Los 8 principales ataques a contraseñas

¿Sabías que el primer ataque a una contraseña tuvo lugar en 1962? En aquella época, el CTSS (Compatible Time-Sharing System) del MIT fue el primero en utilizar contraseñas para conceder acceso individual. Allen Scherr, un investigador con un doctorado, quería utilizar el CTSS más allá de su horario laboral semanal. Para ampliar su tiempo de uso, decidió pedir prestadas las contraseñas de otras personas. Scherr consiguió obtener todas las contraseñas almacenadas en el sistema CTSS enviando una solicitud para imprimir los archivos de contraseñas mediante una tarjeta perforada.

Hoy en día, los ataques a las contraseñas se han convertido en uno de los principales problemas tanto para las empresas como para los particulares. El Informe de investigación sobre la filtración de datos de Verizon ha constatado que más del 80 % de las brechas de seguridad en las aplicaciones web se deben a problemas relacionados con las contraseñas.

Con la persona media Tener que gestionar unas 100 contraseñas, no es de extrañar que las personas suelen reutilizar las mismas contraseñas para varias cuentas o crear contraseñas sencillas que contienen datos personales fáciles de recordar. Esta situación supone un auténtico campo de juego para los piratas informáticos, ya que las contraseñas suelen ser el único obstáculo que impide el acceso no autorizado a datos o cuentas confidenciales.

Dado que los ataques a las contraseñas son un problema persistente, a continuación encontrarás una lista de los tipos de ataques más habituales a los que te puedes enfrentar y cómo protegerte de ellos.

Tipos de ataques a contraseñas

1. Ataque de fuerza bruta simple

Un ataque de fuerza bruta simple es un método que utilizan los atacantes para descifrar contraseñas probando sistemáticamente todas las combinaciones posibles de caracteres. Este ataque puede resultar laborioso y consumir muchos recursos, ya que es necesario recorrer todas las permutaciones posibles de caracteres hasta identificar la contraseña correcta.

2. Rompecabezas de contraseñas

Un ataque de «password spraying» es una técnica mediante la cual los atacantes obtienen acceso no autorizado a varias cuentas probando un número limitado de contraseñas de uso común con una gran variedad de nombres de usuario. A diferencia de un ataque de fuerza bruta, que se centra en una sola cuenta con numerosas combinaciones de contraseñas, el «password spraying» prueba contraseñas populares en muchas cuentas, lo que reduce la probabilidad de que se activen los bloqueos de cuenta.

3. Ataque con keylogger

Este tipo de ataque puede llevarse a cabo bien mediante la instalación de software malicioso en el dispositivo del usuario, bien mediante el uso de un dispositivo físico de registro de teclas conectado al ordenador. Mientras el usuario introduce su nombre de usuario y contraseña, el keylogger registra de forma encubierta los datos de las pulsaciones de teclas, que el atacante podrá recuperar más tarde y aprovechar para obtener acceso no autorizado a las cuentas de la víctima.

4. Credential stuffing

A Ataque de «credential stuffing» es una técnica que aprovechan los atacantes datos de acceso filtrados o robados previamente intentar acceder sin autorización a distintas cuentas. Este método se basa en la suposición de que los usuarios suelen reutilizar los mismos nombres de usuario y contraseñas en varias plataformas. Mediante el uso de scripts automatizados o bots, los atacantes introducen sistemáticamente las credenciales comprometidas en numerosos sitios web y servicios, buscando una coincidencia que funcione.

5. Ataque a la mesa del arcoíris

Durante un ataque de tabla arcoíris, los hackers intentan descifrar contraseñas hash utilizando tablas precalculadas con valores hash para posibles combinaciones de contraseñas. El hash es un método criptográfico que convierte las contraseñas en texto claro en una cadena de caracteres única de longitud fija, lo que proporciona un nivel de seguridad. Un ataque de tabla arcoíris permite a los atacantes eludir esta protección al hacer coincidir la contraseña con hash con la contraseña en texto claro correspondiente de las tablas precalculadas.

6. Ingeniería social

La ingeniería social es una táctica manipuladora que utilizan los ciberdelincuentes Inducir a las personas a revelar información confidencial, como contraseñas. Aprovechándose de la psicología humana y de la confianza, los atacantes se hacen pasar por entidades o autoridades legítimas y convencen a las víctimas para que revelen datos personales o concedan acceso no autorizado, a menudo mediante phishing, vishing, señuelos y tailgating.

En la mayoría de los casos, a un atacante le resulta mucho más fácil engañarte para que reveles tu contraseña que descifrarla mediante métodos técnicos.

