Pulverización de contraseñas - Ataques lentos y discretos a cuentas

Lectura de 2 min aprox.

Un ataque de password spraying es una técnica en la que se prueban contraseñas de uso común como «123456» o «Password1» contra un gran número de cuentas, con pocos intentos a la vez. Al limitar el número de intentos contra una sola cuenta, evita el bloqueo de la cuenta y dificulta su detección. Se observa con frecuencia en ataques contra Microsoft 365 y Microsoft Entra ID (antes Azure AD), y en 2024 se confirmó el password spraying por parte de grupos de ataque patrocinados por estados en varias grandes empresas tecnológicas.

Casos de uso reales

Por ejemplo, al analizar los registros de autenticación (inicio de sesión), es posible encontrar un patrón en el que se registran intentos de inicio de sesión con la misma contraseña contra un gran número de cuentas, con un solo intento por cuenta y sin que se produzca ningún bloqueo. Cuando aparecen estos rastros de «probar una contraseña de forma amplia pero superficial», constituyen un indicio típico de que se debe sospechar un ataque de password spraying.

Diagrama del patrón de ataque

La diferencia con un ataque de fuerza bruta

Mientras que un ataque de fuerza bruta prueba una enorme cantidad de contraseñas contra una sola cuenta, el password spraying prueba una sola contraseña contra muchas cuentas. La fuerza bruta se puede detectar y defender fácilmente con el bloqueo de cuentas, pero como el password spraying realiza solo uno o dos intentos por cuenta, nunca alcanza el umbral de bloqueo. También se diferencia del credential stuffing: en lugar de usar una lista de contraseñas filtradas, usa contraseñas comunes estadísticamente frecuentes.

Medidas de defensa

La defensa más eficaz es usar una contraseña larga y aleatoria generada por una herramienta como passtsuku.com, eliminando las contraseñas simples que aparecen en las listas de contraseñas comunes. A nivel organizativo, la adopción en toda la empresa de la autenticación multifactor (MFA) es una contramedida decisiva. El bloqueo inteligente de Microsoft Entra ID y la detección de patrones anómalos en los registros de autenticación (la misma contraseña fallando en muchas cuentas en un periodo corto) también son eficaces. Consulte también los detalles de los ataques de password spraying.