La protección de las contraseñas que utilizamos, ya sea para acceder a determinados servicios para particulares o a redes corporativas, es fundamental en la defensa contra los ciberdelincuentes. Existen muchas formas de romper su seguridad y las principales han sido recopiladas por la empresa de herramientas de seguridad para contraseñas Specops. Estos ataques pueden ser tanto contra particulares como contra redes corporativas, por lo que algunas de las recomendaciones están dirigidas a los administradores de redes o sitios web de organizaciones. Estos son los 7 tipos de ataques contra contraseñas más comunes y las formas de protegerse de ellos.

Ataque de fuerza bruta

En un ataque de fuerza bruta, los hackers utilizan herramientas automatizadas para probar todas las combinaciones de contraseñas hasta encontrar la correcta. No es el método más sofisticado, pero puede ser muy efectivo, especialmente contra contraseñas débiles o cortas.

Cómo prevenir un ataque de fuerza bruta

• Si administras una red o un sitio web, implementa políticas de bloqueo de cuenta tras un cierto número de intentos fallidos.
• Exige una longitud mínima de contraseña de 20 caracteres o más.
• Utiliza frases en lugar de contraseñas complicadas y difíciles de recordar.

Ataque de diccionario

En un ataque de diccionario, los hackers usan listas de palabras y frases comunes, así como contraseñas filtradas anteriormente, para intentar acceder de manera no autorizada. Esto puede acelerar considerablemente las técnicas de fuerza bruta cuando se combinan en un ataque híbrido.

Cómo prevenir un ataque de diccionario

• Exige políticas de contraseñas seguras que incluyan una mezcla de letras, números y símbolos.
• Implementa diccionarios personalizados para bloquear términos comunes específicos del sector o de la organización.
• Realiza una auditoría de contraseñas para identificar riesgos relacionados con ellas.

Dispersión de contraseñas

Los hackers usan técnicas de dispersión de contraseñas para evitar la detección y eludir las medidas de seguridad de bloqueo de cuenta. ¿En qué consisten? En lugar de hacer múltiples intentos en la misma cuenta, los atacantes utilizan un pequeño conjunto de contraseñas comunes contra muchas cuentas. Al distribuir sus intentos, los ciberdelincuentes pueden pasar desapercibidos para las medidas de seguridad tradicionales.

Cómo prevenir un ataque de dispersión de contraseñas

• Utiliza herramientas con autenticación adaptativa que puedan detectar y responder a patrones de inicio de sesión inusuales.
• Exige el uso de contraseñas únicas y complejas para cada usuario.
• Audita y actualiza regularmente las políticas de contraseñas para estar al tanto de las nuevas amenazas.

Relleno de credenciales

En el relleno de credenciales, los hackers utilizan combinaciones de nombres de usuario y contraseñas filtradas de un servicio para intentar acceder a otros, aprovechando la habitual costumbre de reutilizar credenciales en múltiples cuentas.

Cómo prevenir un ataque de relleno de credenciales

• Educa a los usuarios sobre los peligros de reutilizar la misma contraseña en varias cuentas.
• Fomenta el uso de administradores de contraseñas para facilitar el uso de contraseñas únicas para cada cuenta.

Phishing

Los ataques de phishing pueden llegar a ser muy sofisticados, logrando imitar un servicio o sitio legítimo para engañar a los usuarios y hacer que realicen determinadas acciones o revelen información confidencial. Los hackers utilizan diversos medios para el phishing, siendo los más habituales el correo electrónico y los SMS.

Cómo prevenir un ataque de phishing

• Proporciona regularmente capacitación de concienciación integral a los usuarios.
• Implementa filtros de correo electrónico y configura servidores de correo para detectar y bloquear intentos de phishing.
• Usa etiquetas de correo electrónico para identificar claramente los correos externos.

Ataque con keylogger

Los ataques con keylogger son uno de los tipos más peligrosos de ataques de contraseña. En un ataque con keylogger, un hacker utiliza software o hardware para registrar cada pulsación de tecla que hace un usuario, incluidas las contraseñas o números de tarjetas de crédito. Estos ataques son especialmente dañinos porque pueden capturar incluso las contraseñas más complejas que podrían resistir otras formas de ataque.

Cómo prevenir un ataque con keylogger

• Mantén todos los sistemas actualizados con los últimos parches de seguridad.
• Utiliza software de protección contra malware actualizado en todos los dispositivos.
• Implementa políticas estrictas sobre el uso de dispositivos USB e instalación de software.
• Fomenta el uso de administradores de contraseñas con capacidades de autocompletado que eviten la entrada por teclado.

Ingeniería social

Los ataques de ingeniería social utilizan diversas técnicas para manipular a las personas y hacer que realicen determinadas acciones bajo engaño o revelen información confidencial. Estos ataques a menudo crean un sentido de urgencia o autoridad para presionar a los destinatarios para que actúen rápidamente, sin verificar la legitimidad de la solicitud.

Cómo prevenir un ataque de ingeniería social

• Realiza regularmente capacitación de concienciación en seguridad que incluya situaciones de ingeniería social.
• Implementa procedimientos de verificación estrictos para restablecimientos de contraseñas, especialmente en el servicio de asistencia técnica.
• Evita las preguntas de seguridad, que son especialmente susceptibles a la ingeniería social.
• Crea una cultura de conciencia sobre la seguridad en la que los empleados se sientan cómodos cuestionando solicitudes inusuales.

Prácticas adicionales de seguridad en una organización

• Desplegar la autenticación multifactor (MFA): La autenticación multifactor es una de las mejores formas de mejorar la seguridad y ayuda a mitigar el impacto de contraseñas comprometidas, intentos de ingeniería social y otros tipos de ataques de contraseñas.
• Evitar anotar contraseñas: Animar a los usuarios a utilizar administradores de contraseñas en lugar de notas físicas o post-its.
• Evitar la reutilización de contraseñas: Educar a los usuarios sobre los peligros de reutilizar contraseñas o variaciones simples como cambiar solo un número.
• Revisar si hay contraseñas comprometidas: Reutilizar contraseñas en dispositivos personales, sitios o aplicaciones con poca seguridad puede ponerlas en riesgo de ser comprometidas. Al usar herramientas para escanearlas regularmente en busca de contraseñas comprometidas, pueden detectarse y reducir amenazas potenciales.
• Priorizar la longitud sobre la complejidad: Utilizar contraseñas más largas o frases de paso es una forma efectiva de protegerse contra ataques de contraseñas. Es más importante la longitud que los requisitos de complejidad.