¿Qué es un ataque de fuerza bruta?

Un ataque de fuerza bruta es un método popular de craqueo que consiste en adivinar nombres de usuario y contraseñas para obtener acceso no autorizado a un sistema o datos confidenciales. Si bien son relativamente simples, los métodos de fuerza bruta continúan teniendo una alta tasa de éxito y representan más del 80% de los ataques a aplicaciones web.

Si bien algunos atacantes continúan realizando ataques manuales de fuerza bruta, la mayoría utiliza herramientas y scripts automatizados que aprovechan las combinaciones de contraseñas comúnmente utilizadas para eludir los procesos de autenticación o intentar acceder a datos cifrados mediante la búsqueda del ID de sesión correcto. Otros objetivos comunes de los ataques de fuerza bruta son las claves API y los inicios de sesión SSH.

Y cada vez más, los atacantes utilizan credenciales de usuario reales obtenidas de fugas de datos, filtraciones de datos o la web oscura.

¿Cuál es el propósito de un ataque de fuerza bruta?

El propósito de los ataques de fuerza bruta puede variar desde robar información personal e interrumpir el servicio hasta infectar a los visitantes de la página web con malware o ransomware.

Los ataques de fuerza bruta también pueden ocurrir en las primeras etapas de los ciberataques más sofisticados, generalmente como una forma de reconocimiento o infiltración inicial en la primera capa de seguridad.

Para lanzar un ciberataque, los atacantes necesitan obtener un punto de entrada. Las técnicas de fuerza bruta son un método de "configurar y olvidar" para obtener acceso.

Si el ataque de fuerza bruta funciona, los atacantes pueden usar la escalada de privilegios o abusar de un control de acceso deficiente para obtener acceso adicional. Es por eso que las contraseñas seguras, la defensa en profundidad y el principio de mínimo privilegio son partes importantes de cualquier estrategia de ciberseguridad.

Además, los ataques de fuerza bruta se pueden utilizar para probar si diferentes direcciones devuelven páginas web válidas que podrían ser explotadas debido a vulnerabilidades conocidas.

¿Cómo es un ataque de fuerza bruta?

No es raro recibir un correo electrónico de un proveedor externo o de servicios que le informa que alguien ha intentado iniciar sesión en su cuenta desde una ubicación aleatoria.

Cuando esto sucede, puede ser una indicación de que has sido víctima de un ataque de fuerza bruta. Si esto le sucede, le sugerimos que actualice sus contraseñas de inmediato.

De hecho, muchas organizaciones preocupadas por la seguridad rotan o cambian las contraseñas de forma regular para minimizar el riesgo de ataques de fuerza bruta no detectados o no reportados.

Si sospecha que su organización o sus usuarios están siendo atacados, esto es lo que debe tener en cuenta:

Múltiples intentos fallidos de inicio de sesión desde la misma dirección IP
Intentos de inicio de sesión con varios nombres de usuario desde la misma dirección IP
Múltiples intentos de inicio de sesión para un solo nombre de usuario proveniente de diferentes direcciones IP
Un patrón inusual en los intentos fallidos de inicio de sesión, como patrones alfabéticos o numéricos secuenciales
Una cantidad anormal de ancho de banda que se utiliza después de un intento de inicio de sesión exitoso que podría indicar que alguien está descargando datos confidenciales

Ejemplos de ataques de fuerza bruta

Los ataques de fuerza bruta ocurren todo el tiempo y hay numerosos ejemplos de alto perfil:

Alibaba: En 2016, los atacantes utilizaron una base de datos de 99 millones de nombres de usuario y contraseñas para comprometer casi 21 millones de cuentas en el sitio de comercio electrónico de Alibaba, TaoBao, en un ataque masivo de fuerza bruta.
Magento: En 2018, hasta 1.000 cuentas de código abierto se vieron afectadas por ataques de fuerza bruta que se aprovecharon de contraseñas débiles para robar información y distribuir malware.
Parlamento de Irlanda del Norte: En 2018, varios miembros del Parlamento de Irlanda del Norte fueron víctimas de ataques de fuerza bruta.
Parlamento de Westminster: Un ataque de fuerza bruta en 2017 provocó que hasta 90 cuentas de correo electrónico se vieran comprometidas.
Firefox: En 2018, se reveló que la función de contraseña maestra de Firefox podría ser fácilmente forzada.

¿Cuáles son los tipos de ataque de fuerza bruta?

