Se ha registrado una nueva filtración masiva de seguridad que puede haberte afectado. Se trata de la filtración de 183 millones de direcciones de correo electrónico y sus respectivas contraseñas, lo que pone en peligro multitud de cuentas de usuario y servicios.

183 millones de contraseñas de Gmail, Outlook, Yahoo y otros

La reciente publicación de una base de datos con una megafiltración de 183 millones de direcciones de correos electrónicos únicas y contraseñas asociadas ha vuelto a poner en evidencia la magnitud del robo de credenciales a escala industrial. Lejos de ser un ataque aislado a un proveedor o una plataforma concreta, esta filtración tiene su origen en una recolección masiva de logs procedentes de infostealers, un tipo de malware diseñado específicamente para extraer información sensible directamente desde los equipos infectados.

Malas noticias para los usuarios. El experto Troy Hunt ha registrado una importante brecha de seguridad descubierta online. La ha añadido a la web Have I Been Pwned, uno de los principales lugares donde informarse de problemas de seguridad. La filtración se detectó el pasado 21 de octubre de 2025.

El conjunto de datos fue incorporado a la base de información de Have I Been Pwned (HIBP) el 21 de octubre de 2025, bajo el nombre de Synthient Stealer Log Threat Data, tras un proceso de depuración y normalización llevado a cabo por su creador, el investigador de seguridad Troy Hunt. El análisis de esta nueva entrada revela tanto la escala técnica del incidente como los riesgos asociados a la exposición de credenciales en entornos donde la autenticación sigue dependiendo, en gran medida, de las contraseñas tradicionales.

Un origen distribuido: el papel de Synthient y los infostealers

A diferencia de las brechas clásicas, en las que una empresa sufre un ataque directo contra su infraestructura, el caso de Synthient representa una agregación de datos procedentes de múltiples infecciones individuales. La plataforma fue concebida para indexar y analizar información de amenazas obtenida a través de foros, repositorios clandestinos y mercados de la dark web.

En su origen, los datos provienen de logs generados por malware del tipo infostealer, entre los que destaca Lumma Stealer, una familia activa desde 2023 y distribuida mediante campañas de malvertising, cracks de software y phishing. Estos programas se ejecutan en el sistema de la víctima y extraen:

• Credenciales almacenadas en navegadores (Chrome, Edge, Firefox, Brave, etc.).

• Cookies de sesión y tokens de autenticación persistente.

• Historiales de navegación y formularios autocompletados.

• Información del sistema (hardware ID, IP, geolocalización aproximada).

Una vez empaquetados, los datos se envían a un panel de comando y control (C2), donde los operadores los venden o comparten. Con el tiempo, miles de estos paquetes terminan siendo filtrados o revendidos en plataformas de análisis de amenazas, lo que genera datasets agregados como el de Synthient.

De logs sucios a dataset utilizable

Según explicó Troy Hunt, el dataset original de Synthient estaba compuesto por miles de millones de registros distribuidos en varios archivos CSV y textos sin formato, con duplicidades y datos redundantes. El proceso de limpieza consistió en:

1. Normalización de direcciones de correo (unificación de mayúsculas, eliminación de caracteres invisibles, codificaciones UTF-8).

2. Eliminación de duplicados exactos y parciales, lo que redujo los registros a 183 millones de entradas únicas.

3. Filtrado de campos inconsistentes, como dominios inexistentes o contraseñas nulas.

4. Verificación de hashes y contraseñas en texto plano, para catalogarlas adecuadamente dentro de HIBP.

El resultado final permitió incorporar el conjunto a la plataforma, que actualmente supera los 15.300 millones de cuentas comprometidas procedentes de 916 brechas distintas.

El ecosistema de los infostealers: una cadena automatizada

El auge de los infostealers está directamente relacionado con la industrialización del cibercrimen. Plataformas como Raccoon, RedLine, Vidar o Lumma Stealer operan bajo un modelo malware-as-a-service (MaaS), ofreciendo a los atacantes kits de infección, paneles de control y actualizaciones automáticas a cambio de suscripciones mensuales.

Estos programas utilizan métodos de exfiltración cifrada (TLS/SSL) para enviar la información robada a servidores distribuidos. Posteriormente, los datos son empaquetados en archivos ZIP o JSON.

Estos logs se almacenan en repositorios que pueden llegar a varios terabytes de tamaño, donde posteriormente son redistribuidos entre grupos de análisis o filtrados al público.

La particularidad del conjunto de Synthient es que no proviene de una filtración accidental, sino de una recopilación estructurada con fines de inteligencia de amenazas. Sin embargo, una parte de esa información terminó accesible fuera de los círculos cerrados, lo que llevó a su incorporación a HIBP.

¿Qué ha ocurrido?

Para detectarse esta brecha, el experto ha utilizado la herramienta Synthient, la cual ya ha sido usada en otros casos para detectar problemas de seguridad. A continuación, te explicamos lo que ha pasado.

183 millones de correos filtrados

Que una base de datos con 183 millones de correos electrónicos se haya filtrado es un problema importante. Significa que las posibilidades de que nuestro email esté en la base son realmente altas.

No se ha especificado cómo se ha producido la brecha, pero sí que los correos afectados se han filtrado a través de distintos ataques de infostealers. Estos son programas y malware que roban datos de los usuarios y que, en los últimos años, se han convertido en un serio problema para la industria.

No solo los emails

El gran problema de esta filtración, es que no solo se han robado emails y contraseñas. Además de esto, también se ha filtrado la relación de páginas web conectadas.

Esto significa que, en la base de datos, se incluye la dirección de correo electrónico, la contraseña y también las páginas a las que se puede acceder con su uso.

Debido a este factor, la filtración se transforma en un problema gravísimo, puesto que podría poner en riesgo todo tipo de accesos, desde plataformas de streaming hasta cuentas bancarias.

Cada vez hay más filtraciones

Según cifras de Have I Been Pwned, ya se han filtrado 15,3 mil millones de cuentas de usuario a lo largo del tiempo. En el caso de esta filtración, los datos han sido refinados antes de hacerse públicos, para evitar duplicados.

¿Para qué usan los hackers los datos?

Lo más habitual es que estos datos filtrados sean utilizados para realizar distintos scam o en maniobras de phishing de distintos tipos.

Además, también hay ciberdelincuentes que venden las cuentas de usuario. En algunos casos, no cambian las contraseñas, sino que usan las cuentas sin que los propietarios lo sepan. Esto ocurre, por ejemplo, con accesos robados de plataformas de streaming, como Netflix.

En la deep web se venden cuentas de streaming por pocos dólares procedentes de brechas de seguridad como esta. Debido a ello, hay que estar siempre atentos a posibles filtraciones.

¿Cómo saber si tus correos se han visto afectados?

Como te indicamos, es crucial actuar para evitar problemas y riesgos. Para ello, te indicamos los pasos que debes seguir:

1. Entra en la web de Have I Been Pwned desde aquí.
2. Introduce tu correo electrónico en la barra superior de color blanco y pulsa en el botón “Check”.
3. Revisa los resultados para comprobar si tu correo ha sido filtrado.