Ataque con lista de contraseñas
Un ataque con listas de contraseñas es un tipo de ciberataque en el que los atacantes utilizan una lista precompilada de identificadores y contraseñas, a menudo obtenidos mediante la explotación de vulnerabilidades en otros sitios, para intentar acceder sin autorización a los sitios web de empresas u organizaciones. Este método también se conoce como «ataque con listas de cuentas» o «piratería de cuentas basada en listas».
Los atacantes suelen obtener estas listas de identificadores y contraseñas de sitios web o sistemas poco seguros. Por ejemplo, si un atacante accede a una cuenta de comercio electrónico utilizando credenciales robadas, puede sustraer información personal o hacer un uso indebido de los datos de tarjetas de crédito almacenados. Las víctimas de ataques con listas de contraseñas pueden sufrir pérdidas económicas debido a retiradas de fondos no autorizadas u operaciones fraudulentas.
Causas de los ataques con listas de contraseñas
- Reutilización de identificadores y contraseñas: muchos usuarios reutilizan las mismas credenciales en varios servicios, lo que facilita que los atacantes puedan vulnerar varias cuentas.
- Ataques de phishing: Los atacantes pueden obtener listas de credenciales mediante técnicas de phishing, engañando a los usuarios para que introduzcan sus credenciales en sitios web falsos pero convincentes.
Diferencias con respecto a otros ciberataques
Los ataques con listas de contraseñas suelen confundirse con los siguientes tipos de ataques:
- Ataques de fuerza bruta: adivinar contraseñas de forma sistemática probando todas las combinaciones posibles.
- Ataques de diccionario: uso de una biblioteca predefinida de contraseñas comunes o combinaciones de palabras, como nombres o frases.
- Ataques de pulverización de contraseñas: uso de una única contraseña para intentar iniciar sesión simultáneamente en numerosas cuentas, evitando los mecanismos de bloqueo de cuentas.
Los ataques con listas de contraseñas son especialmente difíciles de detectar porque implican menos intentos de inicio de sesión por cuenta que los ataques de fuerza bruta.
Ejemplos de incidentes reales
- Sistemas de pago mediante códigos QR: En julio de 2019, el servicio japonés de pago mediante códigos QR «7pay» sufrió pérdidas económicas debido a accesos no autorizados, presuntamente relacionados con ataques mediante listas de contraseñas, lo que provocó el cierre del servicio.
- Depósitos bancarios: En septiembre de 2020, NTT Docomo sufrió retiradas fraudulentas de cuentas bancarias a través de su servicio «Docomo Account» mediante el uso de credenciales robadas.
Impacto de los ataques con listas de contraseñas
- Retiros no autorizados y fraude en los pagos: las credenciales robadas pueden permitir el acceso no autorizado a cuentas bancarias o el uso fraudulento de tarjetas de crédito.
- Filtraciones de datos: las víctimas pueden sufrir la divulgación de información personal o corporativa confidencial.
- Suplantación de identidad en redes sociales: el acceso no autorizado a cuentas de redes sociales puede dañar la reputación mediante publicaciones o mensajes falsos.
- Responsabilidades legales de los proveedores de servicios: Las empresas pueden incurrir en responsabilidades civiles y penales debido a unas medidas de seguridad deficientes, lo que puede obligarlas a adoptar costosas medidas para mitigar los daños.
- Pérdida de la confianza pública: Las brechas de seguridad pueden dañar la reputación de la empresa y reducir la confianza de los usuarios en sus servicios.
Cómo prevenir los ataques con listas de contraseñas
Tanto los particulares como las organizaciones deben aplicar estrategias para prevenir estos ataques:
- Evitar la reutilización de credenciales: los usuarios deben utilizar identificadores y contraseñas únicos para cada servicio, mientras que los proveedores de servicios deben concienciarlos sobre esta práctica.
- Supervise los intentos de inicio de sesión con WAF: Utilice firewalls de aplicaciones web (WAF) para detectar actividades de inicio de sesión sospechosas, como múltiples intentos desde la misma IP o desde ubicaciones inusuales.
- Implementar la autenticación de dos factores (2FA): añadir un paso de autenticación adicional, como enviar una contraseña de un solo uso por correo electrónico, ayuda a evitar accesos no autorizados incluso si las credenciales se ven comprometidas.
