INCIBE no sufrió un ciberataque: qué es el doxing y por qué reutilizar contraseñas expone

A finales de febrero de 2026 aparecieron en varios foros datos personales de una decena de cargos de INCIBE, el Instituto Nacional de Ciberseguridad. La lectura fácil habría sido titular «hackean a INCIBE». Pero el 25 de febrero el propio organismo salió a explicar lo contrario: no hubo ninguna intrusión en sus sistemas. Lo que ocurrió fue doxing por agregación de credenciales que ya estaban expuestas en brechas anteriores. La distinción parece un matiz técnico, pero para un autónomo o una micropyme es justo lo contrario: es la parte útil de la historia, porque explica cómo alguien puede reconstruir tu ficha personal sin necesidad de reventar ningún servidor.

Qué pasó y por qué INCIBE tuvo que salir a aclararlo

El punto de partida es un organismo público de ciberseguridad viendo cómo se publican en foros datos personales de una decena de sus cargos. Cuando el afectado es precisamente la institución que asesora en ciberseguridad, la tentación de leerlo como una brecha en sus sistemas es evidente, y por eso INCIBE publicó una entrada en su blog para cortar esa interpretación.

Su explicación fue directa: no fue víctima de un ciberataque. No hubo acceso no autorizado a la infraestructura de INCIBE ni una fuga desde dentro. Los datos que circulaban se habían compuesto juntando información que ya estaba filtrada por otros lados —brechas previas de servicios de terceros— hasta armar un perfil de cada persona. Es una diferencia importante para entender el riesgo real: el problema no estaba en INCIBE, estaba distribuido en los distintos servicios donde esas personas se habían registrado a lo largo de los años.

Doxing no es lo mismo que un hackeo

El doxing consiste en recopilar y publicar información personal de alguien —nombre, correos, cuentas, a veces más— cruzando fuentes ya disponibles. No requiere entrar en el sistema de la víctima. Requiere paciencia y saber dónde mirar. Y las dos vías que INCIBE señaló como origen del material conviene entenderlas, porque son las mismas que afectan a cualquier negocio:

• El credential stuffing (relleno de credenciales) parte de una premisa muy simple: la gente reutiliza la misma contraseña en muchos sitios. Cuando un servicio sufre una brecha y se filtran usuarios y contraseñas, quien tiene esa lista prueba esas mismas combinaciones, de forma automatizada, en otros servicios. Si reutilizaste la contraseña, entra. No ha «hackeado» nada nuevo: ha usado una llave vieja en una cerradura distinta que resultó ser la misma.
• Los infostealers son un tipo de malware diseñado para robar información del dispositivo infectado: contraseñas guardadas en el navegador, sesiones, credenciales. Un ordenador comprometido en algún momento puede haber entregado ese material, que luego circula y se agrega con el resto.

La conclusión que se desprende de la propia explicación de INCIBE es incómoda pero clara: no hace falta atacar a la organización para exponer a sus personas. Basta con que esas personas hayan dejado un rastro de credenciales reutilizadas por internet. El «objetivo» que falló no fue el servidor de INCIBE; fueron las contraseñas repetidas de sus cargos en servicios de terceros.

Por qué esto le importa a un autónomo o una micropyme

Es tentador ver este caso como algo que solo le pasa a un organismo con foco público. No lo es. El mecanismo es exactamente igual de aplicable a cualquier negocio cuyo personal reutilice contraseñas entre servicios, que es prácticamente la norma en despachos pequeños: la misma clave para el correo, la banca, el gestor de facturas, la tienda de suministros y la red social del negocio.

Si eres autónomo o llevas una micropyme, la exposición tiene dos caras. La primera es la reconstrucción de tu perfil: alguien que junte datos filtrados puede saber tus correos, en qué servicios estás registrado y detalles personales, sin haber tocado tus sistemas. La segunda, y más peligrosa a efectos prácticos, es lo que se puede hacer con ese perfil. INCIBE lo señala explícitamente: los datos ya filtrados alimentan phishing personalizado. Un correo o mensaje que te llama por tu nombre, menciona un servicio que de verdad usas y suena creíble tiene muchas más probabilidades de que piques que un spam genérico. Y en un negocio pequeño, donde a menudo la misma persona gestiona correo, pagos y clientes, un solo clic desafortunado puede acabar en un fraude de transferencia o en la pérdida de acceso a cuentas críticas.

Dicho de otro modo: el riesgo no es que te «hackeen» en el sentido de película. Es que la reutilización de contraseñas convierte una brecha ajena y antigua en una llave que abre tus cuentas de hoy.

Las cuatro medidas que recomendó INCIBE

Frente al caso, INCIBE no propuso nada exótico. Propuso cuatro acciones básicas de higiene digital que, pese al tiempo transcurrido desde febrero, siguen siendo el mínimo razonable para cualquier negocio:

1. Cambiar las contraseñas reutilizadas. Es la raíz del problema. Si una misma clave abre varios servicios, una filtración las abre todas. La idea es que cada servicio tenga una contraseña distinta, de modo que una brecha se quede contenida en un solo sitio.
2. Activar la verificación en dos pasos. Añadir un segundo factor —un código, una app de autenticación— hace que, aunque alguien tenga tu contraseña correcta, no le baste para entrar. Es la barrera que neutraliza directamente el credential stuffing.
3. Comprobar tu correo en Have I Been Pwned. Este servicio permite consultar si una dirección de correo aparece en brechas conocidas. Saber en qué filtraciones estás es el primer paso para decidir qué contraseñas hay que cambiar con urgencia.
4. Desconfiar del phishing personalizado. Precisamente porque los datos filtrados hacen los engaños más creíbles, conviene tratar con especial recelo los mensajes que usan tu nombre y datos reales para pedirte credenciales, pagos o clics. Que un correo sepa cosas de ti no lo hace legítimo; puede ser justo la señal contraria.

Ninguna de estas medidas es una campaña con fecha de cierre ni una convocatoria a la que apuntarse: son prácticas permanentes. El caso de INCIBE sirve, sobre todo, como recordatorio de que aplicarlas no es cosa de grandes organizaciones, sino de cualquiera que use varios servicios online con las mismas llaves.

Lo que no sabemos

Conviene ser honesto con los límites de esta historia. La explicación pública de INCIBE aclara el cómo —doxing por agregación de credenciales de brechas anteriores, con credential stuffing e infostealers como vías— y descarta la intrusión en sus sistemas. Pero de la información disponible no se desprende quién estuvo detrás de la publicación en foros, ni con qué intención concreta más allá de exponer a las personas afectadas. Tampoco se detalla el alcance exacto de los datos ni de qué brechas previas procedían.

Para el lector, esa incertidumbre no cambia lo esencial. El valor del caso no está en el nombre del responsable, sino en el mecanismo: unas credenciales reutilizadas y expuestas hace tiempo bastaron para reconstruir perfiles personales completos. Si algo deja claro es que la seguridad de tus cuentas no depende solo de que no te ataquen hoy, sino de la higiene que hayas mantenido en todos los servicios donde te registraste ayer.