En resumen
- Casi todas las empresas tienen correos electrónicos de su equipo que contienen datos robados de otros sitios web. El problema no es que el correo aparezca: es que la misma contraseña se use en el trabajo.
- El servicio Have I Been Pwned permite verificar un dominio completo, después de comprobar que es suyo. Es gratuito para dominios con hasta 10 direcciones expuestas; por encima de eso, requiere una suscripción.
- La respuesta tiene tres partes: cambiar las contraseñas afectadas, MFA en todas las cuentas y un gestor de contraseñas para acabar con la reutilización.
- NIST, la referencia estadounidense en identidad digital, recomienda comparar las contraseñas con listas de contraseñas comprometidas y obligar a la sustitución solo cuando haya indicios de compromiso.
En este artículo
- ¿Por qué esto ocurre a todas las empresas?
- Cómo verificar su empresa: paso a paso
- Qué hacer a continuación: el plan en 4 pasos
- Los signos de que una cuenta ya ha sido utilizada
- Un caso real: 350 puestos bajo gestión de seguridad
- Preguntas frecuentes
- Verificación de las contraseñas expuestas en 5 días laborables
Conocer si las contraseñas de su empresa están expuestas Es más simple de lo que parece: con un servicio como Have I Been Pwned, y después de comprobar que el dominio es suyo, en cuestión de minutos se ve que los direcciones de la red se encuentran en fugas de datos conocidas y en cuáles. El siguiente paso es lo que realmente protege a la empresa: garantizar que ninguna de esas contraseñas aún abra una cuenta laboral, y que una contraseña sola no sea suficiente para entrar.
¿Por qué esto ocurre a todas las empresas?
Los colaboradores utilizan su correo electrónico de trabajo para registrarse en herramientas online, conferencias, tiendas y plataformas de formación. Cuando uno de estos servicios es atacado, la lista de correos electrónicos y las contraseñas acaba, a menudo publicada o vendida. Su empresa no fue atacada — pero los datos de su equipo están ahí.
Si la contraseña utilizada en este sitio es la misma que en Microsoft 365, el atacante ya tiene la clave. No necesita adivinar nada.
Cómo verificar su empresa: paso a paso
Verificación individual
Cualquier persona puede buscar su propio correo electrónico en haveibeenpwned.com y ver en qué fugas conocidas aparece. Es útil para sensibilizar al equipo, pero no da una visión general de la empresa.
Verificación del dominio completo
Para ver todos los dominios @suaempresa.pt a la vez, Have I Been Pwned exige que pruebes que controlas el dominio. Hay cuatro formas:
- Agregar un registro TXT al DNS del dominio con el valor indicado.
- Colocar una etiqueta meta en la página principal del sitio web.
- Carregar un pequeño archivo HTML al servidor del sitio web.
- Haga clic en un enlace enviado a una dirección de administración del dominio.
En la práctica, quien administra el DNS o el sitio web lo hace en pocos minutos. Según la página de precios del servicio, la monitorización es gratuita para dominios con hasta 10 direcciones expuestas; los dominios más grandes requieren una suscripción pagada, con escalones según el número de direcciones expuestas.
Verificar contraseñas, no solo correos electrónicos
El mismo servicio tiene una base de contraseñas que ya se han filtrado, el Pwned Passwords, pensada para consultarse sin revelar la contraseña a quien la verifica. El NIST, el instituto norteamericano de normas, recomienda exactamente esto: comparar cada nueva contraseña con una lista de contraseñas comunes o comprometidas y rechazarla si se encuentra allí. En los entornos Microsoft existen protecciones equivalentes que bloquean contraseñas débiles o conocidas.
Qué hacer a continuación: el plan en 4 pasos
| Pasaje | Qué hacer | Plazo sugerido |
|---|---|---|
| 1. Selección | Enumerar los lugares expuestos, las fugas en los que aparecen y la fecha de cada fuga | Segundo día |
| 2. Cambio | Cambiar la contraseña de las cuentas afectadas — empezando por los administradores, financieros y la dirección — y terminar con sesiones abiertas | Dias 1 a 3 |
| 3. MFA | Activar MFA en todas las cuentas, sin excepciones, y bloquear los protocolos antiguos que no lo soportan | Semana 1 |
| 4. Administrador de contraseñas | Dar a cada colaborador un gestor de contraseñas de la empresa y acabar con la reutilización | Mes 1 |
Cambiar, pero con criterio
Durante años, las empresas se vieron obligadas a cambiar la contraseña cada 90 días. El NIST dejó de recomendarlo: la orientación actual es no forzar cambios periódicos, sino obligar a la sustitución cuando haya indicios de compromiso. Aparecer en una fuga de datos es exactamente ese indicio.