Ataques de fuerza bruta simples: un tipo genérico de ataque que puede usar diferentes enfoques sistemáticos para adivinar posibles contraseñas, pero no aplica ninguna lógica subyacente. Esto se usa normalmente en archivos locales, ya que no hay límite para el número de intentos
Ataques de diccionario: este tipo de ataque de fuerza bruta utiliza una lista de palabras y contraseñas comunes en lugar de iterar aleatoriamente. Esto puede mejorar la tasa de éxito sobre el descifrado de contraseñas por fuerza bruta pura, pero a menudo requiere una gran cantidad de intentos contra posibles objetivos para adivinar la contraseña correcta.
Ataques híbridos de fuerza bruta: un ataque híbrido utiliza tanto un ataque de diccionario como patrones iterativos regulares. En lugar de intentar todas las combinaciones posibles, realizará pequeñas modificaciones a las palabras de un diccionario, como añadir caracteres especiales o cambiar las mayúsculas y minúsculas de las letras.
Ataques de tabla arcoíris: una tabla precalculada para revertir funciones hash criptográficas, utilizada para adivinar una función hasta una cierta longitud que consta de un conjunto limitado de caracteres
Ataque de fuerza bruta inversa: utiliza una colección de contraseñas comunes contra muchos nombres de usuario posibles para obtener acceso. Por lo general, se dirige a usuarios que se sabe que usan contraseñas débiles
Relleno de credenciales: utiliza combinaciones de nombre de usuario y contraseña expuestas en las mayores violaciones de datos, fugas de datos o estafas de phishing y las prueba en varios sitios web. El relleno de credenciales puede tener una buena tasa de éxito, ya que las personas reutilizan el mismo nombre de usuario y contraseña en todas las aplicaciones web.

Cómo prevenir los ataques de fuerza bruta

Dado que los ataques de fuerza bruta no se basan en vulnerabilidades o exploits, mantener el software actualizado no es suficiente para protegerse. Algunos métodos comunes que puede usar para evitar ataques de fuerza bruta:

Usa contraseñas seguras
Restringir el acceso a las URL de autenticación
Limitar los intentos de inicio de sesión
Usar CAPTCHA
Aplique la autenticación de dos factores (2FA) o la autenticación multifactor (MFA)

Utilice contraseñas seguras

Los ataques de fuerza bruta se basan en contraseñas reutilizadas o débiles. Las contraseñas que tienen las siguientes características pueden evitar ataques de fuerza bruta:

Único: Evite reutilizar contraseñas, incluso si son contraseñas complejas, ya que los sitios web pueden verse comprometidos y las contraseñas se pueden descifrar. Al reutilizar contraseñas, está dando a los atacantes una forma fácil de obtener acceso no autorizado a sus cuentas en otros sitios web.
Largas: En igualdad de condiciones, las contraseñas más largas son más difíciles de descifrar que las contraseñas más cortas. Por ejemplo, una contraseña de nueve caracteres tarda mucho más en usar la fuerza bruta que una contraseña de ocho caracteres, y una contraseña de ocho caracteres tarda significativamente más que una contraseña de siete caracteres. Una vez que el recuento de caracteres supera un cierto punto, la fuerza bruta de una contraseña correctamente aleatoria se vuelve poco realista.
Complejas: Si bien las contraseñas simples son fáciles de recordar, a menudo también son fáciles de descifrar. Le sugerimos que utilice un administrador de contraseñas para generar contraseñas sólidas para usted.

Lee nuestra guía sobre cómo crear una contraseña segura aquí.

Los usuarios de iOS pueden aprender a verificar la seguridad de sus contraseñas aquí.

Restringir el acceso a las URL de autenticación

Para que un ataque de fuerza bruta funcione, debe ser capaz de probar las credenciales en una página de inicio de sesión. Muchas URL automatizadas utilizan la URL predeterminada de la página de inicio de sesión y escanean la web en busca de víctimas.

Por ejemplo, una herramienta de ataque de fuerza bruta podría escanear la web en busca de sitios de WordPress y navegar a /wp-login.php, la página de inicio de sesión predeterminada de WordPress.

Cambiar /wp-login.php a /yoursite-login puede ser suficiente para mitigar el riesgo de muchos ataques automatizados. Desafortunadamente, esto no funcionará para ataques más dirigidos o si la página está vinculada desde otras partes de su sitio.

Limitar los intentos de inicio de sesión

Los ataques de fuerza bruta se basan en la capacidad de intentar varias contraseñas y cuentas en una sola sesión. Considere la posibilidad de usar la funcionalidad de bloqueo para restringir el número de veces que se puede probar un inicio de sesión incorrecto.

Una forma común de hacer esto es prohibir temporalmente el inicio de sesión de una dirección IP después de tres intentos fallidos, donde los errores posteriores se bloquean durante períodos cada vez más largos.

Usar CAPTCHA

Un CAPTCHA es un tipo de prueba de desafío-respuesta utilizada en informática para determinar si el usuario es humano o no. Mediante el uso de una solución CAPTCHA, puede evitar que los bots y las herramientas automatizadas prueben las combinaciones de nombre de usuario y contraseña en su sitio web obligándolos a completar un desafío antes de enviar el formulario.

reCAPTCHA es un servicio de seguridad gratuito que protege sus sitios web del spam, el abuso y los ataques de fuerza bruta proporcionados por Google.

