Qué es, y qué suele confundirse con eso
Una filtración de credenciales es la exposición pública de pares de usuario y contraseña, claves de API o tokens que pertenecen a una organización, fuera de su control.
No es una intrusión. La empresa no fue comprometida cuando la credencial se filtró. Queda comprometida cuando alguien la usa, y entre un evento y otro suele haber meses de silencio.
De dónde salen
Casi nunca de dentro.
El origen más común es la filtración de un servicio de terceros donde el empleado usó el correo corporativo. El servicio fue comprometido, el volcado circuló, y el par de credenciales está ahí con el dominio de la empresa. La empresa no tuvo incidente alguno y aun así tiene credenciales expuestas.
El segundo origen es malware de tipo infostealer instalado en la máquina personal de alguien que también accede a sistemas corporativos. Recoge lo que esté guardado en el navegador y lo envía. Lo que sale de ahí no es una contraseña vieja: es una contraseña en uso, con la sesión incluida.
El tercero es el código. Una clave de API subida a un repositorio, un archivo de configuración publicado por error, un token dentro de un paquete que salió.
Por qué no dispara alerta
Este es el punto que hace que el asunto se subestime.
Un acceso hecho con credencial válida es, para todos los controles, un acceso legítimo. No hay explotación de fallo, no hay payload, no hay firma que reconocer. El SIEM registra un inicio de sesión exitoso, el evento más común del día.
La detección conductual ayuda cuando el patrón se desvía mucho, y no ayuda cuando el adversario entra en horario comercial desde la misma región. Por eso una credencial filtrada es el camino más barato disponible: no hay que romper nada.
Por qué la reutilización multiplica el problema
La misma contraseña usada en tres sitios convierte una filtración en tres accesos.
El agravante corporativo es que la superficie de autenticación de una empresa es mayor de la que mapea. VPN, correo web, panel de administración de un sistema heredado, entorno de preproducción contra el mismo directorio. Basta con que uno de ellos acepte la credencial.
Qué hacer con un hallazgo
Rotar la credencial es el primer movimiento y no alcanza, porque la sesión puede estar ya activa. Cerrar sesiones va junto.
El movimiento que cambia el patrón es reducir la superficie de autenticación. Cada panel expuesto sin necesidad es una puerta más que acepta la misma llave, y la mayoría no necesitaba ser alcanzable desde internet abierta.
Monitorear de forma continua importa porque la validez es la variable. Una contraseña filtrada en 2021 y ya rotada es registro histórico. Una filtrada ayer y todavía válida es un incidente que aún no ocurrió. El monitor de credenciales de CSURFACE cruza la exposición pública con los dominios de la organización para separar las dos.