7. Ataque «man-in-the-middle»

Un ataque de interceptación de tráfico de tipo «man-in-the-middle» (MitM) se produce cuando un hacker intercepta la comunicación entre dos partes. Al interponerse entre el remitente y el destinatario, el atacante puede interceptar, manipular o robar datos confidenciales, como contraseñas. Los hackers pueden emplear diversas técnicas, entre ellas la suplantación de ARP, el secuestro de DNS y el secuestro de SSL, para interponerse en el flujo de comunicación y así obtener acceso a la información transmitida sin que la víctima se dé cuenta. Por lo general, estos ataques se producen a través de redes Wi-Fi no seguras o conexiones sin cifrado.

8. Robo físico de contraseñas

La necesidad de utilizar contraseñas complejas puede llevar a los usuarios a anotarlas. Los ladrones pueden robar las contraseñas físicamente registrando los escritorios, haciendo fotos de las notas o observando por casualidad los recordatorios de contraseñas en un entorno de oficina. Este método anticuado de robo de contraseñas sigue siendo una amenaza incluso en la era digital.

Cómo protegerse de los ataques a las contraseñas

Con la ingente cantidad de datos de acceso robados a los que se puede acceder en la Dark Web y los numerosos informes de seguridad que revelan las contraseñas más utilizadas, a los ciberdelincuentes no les cuesta mucho esfuerzo hackearte.

Por lo general, los hackers buscan un acceso fácil para obtener la mayor rentabilidad. Si no consiguen resultados rápidamente, recurren a métodos de ataque alternativos para infiltrarse en un sistema. Así pues, no solo en el Día Mundial de la Contraseña, sino todos los días, comprométete a proteger tus cuentas siguiendo estos consejos:

Medidas de seguridad a nivel de activos para administradores

• Ofrezca cursos de formación para sensibilizar sobre la ciberseguridad Informar a los empleados sobre hábitos digitales seguros. Fomente una cultura de seguridad, anime a notificar los incidentes de forma inmediata y a aplicar las mejores prácticas de forma habitual.
• Establezca normas de contraseñas que prohíban las contraseñas fáciles de adivinar, como las secuencias numéricas incrementales o las contraseñas que ya hayan sido descifradas anteriormente. Exija una combinación de números, caracteres especiales y mayúsculas y minúsculas en las contraseñas. Para mayor seguridad, establezca una longitud mínima de contraseña de 14 caracteres o más. Evite que los usuarios vuelvan a utilizar sus combinaciones anteriores de nombre de usuario y contraseña.
• El bloqueo de la cuenta debería producirse tras un número determinado de intentos fallidos de inicio de sesión, actividades sospechosas, inactividad prolongada de la cuenta o indicios de una brecha de seguridad. Considere la posibilidad de crear un algoritmo de bloqueo basado en otros parámetros, como la dirección IP de origen, el agente de usuario o el valor de las cookies. Considere la posibilidad de implementar un tiempo de espera entre los intentos de inicio de sesión.
• Ofrezca a los usuarios, de forma opcional, la autenticación multifactorial (MFA).
• Incorpora un CAPTCHA al proceso de inicio de sesión para aumentar el tiempo que se tarda en realizar ataques contra la contraseña y verificar que los intentos de inicio de sesión los realicen personas, lo que reducirá el acceso de los bots.
• Plantéate utilizar varias preguntas de seguridad que no sigan el patrón habitual. Asegúrate de que las respuestas a las preguntas no sean fáciles de adivinar ni estén disponibles públicamente. Se recomienda actualizar las preguntas de seguridad con regularidad.
• Implemente prácticas seguras de SSPR (restablecimiento de contraseña de autoservicio). Entre ellas se incluyen la verificación de la identidad del usuario, el uso de contactos verificados, la limitación del número de intentos y el cifrado del proceso de restablecimiento mediante SSL/TLS.
• Implementar Detección y respuesta avanzadas. XDR ofrece una plataforma centralizada para la supervisión y la respuesta ante amenazas de seguridad en múltiples terminales. Con XDR, puede mejorar la visibilidad y detectar rápidamente posibles ataques relacionados con contraseñas.
• Plantéate pasar a la autenticación sin contraseña. A continuación te ofrecemos una lista de algunos métodos habituales:
  – Autenticación biométrica: huellas dactilares, reconocimiento facial o de voz.
  – Token de seguridad: tokens de hardware o contraseñas de un solo uso generadas por una aplicación móvil.
  – Criptografía de clave pública: certificados digitales/tarjetas inteligentes.
  – Inicio de sesión único (SSO) a través de cuentas de redes sociales u otros proveedores externos.
  – Enlaces mágicos o URL: enlaces que permiten acceder a la cuenta sin contraseña.
• Utiliza una solución de gestión de contraseñas. Las soluciones de gestión de contraseñas ofrecen una plataforma centralizada para almacenar, generar y organizar de forma segura las credenciales de los usuarios.
• Imponga la práctica de cambiar las contraseñas con regularidad. Cuanto más tiempo se mantenga igual una contraseña, más vulnerable será ante los intentos de piratería. Además, es importante ordenar el cambio de contraseñas tras cada filtración de datos.
• Utiliza el «salting» para aumentar la dificultad a los atacantes que intenten descifrar contraseñas mediante tablas de arcoíris.
• Utilice una solución DLP (prevención de pérdida de datos). Las herramientas DLP reducen el robo de datos al supervisar y proteger de forma continua la información confidencial, incluidas las contraseñas. Mediante el uso de técnicas avanzadas de clasificación de datos, los sistemas DLP identifican y restringen el acceso o la transmisión no autorizados de contraseñas.
• Utiliza un generador de contraseñas. Los generadores de contraseñas crean contraseñas complejas y aleatorias.
• Elimina las cuentas inactivas. Al eliminar las cuentas sobrantes, se reducen los objetivos de los piratas informáticos y se disminuyen las tasas de éxito de los ataques a contraseñas.
• Considere la posibilidad de utilizar sistemas IDS/IPS. El IDS detecta patrones de ataques a contraseñas y avisa a los equipos de seguridad. El IPS bloquea automáticamente los intentos de inicio de sesión sospechosos e impide el acceso al sistema.

