Ataques de fuerza bruta

Hace algún tiempo, se consideraba que una contraseña era segura si tenía ocho caracteres combinados entre mayúsculas, minúsculas y caracteres especiales. 

Hoy en día, la evolución de los equipos con los que trabajan los atacantes ha logrado poner en sus manos dispositivos más poderosos y con mayor capacidad de procesamiento, por lo que una contraseña así, podría ser encontrada en tan solo 8 horas.

¿Qué son los ataques de fuerza bruta?

Se denomina ataques de fuerza bruta a los intentos de averiguar una contraseña o nombre de usuario con un enfoque de prueba y error, probando todas las combinaciones posibles hasta encontrar aquella que permita el acceso a alguna aplicación o sistema.

Este tipo de ataques no son nuevos, pero la evolución de las amenazas y el incremento de la superficie de ataque de una empresa, invita a analizar algunas estrategias que sirvan para prevenirlos y mejorar la seguridad en las contraseñas e inicios de sesión.

Un estudio de LastPass, afirma que los empleados de una organización manejan aproximadamente 75 claves para poder laborar, y que las contraseñas son repetidas hasta 13 veces, por lo tanto, a un atacante le bastará conocer en promedio 5.76 contraseñas para conseguir todos los accesos de un usuario.

Con un ataque de fuerza bruta es posible adivinar combinaciones de la contraseña objetivo, si una clave contiene más caracteres y es más complicada, se necesitará más tiempo para lograr adivinarla.

Tipos más comunes de ataques de fuerza bruta

Existen varios tipos de ataques de fuerza bruta, pero el más conocido es el ataque de diccionario, que utiliza un listado de palabras comunes o típicas como contraseñas.

Otro tipo, es el ataque de fuerza bruta inversa donde se utilizan contraseñas conocidas (como las que se obtienen en filtraciones de brechas de seguridad), y se prueban contra distintos usuarios de una lista hasta que se logra coincidir con alguno.

4 tips para prevenir incidentes por ataques de fuerza bruta

Además de solicitar contraseñas seguras, podemos hacer uso de los siguientes puntos para robustecer la seguridad:

Utilizar doble o múltiple factor de autenticación

Con este método, la contraseña se vuelve solo la primer parte del proceso de autenticación. Los usuarios requerirán un código enviado por un medio distinto, un token físico o un biométrico. 

En estos casos un atacante requerirá acceso físico a ello, por lo que se vuelve más complicado.

Limitar intentos de sesión fallidos

Definir cuántos intentos para iniciar sesión se pueden realizar, para por ejemplo, bloquear la IP o el usuario durante un periodo de tiempo antes de volver a intentarlo.

Bloqueo de cuentas tras eventos fallidos

Bloquear las cuentas después de un número de intentos fallidos, con el fin de que el atacante opte por buscar otro objetivo más sencillo.

Al final, la mejor estrategia es la concientización del usuario y la capacitación en materia de ciberseguridad, lo que ayudará a disminuir los riesgos asociados a este tipo de ataques.

Una cultura de Ciberseguridad con bases sólidas, es imprescindible para la empresa.