Robo de cuentas y credential stuffing: cómo detectarlos y frenarlos con inteligencia IP (2026)

Tu página de inicio de sesión es la superficie más atacada que tienes, y la mayoría de los ataques no intentan adivinar contraseñas. Ya las tienen. Miles de millones de credenciales filtradas en brechas anteriores se empaquetan en "combolists" y se reproducen contra todos los sitios de internet, buscando la pequeña fracción de usuarios que reutilizó una contraseña. Cuando una funciona, eso es un robo de cuentas.

Esta guía explica cómo funcionan realmente el credential stuffing y el ATO en 2026, por qué la defensa obvia (bloquear las IP malas) no basta por sí sola y cómo usar la inteligencia IP de la forma correcta: como una señal más, normalmente una puntuación de riesgo de IP leída por franjas y no como un veredicto, dentro de una defensa por capas basada en el riesgo. Todo lo que aparece aquí se apoya en fuentes primarias: OWASP, NIST, el Verizon DBIR y mediciones de amenazas de 2026.

Credential stuffing frente a robo de cuentas: las definiciones

Estos términos se usan como si fueran intercambiables, pero son distintos:

• El credential stuffing es el método de ataque. OWASP lo clasifica como OAT-008: los "intentos masivos de inicio de sesión usados para verificar la validez de pares de usuario y contraseña robados". Lo decisivo es que "no implica fuerza bruta ni adivinación". Las credenciales son conocidas, recopiladas de otras brechas, y simplemente se prueba si se han reutilizado.
• El robo de cuentas (ATO) es el resultado: un atacante toma el control de la cuenta de un usuario real. El credential stuffing es el camino más común hacia el ATO, pero el phishing, el malware y el secuestro de sesión también llevan hasta él.

Conviene distinguir ambos de sus parientes: el password spraying (una contraseña común contra muchas cuentas) y la fuerza bruta (muchos intentos de contraseña contra una sola cuenta). El credential stuffing es más peligroso que cualquiera de los dos porque explota una verdad humana (la gente reutiliza contraseñas) y no contraseñas débiles.

Cómo funciona realmente el ataque

La cadena moderna de credential stuffing está industrializada:

1. Conseguir credenciales. Los atacantes compran o descargan combolists de volcados de brechas y mercados criminales, miles de millones de pares cada vez.
2. Automatizar a escala. Herramientas listas para usar (el veterano Sentry MBA, y hoy OpenBullet2 y SilverBullet) reproducen esos pares contra los endpoints de inicio de sesión miles de veces por minuto.
3. Rotar IP para pasar desapercibidos. Este es el movimiento clave. Como documenta OWASP, estas herramientas "ofrecen el uso integrado de redes de proxies para repartir las solicitudes entre un gran volumen de direcciones IP únicas. Esto puede burlar tanto las listas de bloqueo de IP como la limitación de tasa, ya que el volumen de solicitudes por IP puede mantenerse relativamente bajo, incluso en ataques de gran volumen".
4. Monetizar los aciertos. Un inicio de sesión correcto se convierte en robo de fondos, abuso de medios de pago guardados, vaciado de puntos de fidelidad o, simplemente, una cuenta verificada que se revende al siguiente delincuente.

Las tasas de éxito por intento son minúsculas (una fracción de un uno por ciento), pero con millones de intentos esa fracción se traduce en miles de cuentas comprometidas.

La escala en 2026

Las cifras de mediciones de referencia son preocupantes:

(Estas últimas cifras son estimaciones de proveedores basadas en la telemetría de sus redes: evidencia direccional sólida, atribuida como corresponde, no un censo de todo internet). HUMAN también constató que la proporción del tráfico de inicio de sesión que intentaba un ATO tuvo su mayor salto en años, superando el 13% en EMEA frente a menos del 3,5% a nivel mundial. La página de inicio de sesión es, de forma medible, un campo de batalla.

Por qué es tan difícil de frenar en 2026: los proxies residenciales

La razón por la que las defensas de ayer fallan es la red de proxies residenciales. En lugar de atacar desde IP de datacenter evidentes, los atacantes hacen pasar el tráfico de credential stuffing por millones de dispositivos de consumo reales (routers domésticos, teléfonos, televisores inteligentes), de modo que cada solicitud llega desde una dirección de ISP de apariencia legítima.

No es teoría. En enero de 2026, el Threat Intelligence Group de Google, junto con Cloudflare y otros, desarticuló la red IPIDEA, "una de las mayores redes de proxies residenciales del mundo", reduciendo en millones el conjunto de dispositivos de sus operadores. Como lo expresó GTIG, "al hacer pasar el tráfico por un conjunto de dispositivos de consumo de todo el mundo, los atacantes pueden ocultar su actividad maliciosa secuestrando estas direcciones IP", lo que genera "retos importantes para los defensores de la red". El FBI de EE. UU. emitió en marzo de 2026 una alerta de servicio público sobre la evasión mediante redes de proxies residenciales.