Aplicar la autenticación de dos factores

La autenticación de dos factores evita que un solo factor de autenticación (como una contraseña) ponga en peligro la cuenta. El mecanismo suele funcionar solicitando la información de inicio de sesión tradicional y luego enviando una confirmación a un dispositivo, generalmente un teléfono inteligente, como un mensaje de texto, una llamada telefónica o una pantalla de verificación de seguridad en la aplicación.

Idealmente, solo la persona autorizada tendría el teléfono inteligente y luego podría aceptar o rechazar las solicitudes de autenticación según sea necesario. Los mecanismos más avanzados pueden requerir bioautenticación, como el deslizamiento de huellas dactilares, que evita que los teléfonos perdidos o robados se utilicen para emitir confirmaciones falsas.

Herramientas populares de ataque de fuerza bruta

Hay una serie de herramientas populares de ataque de fuerza bruta:

THC-Hydra: Se ejecuta a través de un gran número de combinaciones de contraseñas a través de simples ataques de fuerza bruta o basados en diccionarios, y puede atacar más de 50 protocolos y múltiples sistemas operativos.
Aircrack-ng: Un paquete de software de red que consta de un detector, un rastreador de paquetes, un cracker WEP y WPA/WPA2-PSK y una herramienta de análisis para LAN inalámbricas 802.11. Se puede usar en Windows, Linux, iOS y Android y utiliza un diccionario de contraseñas ampliamente utilizadas para violar la seguridad de la red.
John el Destripador: Una herramienta de software gratuita para descifrar contraseñas. Originalmente desarrollado para el sistema operativo Unix, puede ejecutarse en quince plataformas diferentes.
L0phtCrack: Una aplicación de auditoría y recuperación de contraseñas utilizada para probar la fuerza de la frase de contraseña y recuperar contraseñas perdidas de Microsoft Windows mediante el uso de ataques de diccionario, fuerza bruta, híbridos y tablas arcoíris.
Hashcat: Una herramienta de recuperación de contraseñas que era una base de código propietaria hasta que fue de código abierto en 2015. Ejemplos de algoritmos de hash compatibles con Hashcat son los hashes de Microsoft LM, MD4, MD5, la familia SHA, los formatos Unix Crypt, MySQL y Cisco PIX.
DaveGrohl: Un descifrador de contraseñas de fuerza bruta para MacOS. Es compatible con todos los hashes de contraseñas de usuario estándar de Mac OS X (MD4, SHA-512 y PBKDF2) utilizados desde OS X Lion y también puede extraerlos formateados para otros descifradores de contraseñas populares como John the Ripper.
Ncrack: Un programa de descifrado de contraseñas de Unix diseñado para permitir a los administradores de sistemas localizar a los usuarios que pueden tener contraseñas débiles vulnerables a un ataque de diccionario.

El módulo de violaciones de identidad de UpGuard BreachSight busca violaciones de datos de terceros en la web abierta, profunda y oscura y le muestra dónde se han expuesto las credenciales de un empleado. Si encontramos una coincidencia, agregaremos el nombre de la infracción, el riesgo, los datos expuestos, la fecha de la infracción, la fecha de publicación, el estado de la notificación y el número de empleados expuestos a su cuenta de UpGuard.

La gravedad de una violación depende del tipo y la cantidad de datos expuestos. Por ejemplo, una violación de datos que incluya contraseñas podría dar lugar a que los atacantes obtengan acceso no autorizado a su organización utilizando las credenciales expuestas. Este ejemplo requiere que los empleados reutilicen las contraseñas en todos los servicios, lo que no es infrecuente.

También podemos ayudarlo a evaluar sus otros controles de seguridad mediante el monitoreo de su organización para 70+ controles de seguridad que proporcionan una calificación de seguridad simple y fácil de entender y exposiciones de datos automáticas en buckets de S3, servidores Rsync, repositorios de GitHub y más.

UpGuard Vendor Risk puede minimizar la cantidad de tiempo que su organización dedica a evaluar los controles de seguridad de la información relacionados y de terceros mediante la automatización de cuestionarios de proveedores y el suministro de plantillas de cuestionarios de proveedores. También podemos ayudarlo a comparar instantáneamente a sus proveedores actuales y potenciales con su industria, para que pueda ver cómo se comparan.

La principal diferencia entre UpGuard y otros proveedores de calificaciones de seguridad es que hay pruebas muy públicas de nuestra experiencia en la prevención de violaciones y fugas de datos.

Nuestra experiencia ha aparecido en medios como The New York Times, The Wall Street Journal, Bloomberg, The Washington Post, Forbes, Reuters y TechCrunch. Puedes leer más sobre lo que dicen nuestros clientes en las reseñas de Gartner.

Si desea ver la calificación de seguridad de su organización, haga clic aquí para solicitar su calificación de seguridad gratuita.