miji.beEl relleno de credenciales es una técnica de ciberataque que prueba de forma masiva combinaciones de nombre de usuario y contraseña filtradas en brechas de datos anteriores para intentar iniciar sesión sin autorización en otros servicios. Se aprovecha de que hay usuarios que reutilizan las mismas credenciales en varios servicios. OWASP lo sitúa como un tipo de ataque de fuerza bruta y señala que, en muchos casos, se refiere a ataques que usan pares reales de nombre de usuario y contraseña filtrados (a octubre de 2026).
En cuanto al funcionamiento del ataque, el atacante carga la lista de credenciales filtradas en una herramienta automatizada y realiza intentos masivos contra el endpoint de inicio de sesión del servicio objetivo. Al combinar la rotación de direcciones IP con técnicas para eludir el CAPTCHA, intenta sortear una limitación de tasa sencilla.
El panel de administración de un servicio de URLs cortas también puede ser un objetivo. Si el atacante se apodera de una cuenta, puede cambiar el destino de redirección de las URLs cortas existentes por sitios de phishing o robar los datos estadísticos de los enlaces.
Entre las medidas de defensa están la limitación de tasa de los intentos de inicio de sesión, la obligatoriedad de la autenticación multifactor (MFA) y el rechazo de contraseñas mediante el cotejo con bases de datos de contraseñas filtradas (como la API de Have I Been Pwned). OWASP considera la MFA, con diferencia, la mejor defensa contra la mayoría de los ataques relacionados con contraseñas, incluido el relleno de credenciales (a octubre de 2026). También existe la opción de pasar a la autenticación sin contraseña (WebAuthn / passkeys).