Cómo prevenir los ataques de toma de control de cuentas en su sitio web (2026)

El fraude por apropiación de cuentas costó a los consumidores $15,6 mil millones en 2024, y 33% de las víctimas abandonan por completo el servicio afectado incluso después de que se restaure su cuenta. Los atacantes no necesitan romper sus sistemas. Utilizan credenciales robadas de otras violaciones, bots automatizados y phishing para entrar por su puerta principal. Esta guía explica cómo funcionan realmente los ataques ATO, a qué flujos se dirigen en primer lugar y cómo estratificar sus defensas para que ningún fallo exponga a sus usuarios.

Tiempo estimado de lectura: 13 minutos

De un vistazo

---

---

Qué es la absorción de cuentas y por qué es importante

La apropiación de cuentas, o ATO, se produce cuando un atacante obtiene acceso no autorizado a una cuenta de usuario real. Una vez dentro, pueden cambiar contraseñas, exportar datos personales, realizar pedidos fraudulentos, canjear puntos de fidelidad, activar pagos o pivotar en otros sistemas vinculados a esa cuenta.

Esto es más peligroso que el spam ordinario o el sondeo porque el atacante ya no parece un intruso externo. Parece un usuario legítimo. Esta es la razón por la que los costes de reparación aumentan rápidamente después de que las cuentas se vean comprometidas, y por la que evitar el acceso en primer lugar cuesta mucho menos que contener el daño después. El informe de IBM sobre el coste de una filtración de datos en 2025 cifra el coste medio de una filtración basada en credenciales en $4,67 millones.

---

Cómo suele empezar la absorción de cuentas

La usurpación de cuentas no es una técnica única. Es el resultado de varias vías de ataque que conducen al mismo resultado: el acceso no autorizado a una cuenta real.

RUTA DE ATAQUE	LO QUE SUCEDE	POR QUÉ FUNCIONA
Relleno de credenciales	Los robots prueban a escala pares de nombres de usuario y contraseñas violados de otros servicios	Los usuarios reutilizan las contraseñas, por lo que una brecha expone las cuentas de muchos servicios.
Fuerza bruta / pulverización de contraseñas	Los robots prueban contraseñas comunes en muchas cuentas, o muchas conjeturas contra una cuenta.	Las contraseñas débiles y la ausencia de límites de velocidad hacen que las cuentas sean fáciles de adivinar
Phishing / adversario en el medio	Los atacantes engañan a los usuarios para que introduzcan sus credenciales en páginas de inicio de sesión falsas que las transmiten en tiempo real.	Los ataques de retransmisión interceptan los códigos MFA a medida que el usuario los introduce, eludiendo la protección de dos factores.
Abuso del restablecimiento de contraseña	Los atacantes aprovechan los flujos de recuperación débiles, enumeran las cuentas válidas o interceptan los códigos de restablecimiento.	Los flujos de recuperación suelen recibir menos protección que el propio inicio de sesión
Robo de sesión	Los atacantes roban un testigo de sesión válido en lugar de iniciar sesión	Los navegadores comprometidos, el malware o los controles de sesión débiles exponen las sesiones activas.

El relleno de credenciales es la vía más escalable. OWASP lo describe como el uso automatizado de credenciales robadas de violaciones anteriores contra otros sistemas de inicio de sesión. Sin embargo, una vez que una cuenta dispone de MFA o claves de acceso, los atacantes a menudo se decantan por el phishing o el abuso de recuperación. Por eso, una defensa completa protege todo el ciclo de vida de la cuenta, no sólo el formulario de inicio de sesión.

---

Adquisición de cuentas vs relleno de credenciales vs fuerza bruta

Estos términos están relacionados pero no son intercambiables. La distinción más clara: la apropiación de cuentas es el resultado final. El relleno de credenciales y la fuerza bruta son dos de las vías de ataque que lo provocan.

PLAZO	QUÉ SIGNIFICA	DEFENSAS PRIMARIAS
Adquisición de cuentas (ATO)	Acceso no autorizado a una cuenta de usuario real, el resultado final	Seguridad por capas: MFA, protección contra bots, detección de anomalías, refuerzo de la recuperación
Relleno de credenciales	Utilización de credenciales reales robadas en infracciones anteriores, probadas automáticamente a escala.	MFA, CAPTCHA en el inicio de sesión, detección de contraseñas violadas
Fuerza bruta / pulverización de contraseñas	Adivinar contraseñas mediante repetidos intentos automatizados contra una o varias cuentas.	Limitación de tarifas, bloqueo de cuentas, CAPTCHA, MFA

---

Flujos a los que se dirigen primero los atacantes

Reducir rápidamente el riesgo ATO significa centrarse en los flujos de los que los atacantes abusan con más frecuencia. El orden de prioridad que figura a continuación refleja patrones de ataque reales, no clasificaciones de riesgo teóricas.

• Inicia sesión. El principal punto de entrada para el relleno de credenciales, la pulverización de contraseñas y la ATO impulsada por bots. El mayor volumen de ataques de todos los flujos.
• Restablecer contraseña. Los atacantes investigan aquí para enumerar cuentas válidas, activar correos electrónicos de reinicio a escala o interceptar códigos mediante el intercambio de SIM. Suele estar menos protegido que el inicio de sesión a pesar de conllevar un riesgo equivalente.
• Inscripción. La creación de cuentas falsas no es ATO en sí misma, pero los bots registran cuentas en masa para abusar de las pruebas gratuitas, los programas de recomendación y los puntos de fidelidad, y para sembrar futuros fraudes.
• Acciones en cuentas de alto riesgo. Los cambios de correo electrónico, las adiciones de métodos de pago, los canjes de fidelización y las exportaciones de datos dentro de una sesión ya autenticada merecen comprobaciones más estrictas que un clic en una sesión normal.

