--- title: "Contraseñas expuestas: auditar el dominio y actuar en 5 días" description: "Una contraseña reutilizada abre el Microsoft 365 de la empresa. Cómo auditar el dominio en filtraciones y neutralizar el riesgo. Propuesta sin compromiso." language: es url: https://www.dataroad-it.com/es/credenciales-filtradas-verificar-dominio-empresa/ source: https://www.dataroad-it.com/es/credenciales-filtradas-verificar-dominio-empresa/ publisher: DataRoad IT (DataRoad - IT Services and Consulting), Portugal --- > Una contraseña reutilizada abre el Microsoft 365 de la empresa. Cómo auditar el dominio en filtraciones y neutralizar el riesgo. Propuesta sin compromiso. # Contraseñas expuestas: auditar el dominio y actuar en 5 días En resumen Para directivos con poco tiempo. - 01 El riesgo no es que el correo esté en una filtración: es que la misma clave abra una cuenta de trabajo. - 02 Have I Been Pwned muestra el dominio entero, tras demostrar que usted lo controla. - 03 Respuesta: cambiar lo expuesto, MFA en todas las cuentas y gestor de contraseñas. - 04 El NIST pide cambiar solo ante indicios de compromiso, y una filtración es uno de ellos. ### En este artículo **Basta una contraseña reutilizada para que un atacante entre en el correo de la dirección, cambie un IBAN en una factura y desvíe un pago.** Las contraseñas expuestas en filtraciones de datos son el camino más barato hacia ese ataque. La buena noticia: en minutos se puede saber qué direcciones de la empresa circulan en filtraciones conocidas y cerrar la puerta en una semana, con auditoría del dominio, cambio de las credenciales afectadas, MFA obligatoria y gestor de contraseñas. Es lo que la ciberseguridad gestionada de DataRoad - IT Services and Consulting aplica por defecto. ## ¿Por qué su empresa ya está en esas listas? Porque el equipo usa la dirección profesional para todo: webinars, tiendas online, plataformas de formación, herramientas de prueba. Cualquiera de esos sitios puede verse comprometido. Cuando ocurre, los pares correo/contraseña acaban publicados o a la venta. Nadie ha atacado a su empresa. Pero si el empleado repitió en Microsoft 365 la contraseña de ese foro, el intruso no tiene nada que adivinar. El nombre técnico es *credential stuffing*, o relleno de credenciales: software que prueba miles de credenciales robadas, de forma automática, en decenas de servicios. OWASP, fundación internacional dedicada a la seguridad de aplicaciones, atribuye el éxito de esta técnica a la repetición del mismo correo y la misma contraseña. Piense en una llave perdida de la casa de la playa que alguien prueba, por probar, en la cerradura de la oficina. ## ¿Cómo auditar el dominio en filtraciones de datos? **Búsqueda personal.** En haveibeenpwned.com, cada persona introduce su propia dirección y ve las filtraciones conocidas que la incluyen. Sirve para concienciar; no sirve para gestionar el riesgo de la empresa. **Búsqueda por dominio.** Para listar de una vez todas las direcciones @suempresa.es, Have I Been Pwned pide una prueba de que el dominio es suyo. Acepta cuatro métodos: - **Registro TXT** Insertado en el DNS con el valor facilitado. - **Meta tag** Colocada en la página de inicio de la web. - **Archivo HTML** Subido al alojamiento. - **Correo de confirmación** Enviado a una dirección administrativa del dominio. Para quien gestiona el DNS, es cuestión de minutos. La tabla de precios del servicio indica que la monitorización no tiene coste hasta 10 direcciones expuestas; por encima de esa cifra hay suscripción de pago, por tramos. **Búsqueda de contraseñas.** Pwned Passwords reúne contraseñas ya vistas en filtraciones y permite consultarlas sin revelarlas. Es justo lo que pide el NIST, organismo estadounidense de normalización: contrastar cada contraseña nueva con listas de contraseñas triviales o ya divulgadas y rechazarla si coincide. En el ecosistema Microsoft hay mecanismos similares que bloquean elecciones débiles o ya vistas. ## ¿Qué hacer cuando aparecen cuentas expuestas? | Fase | Acción | Plazo | | --- | --- | --- | | Inventario | Direcciones afectadas, filtración de origen y fecha de cada una | Día 1 | | Rotación | Contraseñas nuevas, empezando por administración, finanzas y dirección; sesiones activas cerradas | Días 1 a 3 | | Segundo factor | MFA obligatoria en cada cuenta; protocolos antiguos sin MFA desactivados | Semana 1 | | Bóveda de contraseñas | Gestor de contraseñas empresarial para cada persona, fin de la reutilización | Mes 1 | ### ¿Se acabó el cambio cada 90 días? Sí. El NIST ya no recomienda cambios periódicos forzados. Recomienda exigir el cambio cuando hay indicios de compromiso, y una dirección en una filtración es ese indicio. ### ¿Por