La consecuencia práctica: una lista de bloqueo de IP es, por su propia estructura, demasiado lenta y demasiado tosca. El volumen por IP del atacante es bajo, las IP son hogares reales y rotan constantemente. No puedes salir de esto a base de bloqueos.

Dónde sí ayuda la inteligencia IP

Eso no hace inútiles los datos de IP. Los convierte en una señal, no en un veredicto. Y es una señal con el respaldo de los estándares. NIST SP 800-63B-4 (finalizada en julio de 2025) respalda expresamente la autenticación basada en el riesgo usando "la dirección IP del solicitante, la geolocalización, los patrones de tiempo de las solicitudes o los metadatos del navegador", y señala que "la autenticación desde una geolocalización o un bloque de direcciones IP inesperados (por ejemplo, un servicio en la nube) podría motivar el uso de controles adicionales basados en el riesgo".

Las señales de IP de mayor valor en un endpoint de inicio de sesión o de restablecimiento de contraseña:

• Tipo de conexión. Un inicio de sesión desde un rango de datacenter o de nube es mucho más sospechoso que uno desde un ISP residencial. La mayoría de los usuarios reales no inician sesión desde AWS.
• Detección de VPN y proxy. El tráfico anonimizado en el endpoint de inicio de sesión eleva mucho el riesgo. Los proxies residenciales son la herramienta favorita de quien hace credential stuffing y se parecen al tráfico normal de un ISP, por eso importan las capas de dispositivo y de comportamiento que vienen más abajo.
• Reputación del ASN. Las concentraciones de abuso se corresponden con redes concretas; el sistema autónomo que hay detrás de una IP es una señal duradera.
• Geolocalización para el viaje imposible. Un inicio de sesión desde un país minutos después de otro desde un país distinto indica un probable compromiso.
• Una puntuación de riesgo compuesta. Combina todo lo anterior en un único número al que puedes aplicar un umbral, en lugar de razonar a mano sobre cada indicador.

La trampa de los falsos positivos (la parte que la mayoría de las guías omite)

Aquí está la pega honesta, y es la razón por la que la inteligencia IP debe alimentar una decisión de riesgo en lugar de un bloqueo rígido: las defensas basadas solo en IP castigan sistemáticamente a clientes reales.

Una sola dirección CGNAT (NAT de nivel de operador) puede agrupar a cientos o miles de usuarios reales, y lo mismo ocurre con una pasarela móvil o un relé de privacidad. La telemetría de Cloudflare de 2025 es reveladora: las IP CGNAT tienen una tasa de bots prácticamente idéntica a la de las IP no CGNAT (mediana del 4,8% frente al 4,7%) y una media más baja (7% frente a 13,1%), y aun así se les aplica limitación de tasa tres veces más a menudo. Dicho de otro modo, los controles de IP ciegos bloquean a una multitud de usuarios legítimos para frenar a un atacante escondido entre ellos. El mismo exceso de bloqueo afecta a las redes móviles y a Apple iCloud Private Relay, exactamente el tráfico legítimo que tratamos en detectar tráfico anonimizado sin bloquear a clientes reales.

Así que la regla es: una señal de IP de riesgo debe aumentar la fricción (un desafío adicional), no dar un portazo. Los tipos de conexión compartidos pero benignos deben ser exonerados, no penalizados.

La guía por capas (alineada con OWASP y NIST)

Ningún control por sí solo frena el credential stuffing. Las defensas que funcionan, sacadas directamente de los estándares:

• Bloquea las contraseñas filtradas. NIST SP 800-63B-4 exige que los verificadores comparen las contraseñas nuevas con una lista de bloqueo de credenciales que se sabe que están comprometidas. Si la contraseña reutilizada no se puede establecer, el stuffing posterior con ella fracasa.
• Limita los intentos fallidos. NIST obliga a limitar los intentos fallidos consecutivos (no más de 100 por cuenta) con retrasos progresivos, lo que frena la automatización sin bloquear a los usuarios reales.
• Añade MFA adicional basada en el riesgo. Exige un factor extra solo cuando las señales de riesgo (IP, dispositivo, geolocalización, velocidad) lo indiquen: protección sólida con la mínima fricción para los inicios de sesión normales.
• Aplica huella digital a los dispositivos y vigila el comportamiento. Los bots reutilizan entornos y actúan a velocidades no humanas; las señales de dispositivo y de comportamiento detectan lo que la capa de IP no ve de los bots.
• Pondera la inteligencia IP dentro de la puntuación. El tipo de conexión, los indicadores de anonimizador y la reputación del ASN como entradas de la decisión de riesgo, nunca como la única barrera, con umbrales distintos para el inicio de sesión, el registro y el checkout.
• Protege todos los endpoints importantes. El inicio de sesión, el restablecimiento de contraseña y el checkout necesitan el mismo escrutinio; los atacantes se desplazan al que sea más débil.