---

Lo que detiene cada capa de defensa

Ningún control detiene todas las rutas ATO. El relleno de credenciales elude la limitación de velocidad débil. El phishing elude la AMF basada en SMS. El abuso del restablecimiento de contraseñas elude las protecciones de sólo inicio de sesión. Una prevención eficaz requiere capas que ataquen cada una de las diferentes partes de la cadena de ataque.

TIPO DE ATAQUE	DETENIDO POR	NO DETENIDO POR
Relleno de credenciales	CAPTCHA, MFA, detección de contraseñas violadas	Limitación de velocidad sola (ataques distribuidos)
Fuerza bruta / pulverización	CAPTCHA, limitación de tarifas, bloqueo de cuentas	Sólo bloqueo de IP (ataques distribuidos)
Phishing / retransmisión AiTM	FIDO2/claves de acceso, AMF resistente al phishing, formación de usuarios	SMS MFA, CAPTCHA, limitación de tarifas
Abuso del restablecimiento de contraseña	CAPTCHA en el flujo de restablecimiento, diseño de recuperación segura	Protecciones sólo para el inicio de sesión
Creación de cuentas falsas	CAPTCHA en el registro, verificación por correo electrónico	Protecciones sólo para el inicio de sesión
Abuso de sesión posterior al inicio de sesión	Detección de anomalías, reautenticación, comprobaciones escalonadas	CAPTCHA o controles de inicio de sesión

---

Siete defensas que funcionan

---

Qué hacer durante un ataque activo

Si sospecha de una campaña activa de toma de control de cuentas, la rapidez importa más que la perfección. El objetivo es frenar el ataque de inmediato, proteger las cuentas expuestas y conservar pruebas suficientes para comprender lo ocurrido. En la práctica, la respuesta suele seguir cuatro pasos.

Frena el ataque inmediatamente

Comience por reforzar la protección en los flujos que el atacante probablemente utilice de forma abusiva: inicio de sesión, restablecimiento de contraseña y registro. Habilite o refuerce CAPTCHA en primer lugar, porque suele ser la forma más rápida de aumentar el coste del tráfico automatizado. Al mismo tiempo, aumente los límites de velocidad y restrinja temporalmente el tráfico sospechoso por geografía, rangos de proxy o reputación IP del proveedor de alojamiento si sus registros muestran un patrón de ataque claro.

Proteger las cuentas de mayor riesgo

Exija MFA o reautenticación para las cuentas que muestren un comportamiento sospechoso, especialmente cuando observe ubicaciones de inicio de sesión inusuales, repetidos intentos fallidos o cambios repentinos de cuenta. Si el compromiso ya está confirmado o es muy probable, fuerce el restablecimiento de la contraseña y revoque inmediatamente las sesiones activas. Esto limita la capacidad del atacante para seguir operando desde dentro de la cuenta.

Compruebe lo que ha ocurrido después de iniciar sesión

No se detenga en el evento de autenticación en sí. Revise las acciones posteriores dentro de las cuentas afectadas, incluidos los cambios de dirección de correo electrónico, las actualizaciones de pagos o bancarias, los pedidos, los canjes de fidelización, los cambios de contraseña y las exportaciones de datos. En muchos incidentes ATO, el daño real ocurre sólo después de que el inicio de sesión tiene éxito, por lo que esta revisión le indica hasta dónde llegó el atacante y qué usuarios necesitan un seguimiento urgente.

Preservar las pruebas y prepararse para la notificación

Conserve los registros, los datos de sesión y los eventos de autenticación durante toda la ventana de ataque. Necesitará esas pruebas para la respuesta a incidentes, el análisis de fraudes y, si se ha accedido a datos personales, para la evaluación del artículo 33 del GDPR. Si sólo puede reforzar un flujo adicional mientras dure el incidente, proteja el restablecimiento de contraseñas. Los atacantes a menudo se mueven allí tan pronto como el inicio de sesión se vuelve más difícil de explotar.

---

Por qué la ATO es un problema de GDPR para los operadores europeos

Para los operadores de sitios web europeos, la apropiación de cuentas crea dos problemas a la vez: un incidente de seguridad y una posible infracción del GDPR. Si un atacante accede a los datos personales de una cuenta de usuario, esto constituye una violación de los datos personales en virtud del GDPR, con las obligaciones específicas que se derivan inmediatamente.

En Artículo 32, los responsables del tratamiento deben aplicar medidas de seguridad técnicas y organizativas adecuadas. Para cualquier sitio que almacene datos personales tras la autenticación del usuario, la protección contra bots y la AMF forman parte de esa obligación. Una organización que sufra una ATO de robo de credenciales sin protección contra bots en la capa de inicio de sesión tendría dificultades para demostrar que se habían tomado las medidas adecuadas.

En Artículo 33, Si se produce una violación de datos personales, debe evaluarse en un plazo de 72 horas. Si es probable que suponga un riesgo para los derechos y libertades de las personas, debe informar de ello a su autoridad supervisora dentro de ese plazo. Los datos de IBM de 2025 sitúan el tiempo medio para identificar una violación basada en credenciales en 186 días, mucho más allá del plazo de 72 horas. La detección de anomalías y la supervisión de sesiones mejoran directamente su capacidad para cumplir el artículo 33 al acortar el tiempo de detección.

En Artículo 34, Si es probable que la violación suponga un alto riesgo para las personas (por ejemplo, en contextos de asistencia sanitaria, servicios financieros o datos personales sensibles), también debe notificarlo directamente a los usuarios afectados.

---

Preguntas frecuentes

---

Lecturas relacionadas

---