¿Qué es un ataque de fuerza bruta?

Un ataque de fuerza bruta es un intento de averiguar una contraseña probando sistemáticamente combinaciones de letras, números y símbolos para superar los controles de autenticación y autorización, a menudo mediante el uso de un diccionario de palabras y tácticas como la pulverización de contraseñas.

La lógica de los ataques de fuerza bruta —también conocidos como descifrado de contraseñas— es muy sencilla: probar todas las combinaciones posibles de una contraseña. Por ejemplo, si utiliza un PIN de cuatro dígitos como contraseña (código de acceso), acabará encontrando la respuesta correcta al probar las 10.000 combinaciones posibles, desde «0000» hasta «9999». Para una persona sería difícil hacerlo manualmente, pero resulta muy sencillo con herramientas automatizadas. Si se puede probar una contraseña por segundo, es posible averiguarla en un máximo de 10.000 segundos (unas 2 horas y 47 minutos). Aunque los ataques de fuerza bruta no son una modalidad de ciberataque especialmente sofisticada, siguen siendo habituales debido a su eficacia contra contraseñas débiles y sistemas con una seguridad deficiente, así como porque los kits de herramientas automatizadas hacen que ampliarlos y ejecutarlos resulte rentable para los atacantes.

Tipos de ataques de fuerza bruta

Los ataques de fuerza bruta pueden adoptar diversas formas. Los ataques de fuerza bruta simples consisten en probar sistemáticamente todas las combinaciones posibles de números o caracteres hasta encontrar la correcta. Este método puede requerir mucho tiempo y recursos, especialmente en el caso de contraseñas o frases de contraseña más largas o complejas.

Una técnica más específica es el ataque de diccionario, que se basa en una lista predefinida de posibles contraseñas o frases. En lugar de probar todas las combinaciones posibles de números o caracteres, como en un ataque de fuerza bruta tradicional, el atacante prueba sistemáticamente cada palabra o frase de un diccionario hasta identificar la correcta. Aunque los ataques de diccionario son más rápidos que los ataques de fuerza bruta simples, pueden fallar si la contraseña es lo suficientemente compleja, utiliza caracteres especiales o no está incluida en el diccionario empleado. Además, usar un ataque de diccionario en la misma pantalla de inicio de sesión activará rápidamente los controles de limitación de intentos y bloqueo de cuentas.

Los ataques híbridos de fuerza bruta combinan elementos de los ataques de diccionario y de los ataques de fuerza bruta simples. En un ataque híbrido, el atacante emplea un conjunto de caracteres aleatorios, como en un ataque de fuerza bruta tradicional, y también una lista de palabras y frases habituales, como en un ataque de diccionario. Este enfoque híbrido aumenta las probabilidades de éxito al aprovechar tanto las contraseñas habituales del diccionario como combinaciones de caracteres menos predecibles.

Otra modalidad de ataque es el ataque de fuerza bruta inversa. En lugar de probar sucesivamente distintas contraseñas para una cuenta concreta, los atacantes prueban contraseñas específicas que consideran de uso habitual (como «password1234») con un gran número de nombres de usuario. Este método parte de la premisa de que al menos algunas de las cuentas objetivo utilizan la contraseña elegida y tiene menos probabilidades de activar medidas de mitigación basadas en el número de intentos de inicio de sesión fallidos.

Aunque el relleno de credenciales no suele considerarse una modalidad de ataque de fuerza bruta (el atacante ya dispone de una lista conocida de nombres de usuario y contraseñas), comparte el objetivo de obtener acceso no autorizado a cuentas, a menudo seguido del secuestro de cuentas (ATO) y el fraude. El relleno de credenciales utiliza scripts o herramientas automatizados para probar rápidamente grandes conjuntos de credenciales comprometidas, como combinaciones de nombre de usuario y contraseña obtenidas de filtraciones de datos anteriores o de la web oscura, en diversos formularios de inicio de sesión en línea. Aunque el relleno de credenciales no implica probar exhaustivamente todas las combinaciones posibles como los ataques de fuerza bruta, sigue siendo un método automatizado para intentar obtener acceso no autorizado, lo que lo convierte en una importante amenaza para la seguridad. Ambos tipos de ataques se consideran riesgos principales en los proyectos OWASP Top 10 y OWASP Automated Threats.

Autenticación débil o deficiente es otra vía de entrada para los atacantes que emplean la fuerza bruta. Algunos sistemas de autenticación no implementan mecanismos de bloqueo o limitación de intentos, que restringen el número de intentos de inicio de sesión durante un periodo determinado. Sin estas medidas de protección, los atacantes pueden intentar adivinar contraseñas repetidamente y sin ninguna restricción, lo que aumenta la probabilidad de que un ataque de fuerza bruta tenga éxito.

Los ataques de fuerza bruta también pueden utilizarse para adivinar identificadores de sesión o aprovechar vulnerabilidades en los mecanismos de gestión de sesiones con el fin de obtener o secuestrar identificadores de sesión válidos. Una vez que un atacante obtiene un identificador de sesión válido, puede utilizarlo para suplantar al usuario autenticado y acceder sin autorización a recursos protegidos.

Los motivos detrás de los ataques de fuerza bruta

Los motivos que llevan a los hackers a realizar ataques de fuerza bruta pueden ser muy diversos, pero generalmente buscan obtener acceso no autorizado a sistemas, redes o cuentas con fines maliciosos.

Entre los motivos más habituales se encuentra el beneficio económico, por ejemplo, cuando los atacantes intentan robar información financiera, como números de tarjetas de crédito o credenciales bancarias, para cometer fraudes o robos. También pueden tratar de acceder a información de identificación personal (PII), propiedad intelectual o datos empresariales confidenciales que puedan venderse. Asimismo, los atacantes pueden acceder a cuentas personales para suplantar la identidad de otras personas y llevar a cabo actividades fraudulentas.