Medidas de seguridad a nivel individual para usuarios normales

• Evita reutilizar contraseñas. Si un foro de debate informal en el que te has registrado sufre un ataque informático y utilizas la misma contraseña para una cuenta de la empresa o una aplicación de banca online, podrías meterte en serios problemas.
• No compartas tus contraseñas.
• Utiliza un gestor de contraseñas.
• Evita utilizar contraseñas genéricas que consistan en palabras legibles. En su lugar, crea contraseñas largas de al menos 14 caracteres o plantéate utilizar frases de contraseña.
• Activa la autenticación multifactorial (MFA) en todas las cuentas y plataformas, siempre que esté disponible.
• Utiliza una protección actualizada contra el malware y analice su ordenador de forma periódica. Asegúrese de que todos sus dispositivos, incluidos los smartphones y las tabletas, tengan instalado un programa antivirus.
• Utiliza una red privada virtual (VPN). Una red privada virtual segura protege contra los ataques de tipo «man-in-the-middle», cuyo objetivo es robar información confidencial, incluidas las contraseñas.
• Supervise sus cuentas y utilice servicios gratuitos como haveibeenpwned.com para comprobar si sus direcciones de correo electrónico están relacionadas con alguna filtración de datos reciente.
• Cambia tus contraseñas con regularidad. Cuanto más tiempo permanezca sin cambiar una contraseña, más probable es que un pirata informático encuentre la forma de descifrarla.
• Manténgase al día sobre las tendencias en ciberseguridad y descubra cómo detectar los intentos de phishing. Compruebe el campo «De» de cada correo electrónico para confirmar que la identidad del remitente coincide con la dirección de correo electrónico esperada. En caso de duda, póngase en contacto con el supuesto remitente para verificar si ha enviado el mensaje. Ten cuidado con las solicitudes no solicitadas de información personal y comprueba siempre la identidad de las personas que te pidan tu contraseña o datos confidenciales. Ten cuidado al abrir enlaces o archivos adjuntos de fuentes desconocidas.
• Si está disponible, activa la autenticación biométrica en tus dispositivos.
• Utiliza un generador de contraseñas para crear contraseñas seguras y únicas.

Evita que los piratas informáticos accedan a tus contraseñas

Aunque tanto los usuarios particulares como los administradores disponen de numerosas medidas de protección, los ataques a las contraseñas suelen seguir teniendo éxito. Esto se debe, sobre todo, a que la seguridad puede resultar incómoda y requiere una atención constante.

Encontrar el equilibrio entre la seguridad y la comodidad supone todo un reto, y muchas personas tienden a anteponer la comodidad a la seguridad. Sin embargo, las posibles consecuencias de la pérdida de datos críticos, las multas inminentes o incluso el robo de identidad constituyen una fuerte motivación, tanto para los particulares como para las empresas, para dar prioridad a las medidas de seguridad. Con unos sencillos pasos, es posible disuadir a la mayoría de los piratas informáticos. Para mejorar la protección, deberías plantearte implementar niveles de seguridad adicionales.