MFA: la pieza que cambia todo
Con MFA, una contraseña robada ya no es suficiente — falta la aprobación en el teléfono móvil. Según Microsoft, la MFA combinada con el bloqueo de la autenticación antigua detiene más del 99,9% de los ataques comunes a las cuentas. Explica las opciones en MFA: autenticación multifactor en la empresa.
Gestor de contraseñas: acabar con la reutilización
Nadie puede memorizar 40 contraseñas diferentes y largas. Un gestor de contraseñas las genera, las guarda y las llena. El NIST recomienda que los sistemas permitan el uso de estos gestores y el “colar” de las contraseñas, y pide un mínimo de 15 caracteres cuando la contraseña es el único factor. ¡Descubre cómo elegir y implementar esto! Gestor de contraseñas para empresas.
Los signos de que una cuenta ya ha sido utilizada
Aparecer en una fuga no significa que alguien ya haya entrado. Pero hay signos que requieren acción inmediata:
- Inicio de sesión desde países donde la empresa no opera.
- Nuevas reglas de correo electrónico que redirigen los mensajes fuera o los borran.
- Solicitudes de MFA que el colaborador no hizo — y que podría aprobar por error.
- Clientes o proveedores que reciban correos electrónicos extraños desde la cuenta, por ejemplo con un IBAN cambiado — hemos abordado este golpe en Fraude por correo electrónico: la factura modificada.
Para que estos signos lleguen a alguien a tiempo, es necesario una monitorización con alertas — que en los planes IT Unlimited DataRoad forma parte de la seguridad incluida, junto con la MFA y la protección de los puestos.
Un caso real: 350 puestos bajo gestión de seguridad
Ventask trabaja con DataRoad desde 2016. Actualmente son 350 puestos en IT Unlimited, con gestión de firewalls, seguridad de los puestos de trabajo (endpoints), soluciones de trabajo remoto y mantenimiento de las soluciones de ciberseguridad. En una empresa de esta magnitud, la cuestión nunca es si algún correo de la plantilla aparece en una fuga, sino qué tan rápido una cuenta expuesta deja de ser una puerta abierta. Lea el caso Ventask: IT Unlimited con 350 puestos y firewalls y conozca nuestra forma de trabajar ciberseguridad para empresas.
Preguntas frecuentes
¿Es legal comprobar si los correos electrónicos de mi empresa están en riesgo de fuga de datos?
Sí, para su propio dominio. Por eso Have I Been Pwned exige una prueba de que usted es el propietario antes de mostrar la lista completa. El objetivo es proteger las cuentas de la empresa, no investigar la vida personal de los colaboradores.
Si un correo electrónico aparece en una fuga, ¿la cuenta fue pirateada?
No necesariamente. Significa que el correo electrónico, y a veces una contraseña, se expuso en otro servicio. El riesgo real depende de si esa contraseña todavía se usa en el trabajo y de si la cuenta tiene o no MFA.
¿Debemos obligar al equipo a cambiar la contraseña todos los meses?
No. La orientación actual del NIST no obliga a realizar cambios periódicos, sino que obliga a realizar cambios cuando hay signos de compromisos. Contraseña largas, únicas, guardadas en un gestor y protegidas por MFA son más efectivas que cambios frecuentes.
¿Con qué frecuencia debemos verificar el dominio?
Lo ideal es una monitorización continua, con alerta siempre que se detecte una fuga nueva con direcciones de la empresa. Al menos, una verificación trimestral y otra siempre que se notifique una fuga en un servicio que el equipo utiliza.
Verificación de las contraseñas expuestas en 5 días laborables
Examinamos su dominio en caso de fuga de datos conocida, identificamos las cuentas en riesgo, confirmamos la MFA en todas las cuentas y pusimos el plan de cambio y gestión de contraseñas listo para aplicarlo. Para empresas con más de 10 puestos · contrato de asistencia · soporte remoto, local y telefónico.
Contraseña expuesta: verificación en 5 días laborables
Conozca que las cuentas están en riesgo de sufrir un ataque de datos — y cierre las cuentas.
Fuentes
- ¿He sido pirateado — ¿Cómo puedo verificar mi dominio?
- ¿He sido hackeado? — Tarifas (dominios hasta 10 direcciones expuestas gratis)
- ¿He sido pirateado — Preguntas frecuentes (Búsqueda de dominios y contraseñas pirateadas)
- NIST SP 800-63B-4 — Gestión de autenticación y autenticadores
- OWASP — Bloqueo de credenciales
- Microsoft Learn — Configuración predeterminada de seguridad en Microsoft Entra ID
![Logotipo de mun[it], agencia de marketing digital — cliente de DataRoad](https://www.dataroad.pt/wp-content/uploads/2026/09/logo-cliente-munit.png){kind=logo}