Los delincuentes también pueden secuestrar sistemas para llevar a cabo otras actividades maliciosas, como crear una botnet, es decir, una red de dispositivos bajo el control de un atacante que coordina estas múltiples fuentes y lanza ataques distribuidos de denegación de servicio (DDoS).

El acceso no autorizado a sistemas y cuentas mediante ataques de fuerza bruta también puede utilizarse para propagar malware o spyware, o para atacar sitios web e inundarlos de textos e imágenes obscenos u ofensivos, poniendo en peligro la reputación de una empresa o un sitio web. Los hackers también pueden utilizar ataques de fuerza bruta para aprovecharse de los anuncios o los datos de actividad, usando el acceso no autorizado para insertar anuncios de spam en sitios web y obtener comisiones publicitarias, o para redirigir el tráfico desde el sitio web previsto hacia un sitio malicioso con el fin de robar credenciales o estafar a los usuarios.

Cómo prevenir los ataques de fuerza bruta

Existen varias formas de reducir el riesgo de ataques de fuerza bruta. Implementar varias de las siguientes medidas dificultará que los atacantes adivinen contraseñas u obtengan acceso no autorizado mediante intentos de inicio de sesión repetidos. Entre ellas se incluyen:

• Usar contraseñas seguras y complejas. Las contraseñas seguras son la primera línea de defensa contra el acceso no autorizado a sistemas y datos. Una política de contraseñas bien definida ayuda a garantizar que los usuarios creen y mantengan contraseñas seguras que incluyan una combinación de letras mayúsculas y minúsculas, números y caracteres especiales. Las herramientas para descifrar contraseñas son cada vez más sofisticadas, por lo que las frases de contraseña largas ofrecen ahora mucha más protección que las contraseñas simples. Las políticas deben prohibir la reutilización de contraseñas, una de las principales causas de los ataques de relleno de credenciales y del secuestro de cuentas.
• Uso de la autenticación multifactor (MFA). Además de introducir un nombre de usuario y una contraseña o frase de contraseña, la MFA exige que el usuario proporcione factores adicionales para acceder a una aplicación, un recurso, una cuenta en línea u otro servicio. En la práctica, esto suele implicar introducir en un teléfono inteligente o navegador un código de un solo uso recibido por correo electrónico o SMS, o proporcionar datos biométricos, como una huella dactilar o un escaneo facial.
  
• Implementación de políticas de bloqueo de cuentas. Tras un determinado número de intentos de inicio de sesión fallidos, bloquee las cuentas de usuario durante un periodo de tiempo específico o hasta que un administrador las desbloquee manualmente. Esto impide que los atacantes intenten adivinar contraseñas repetidamente. También se puede limitar la frecuencia de solicitudes para restringir el número de intentos de inicio de sesión procedentes de una misma dirección IP o cuenta de usuario durante un periodo de tiempo determinado.
  
• Cifrado de datos confidenciales. Cifrar los datos confidenciales tanto en reposo como en tránsito garantiza que, aunque los atacantes obtengan acceso no autorizado a un sistema, no puedan leerlos sin la clave de cifrado. Esto reduce la eficacia de los ataques de fuerza bruta, ya que los atacantes necesitarían la clave de cifrado para descifrar los datos.
  
• Mantener el software actualizado. Asegúrese de que todo el software, incluidos los sistemas operativos, los servidores web y las aplicaciones, reciba periódicamente parches y actualizaciones para corregir vulnerabilidades de seguridad que podrían ser aprovechadas por atacantes.
  
• Implementación de soluciones de gestión de bots y firewalls de aplicaciones web. La implementación de soluciones que disuadan los ataques automatizados puede proteger la lógica empresarial crítica frente a usos indebidos, incluidos los ataques de fuerza bruta.

¿Cómo gestiona F5 los ataques de fuerza bruta?

El OWASP (Proyecto Abierto Mundial de Seguridad de Aplicaciones) Proyecto de Amenazas Automatizadas para Aplicaciones Web identifica los ataques de fuerza bruta como un tipo de ataque de descifrado de credenciales (OAT-007). F5 ofrece soluciones para abordar muchos de los riesgos automatizados identificados por OWASP.F5 Distributed Cloud Bot Defense disuade a los bots y la automatización maliciosa para evitar la apropiación de cuentas (ATO), así como el fraude y los abusos resultantes que pueden eludir las soluciones de gestión de bots existentes. Distributed Cloud Bot Defense proporciona supervisión e inteligencia en tiempo real, además de análisis retrospectivos basados en aprendizaje automático, para proteger a las organizaciones frente a ataques automatizados, incluidos aquellos que emplean técnicas de fuerza bruta.

Soluciones F5 Web Application Firewall (WAF) también bloquean y mitigan un amplio espectro de riesgos identificados por OWASP. Las soluciones WAF de F5 combinan protecciones basadas en firmas y en el comportamiento, incluida la inteligencia sobre amenazas de F5 Labs y la seguridad basada en aprendizaje automático, para mantenerse al día frente a las amenazas emergentes. Para evitar ataques de fuerza bruta, el WAF realiza un seguimiento del número de intentos fallidos de acceso a las URL de inicio de sesión configuradas. Cuando se detectan patrones de fuerza bruta, la política del WAF los considera un ataque si la tasa de inicios de sesión fallidos aumenta significativamente o si estos alcanzan un umbral máximo.

Las soluciones WAF de F5 se integran con las soluciones de defensa contra bots de F5 para ofrecer una protección sólida frente a los principales riesgos de seguridad, incluidos los ataques que explotan vulnerabilidades y los ataques automatizados de fuerza bruta.