de dispositivos de empleados y contratistas a los que sus controles quizá nunca lleguen. Un solo portátil personal infectado con una contraseña guardada de VPN o de inicio de sesión único puede entregar a un atacante las llaves de su entorno. Dé por hecho que algunas credenciales corporativas están expuestas y diseñe controles que resistan ese supuesto.
La base de datos ya está desconectada. ¿Ha pasado el riesgo?
No. La instancia expuesta se desconectó el 15 de junio de 2026, pero las credenciales se copiaron y siguen circulando activamente por canales de Telegram y mercados clandestinos. Desconectar un servidor no invalida en absoluto las contraseñas en sí; solo lo consiguen la rotación de credenciales y la adopción de una autenticación resistente al phishing.
Conclusiones clave
La filtración de 24 mil millones de registros es menos un incidente aislado que una instantánea de una economía delictiva ya madura. El malware infostealer recolecta credenciales a escala industrial, los logs se agregan y se vinculan a sus objetivos, y el resultado es un índice consultable que convierte la toma de control de cuentas en una operación automatizada que se lanza con solo pulsar un botón. Su tamaño, comparable al de la "madre de todas las filtraciones" de 2024 pero dominado por datos recientes robados en tiempo real, significa que la seguridad basada solo en contraseñas ya no puede considerarse suficiente para nada que realmente importe.
La respuesta defensiva está clara, aunque nunca llegue a conocerse todo el contenido de la filtración. Dé por hecha la exposición, migre las cuentas de alto valor a passkeys y a una MFA resistente al phishing, elimine la reutilización de contraseñas, busque infecciones de infostealers en los endpoints que alimentan estas bases de datos y valide mediante pruebas, no mediante suposiciones, que una credencial robada no puede convertirse en una brecha de seguridad. En una época en la que una parte significativa de todas las contraseñas ya está en manos de los atacantes, la resiliencia proviene de la arquitectura, no de esperar que sus credenciales sigan siendo secretas.