Qué devuelve una consulta de IP en el inicio de sesión

GeoIPHub aporta la capa de inteligencia IP de esa pila, diseñada para ser ponderada, no ciega. Una sola consulta en tu endpoint de inicio de sesión o de restablecimiento de contraseña devuelve el tipo de conexión, los indicadores de anonimizador, el ASN y una puntuación de riesgo explicable con una acción recomendada, para que puedas desafiar a lo que de verdad es arriesgado y dejar pasar a los clientes reales. Esta es una consulta real de 102.129.235.17, la dirección de un servidor VPN, recortada a los campos que lee una comprobación de inicio de sesión:

Un inicio de sesión desde un servidor VPN de datacenter que responde a handshakes de OpenVPN e IPsec, como este, cae en la franja de bloqueo (por encima de 75). Las puntuaciones de la franja media reciben en su lugar un desafío adicional, y una conexión residencial limpia con una ubicación normal pasa sin problemas. Eso es autenticación basada en el riesgo, tal como la describe NIST. Puedes probar cualquier dirección en el comprobador gratuito de puntuación de riesgo de IP y en la prueba de detección de VPN y proxy, integrarlo con la API o leer cómo se construye la puntuación en nuestra metodología.

Atrapa al atacante entre la multitud, no a la multitud

El credential stuffing convirtió el robo de cuentas en un negocio industrial y automatizado, y los proxies residenciales hicieron que el viejo reflejo (bloquear las IP malas) fuera a la vez ineficaz y perjudicial para los usuarios reales. La defensa que realmente aguanta en 2026 es por capas y basada en el riesgo: frena las contraseñas filtradas en origen, limita y desafía con inteligencia, y trata la inteligencia IP como una señal de gran valor que alimenta una decisión adaptativa. Atrapa al atacante escondido entre la multitud; no castigues a la multitud.

Preguntas frecuentes

¿Qué diferencia hay entre credential stuffing y robo de cuentas?

El credential stuffing es el método de ataque: bots que prueban de forma masiva pares de usuario y contraseña robados en filtraciones anteriores para encontrar los que un usuario reutilizó en tu sitio (OWASP lo clasifica como OAT-008). El robo de cuentas (ATO, account takeover) es el resultado, cuando un par válido funciona y un atacante toma el control de la cuenta. El credential stuffing es la vía más común hacia el ATO, pero el ATO también puede venir del phishing, el malware o el secuestro de sesión.

¿Puedo simplemente bloquear las direcciones IP que están detrás del credential stuffing?

No. OWASP advierte expresamente que el bloqueo por IP "no debe usarse como la única defensa ni como la principal". Las herramientas modernas hacen pasar cada solicitud por una IP de proxy residencial distinta, de modo que el volumen por IP se mantiene lo bastante bajo como para esquivar las listas de bloqueo y los límites de tasa. Peor aún, los bloqueos de IP ciegos afectan a direcciones CGNAT y móviles compartidas que agrupan a miles de usuarios reales. La inteligencia IP debe formar parte de una puntuación de riesgo, no de un bloqueo rígido.

¿Qué dimensión tiene el problema del robo de cuentas en 2026?

Grande y en aumento. Las credenciales comprometidas fueron el vector de acceso inicial en el 22% de las brechas del Verizon DBIR 2025, y el credential stuffing supuso una mediana del 19% de los intentos de autenticación diarios. HUMAN Security registró más de 400.000 intentos de compromiso de cuentas posteriores al inicio de sesión por organización en 2025 (más del cuádruple que en 2024), y el tráfico automatizado superó el 53% de todo el tráfico web (Imperva/Thales).

¿Cómo ayuda la inteligencia IP a detectar el robo de cuentas?

Aporta señales de riesgo que NIST respalda para la autenticación adaptativa: el tipo de conexión (datacenter/nube frente a residencial), la detección de VPN y proxy, la reputación del ASN y la geolocalización para las comprobaciones de viaje imposible. Un intento de inicio de sesión desde un datacenter en la nube, un anonimizador conocido o una ubicación inverosímil tiene más riesgo: es un motivo para exigir MFA adicional, no necesariamente para bloquear.

¿Cómo freno el credential stuffing sin bloquear a clientes reales?

Usa un enfoque por capas y basado en el riesgo: bloquea las contraseñas que se sabe que se han filtrado (un SHALL de NIST), limita los intentos fallidos, añade MFA adicional en los inicios de sesión de riesgo, aplica huella digital a los dispositivos y pondera las señales de IP dentro de una puntuación de riesgo en lugar de bloquear de forma rígida. Reserva los bloqueos directos para los casos de alta confianza y exonera las IP compartidas, móviles y de relés de privacidad para que los usuarios legítimos puedan pasar.