No, 16 mil millones de contraseñas no fueron expuestas en un mega-hackeo, pero deberías ponerte las pilas y dejar de reutilizar contraseñas

Un reciente informe ha estado circulando por la web afirmando que 16 mil millones de contraseñas están disponibles tras una «filtración de datos récord», aunque muchos expertos en ciberseguridad argumentan que no es lo que parece.

Una colección de filtraciones anteriores, no un hackeo nuevo

El informe original proviene de Cybernews, un medio que previamente afirmó tener conocimiento de una brecha de 10 mil millones de contraseñas el año pasado, y 26 mil millones de registros justo antes. Esto sugiere que las filtraciones de contraseñas que exceden los miles de millones ocurren todo el tiempo… ¿o no?

Resulta que lo que probablemente está sucediendo aquí es que alguien está armando un Archivo Muy Grande que incluye las muchas filtraciones de datos que han ocurrido en el pasado. Es decir, no es una nueva filtración de datos; es una colección de las anteriores, conocida como un paquete o simplemente una recopilación.

Los expertos desmienten la alarma

Reconocidos expertos en malware y ciberseguridad de vx-underground explican sobre el nuevo paquete:

«Es común que los Threat Actors tomen colecciones de sitios web comprometidos y los ensamblen en paquetes. Hay muchos paquetes disponibles. Lo que CyberNews discutió fue un nuevo ‘pack’ que contiene 16,000,000,000 de registros. Esto es cierto, un nuevo ‘paquete’ sí existe…»

El investigador detrás de esto, Bob Diachenko, dice que proviene de múltiples fuentes, unidas para llegar a esa cifra de 16 mil millones. Esa es la ‘brecha’ que Cybernews está reportando: menos una brecha, más una compilación de brechas de los últimos años.

¿Por qué las grandes empresas no hablan de esto?

Vx-underground hace otro buen punto: si realmente se hubieran filtrado tantas contraseñas, ¿por qué ninguna de las empresas afectadas está hablando de ello? Y ¿por qué no hablaron sobre la última brecha de 26 mil millones de cuentas o los miles de millones anteriores?

Según algunos informes, Apple, Google y Facebook han sido incluidas en esta brecha, y sin embargo estas empresas permanecen notablemente silenciosas sobre el asunto. Al revisar varias plataformas de redes sociales, parece que las únicas personas hablando de ello son otros medios de noticias y una letanía de cuentas verificadas en X promocionando teorías conspirativas.

La diferencia entre una brecha nueva y una colección antigua

Esta colección probablemente surgió de un proceso gradual de hackeos que ocurrieron durante un período muy largo a través de varios canales, usando una gama de ataques, esquemas y herramientas.

Una excelente manera de verificar tus propios datos de inicio de sesión y cualquier brecha reciente es visitando haveibeenpwned.com. La última brecha anotada por el sitio fue la brecha de Ualabee en mayo de 2025, registrada en junio, conteniendo más de 450,000 registros de la plataforma de servicios de movilidad sudamericana Ualabee. No ha habido miles de millones de contraseñas agregadas a la página de haveibeenpwned en días recientes.

La brecha más grande anotada por haveibeenpwned es en realidad una colección de contraseñas de muchas fuentes llamada Collection #1, que fue publicada a principios de 2019. Sí, el mismo tipo de colección que se ve aquí.

Entonces, ¿deberías preocuparte por tus contraseñas?

Bueno, sí y (un poco) no. Esto podría no ser una nueva brecha de proporciones masivas como se afirma, pero sigue siendo una buena advertencia de los peligros de las malas prácticas de ciberseguridad.

Consejos de seguridad esenciales

Si dependes de una sola contraseña para múltiples sitios web, estás aumentando tu riesgo de robo, fraude o incluso robo de identidad. Te recomendamos:

• Consigue un administrador de contraseñas: hay muchas buenas opciones, pero recomendaría Bitwarden o Proton Pass
• Activa la autenticación de dos factores (2FA) donde sea posible
• No uses contraseñas populares como ‘123456’ y ‘password’

El lenguaje confuso de las «brechas»

Es justo decir que el lenguaje se vuelve un poco confuso alrededor de lo que es una ‘brecha’ de datos y lo que no, pero una colección de datos antiguos y probablemente desactualizados presenta un riesgo significativamente reducido comparado con una nueva brecha que expone información actualizada y dirigida a una sola plataforma o base de datos.