qué la MFA es el paso decisivo? Porque convierte la contraseña robada en algo inútil: sin la aprobación en el móvil, no hay acceso. Microsoft indica que la MFA, junto con el corte de la autenticación heredada, bloquea más del 99,9% de los intentos habituales de toma de cuentas. Detalles en [autenticación multifactor en las empresas](https://www.dataroad-it.com/es/mfa-autenticacion-multifactor-plan-14-dias/). ### ¿Cómo se acaba con la reutilización? Con un gestor de contraseñas. Nadie memoriza 40 contraseñas largas y distintas; el gestor genera, almacena e introduce cada una. El NIST quiere que los sistemas acepten estos gestores y la función "pegar", y fija 15 caracteres como mínimo cuando la contraseña es el único factor. Criterios de elección en [gestores de contraseñas empresariales](https://www.dataroad-it.com/es/gestor-contrasenas-empresarial-boveda/). ## ¿Cómo saber si alguien ya ha entrado en una cuenta? Estar expuesto no equivale a estar comprometido. Estos indicios, sin embargo, exigen respuesta inmediata: - **Geografía improbable** Inicios de sesión desde lugares donde la empresa no tiene actividad. - **Reglas de correo desconocidas** Reenvío al exterior o eliminación automática de mensajes. - **Notificaciones de MFA inesperadas** Que alguien puede aceptar por despiste. - **Mensajes extraños a socios** Como facturas con el IBAN cambiado; explicamos el esquema en [fraude de la factura alterada](https://www.dataroad-it.com/es/fraude-correo-iban-factura-ceo/). Detectarlo a tiempo exige monitorización con alertas. En los planes [IT Unlimited](https://www.dataroad-it.com/es/soporte-informatico-ilimitado-empresas/) forma parte de la seguridad incluida, junto con el segundo factor y la protección de los puestos de trabajo. ## ¿Cómo funciona esto en una empresa de 350 puestos? Ventask es cliente de DataRoad desde 2016. Hoy cuenta con 350 puestos en IT Unlimited: firewalls gestionados, protección de endpoints, teletrabajo seguro y las herramientas de ciberseguridad mantenidas por nosotros. Con esa dimensión siempre habrá alguna dirección en una filtración; lo que cuenta es la rapidez con la que una credencial expuesta pierde su valor. Caso completo: [Ventask: 350 puestos y firewalls gestionados](https://www.dataroad-it.com/es/ventask-350-puestos-firewalls-networking/). Enfoque completo: [ciberseguridad gestionada](https://www.dataroad-it.com/es/ciberseguridad-empresas/). ## Preguntas frecuentes ### ¿Puede la empresa buscar legalmente sus correos en filtraciones de datos? Sí, siempre que sea su dominio; la prueba de control que pide el servicio existe para eso. La finalidad es proteger cuentas corporativas, no vigilar la vida privada de quien trabaja allí. ### ¿Una dirección en una filtración significa cuenta invadida? No. Significa que la dirección, y a veces la contraseña, salió de otro servicio. El peligro real depende de que la contraseña se reutilice en el trabajo y de que haya MFA. ### ¿Tiene sentido imponer cambios de contraseña mensuales? No. La recomendación del NIST es cambiar ante indicios de compromiso; credenciales largas y únicas, en una bóveda y con MFA, protegen más que las rotaciones frecuentes. ### ¿Con qué frecuencia hay que auditar el dominio? De forma continua, con aviso ante cada nueva filtración que incluya direcciones de la empresa. Como mínimo, una vez por trimestre y siempre que se haga pública una filtración en un servicio que use el equipo. ## Siguiente paso: auditoría de credenciales expuestas en 5 días laborables Buscamos el dominio en las filtraciones conocidas, señalamos cada cuenta vulnerable, validamos el segundo factor usuario por usuario y entregamos el plan de rotación y del gestor de contraseñas listo para ejecutar. Propuesta sin compromiso. **Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico.** Llame al +351 211 459 950 * o escriba a sales@dataroad.pt. **Llamada a la red fija portuguesa.* ## Fuentes - [Have I Been Pwned: verificar la propiedad del dominio](https://support.haveibeenpwned.com/hc/en-au/articles/15543011690767-How-do-I-verify-my-domain) - [Have I Been Pwned: tabla de suscripciones](https://haveibeenpwned.com/Subscription) - [Have I Been Pwned: preguntas frecuentes](https://haveibeenpwned.com/FAQs) - [NIST: norma SP 800-63B-4 sobre autenticación](https://pages.nist.gov/800-63-4/sp800-63b.html) - [OWASP: ataques de relleno de credenciales](https://community.owasp.org/attacks/Credential_stuffing) - [Microsoft Learn: valores predeterminados de seguridad en Entra ID](https://learn.microsoft.com/en-us/entra/fundamentals/security-defaults) Elegida por empresas reconocidas e internacionales ★★★★★ 5,0 · 52 reseñas en Google ★★★★★ 5,0 · 52 reseñas en Google DataRoad ## Artículos relacionados [IT gestionado y ciberseguridadEquipos de viaje: portátiles, móviles y Wi-Fi público segurosEl riesgo real de un viaje es el portátil perdido sin cifrar, no el Wi-Fi del hotel. Con disco cifrado, gestión central, MFA y conexión cont…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/ciberseguridad-equipos-viaje-portatiles-wifi-publico/)[IT gestionado y ciberseguridadSuperficie de ataque externa: lo que internet ve de su empresaLos ataques automáticos buscan versiones vulnerables y el tamaño de la empresa no importa. En 2025, el CERT.PT registró 3.864 incidentes, un…12 de octubre de 2026 · 5 min de lectura](https://www.dataroad-it.com/es/superficie-ataque-externa-ciberseguridad/)[IT gestionado y ciberseguridadNOC y ciberseguridad gestionada: quién vigila su pyme, y cuándoLa cuestión no es tener un SOC: es saber quién recibe la alerta a las 22 h de un sábado y qué hace después. En DataRoad, noches, fines de se…12 de octubre de 2026 · 6 min de lectura](https://www.dataroad-it.com/es/noc-ciberseguridad-gestionada-pymes/)[IT gestionado y ciberseguridadSeguridad de Microsoft 365: los 10 controles de la empresaEn Microsoft 365, la plataforma es de Microsoft y las llaves son suyas. Según Microsoft, el MFA y el bloqueo de la autenticación antigua fre…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/microsoft-365-responsabilidad-compartida-seguridad/)[IT gestionado y ciberseguridadRGPD y ciberseguridad gestionada: 10 controles técnicos claveSin medidas técnicas documentadas, una brecha de datos pasa de incidente de IT a problema con la autoridad de control. Diez controles en tre…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/rgpd-medidas-tecnicas-infraestructura-it/)[IT gestionado y ciberseguridadInventario de activos: la base de la gestión del parque y de NIS2Sin inventario de activos no hay renovación planificada, seguridad demostrable ni respuesta al CNCS. Las entidades NIS2 deben enviar la list…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/inventario-activos-parque-informatico-nis2/)[IT gestionado y ciberseguridadCuentas break-glass en Microsoft 365: el seguro de la empresaUn administrador bloqueado puede dejar correo, Teams y archivos sin gestión durante días. Las cuentas break-glass son el administrador de re…12 de octubre de 2026 · 5 min de lectura](https://www.dataroad-it.com/es/cuentas-break-glass-microsoft-365/)[IT gestionado y ciberseguridadWindows 365 en la empresa: cuándo el PC en la nube reduce costesEl PC en la nube compensa en consultores, temporeros, equipos sin oficina y parques mixtos Mac y Windows. Para vídeo, CAD o internet débil, …12 de octubre de 2026 · 6 min de lectura](https://www.dataroad-it.com/es/windows-365-empresas-pc-nube-costes/)[IT gestionado y ciberseguridadBackup gestionado: la prueba de restauración de 30 minutosUna copia nunca restaurada es un riesgo aplazado. En 30 minutos, un documento antiguo, un correo borrado y un servidor arrancado en aislamie…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/backup-gestionado-prueba-restauracion/) Cifras que puede verificar **11** años en el mercado **232** clientes **< 10 min** tiempo medio de respuesta **15+** Certificaciones IT de fabricantes **10+** Países con clientes atendidos **5,0 ★** 52 reseñas en Google Transparencia ## Lo que muchos proveedores no muestran, nosotros lo publicamos. [Ver planes y precios →](https://www.dataroad-it.com/it-unlimited/) - **Precios a la vista** Essential desde 395 €/mes + IVA, Premium desde 750 € y Premium 365 desde 1.200 €. - **Sin permanencia** Contrato anual, sin permanencia y sin costes de alta. - **Todo por escrito** Qué incluye, el alcance y el precio, antes de firmar. - **Soporte sin horas contadas** Remoto y telefónico en todos los planes; presencial desde Premium. Partners y certificaciones DataRoad · Redes y Wi-Fi empresarial ## One StepAhead of IT. Medimos antes de instalar, certificamos cada punto y seguimos siendo responsables de la red después. Sin sorpresas el día de la mudanza. - **15+** Certificaciones IT de fabricantes - **Wi-Fi 7** diseñado con site survey - **10+** Países con clientes atendidos We do **IT** right. DataRoad IT Unlimited ## ¿Cuánto costaría a su empresa un día sin sistemas? Solicite una evaluación de riesgo sin compromiso. [Solicitar propuesta sin compromiso →](https://www.dataroad-it.com/es/#contact)+351 211 459 950 **Llamada a la red fija nacional portuguesa · Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico[¿No sabe qué necesita? Hable con el asistente →](https://www.dataroad-it.com/es/#assistente) --- Versão HTML desta página: https://www.dataroad-it.com/es/credenciales-filtradas-verificar-dominio-empresa/