¿Qué es un ataque de fuerza bruta?
Un ataque de fuerza bruta es el intento automatizado de adivinar una contraseña o una clave probando muchas combinaciones hasta que una funciona. Hoy casi nunca es adivinación a ciegas: el atacante usa listas de contraseñas ya filtradas de otros sitios y las dispara por miles por segundo contra las cuentas de la empresa. Es la vía de entrada más común, porque explota el eslabón más débil de todos, la contraseña reutilizada.
Cómo funciona un ataque de fuerza bruta
La fuerza bruta no es un genio descifrando un código; es volumen y automatización. Los bots prueban combinaciones sin descanso, y basta con que una funcione. Cuando la contraseña de la cuenta ya circula en una lista filtrada, el ataque deja de ser un intento y se vuelve casi una consulta.
Descubrir el objetivo
El nombre de usuario suele ser público: un correo corporativo con el patrón nombre.apellido, un inicio de sesión expuesto. La mitad del trabajo ya viene hecha, porque solo falta la contraseña.
Reunir la munición
En vez de empezar de cero, el atacante compra o descarga listas de contraseñas filtradas en otras brechas y diccionarios de contraseñas comunes. Miles de millones de credenciales circulan a la venta, listas para reusar.
Automatizar los intentos
Los programas disparan miles de combinaciones por segundo, repartidas entre muchas direcciones para no llamar la atención. Lo que a una persona le llevaría siglos, una máquina lo hace en minutos.
Entrar y moverse
Una contraseña correcta abre la cuenta, y desde ahí el atacante busca acceso a más sistemas. Un solo acierto en un inicio de sesión sin protección puede volverse la puerta de entrada de toda la empresa.
Fuente: OWASP y el Data Breach Investigations Report 2025 de Verizon.
Señales de que la empresa está bajo fuerza bruta
- Un salto en la cantidad de intentos de inicio de sesión fallidos, muy por encima de lo normal del día a día.
- Cuentas que se bloquean en serie por exceso de errores de contraseña, sin que los usuarios se hayan equivocado.
- Accesos, o intentos, que vienen de países y horarios que no tienen sentido para la operación.
- Alertas de “viaje imposible”: la misma cuenta accedida desde dos lugares distantes en pocos minutos.
- Una cuenta específica golpeada una y otra vez, señal de que el objetivo ya fue elegido.
Las variaciones del ataque de fuerza bruta
- Fuerza bruta simple Prueba combinaciones de contraseña una por una. Funciona contra contraseñas cortas y obvias; contra una larga y única, es inviable por el tiempo que llevaría.
- Ataque de diccionario En vez de cualquier combinación, prueba una lista de contraseñas probables: las más comunes, palabras del idioma, nombres y fechas. Apunta al hábito humano de elegir contraseñas fáciles.
- Credential stuffing La forma más común hoy. Usa pares de usuario y contraseña ya filtrados de un sitio para intentar entrar en otros, apostando a que la persona reutilizó la misma contraseña. No rompe nada; solo reaprovecha lo que ya se filtró.
- Password spraying Prueba una contraseña muy común contra muchas cuentas a la vez, en vez de muchas contraseñas contra una cuenta. Así evita el bloqueo por intentos y pasa desapercibido.
- Fuerza bruta inversa Parte de una contraseña conocida (de una filtración) y busca en qué cuenta funciona. Invierte la lógica: la contraseña es la pista, el usuario es el objetivo.
Lo que está en juego para el negocio
El ataque de fuerza bruta importa porque apunta a la cerradura más usada de la empresa: la contraseña. Y los números muestran por qué funciona tanto. El abuso de credenciales robadas ya es el vector de entrada nº 1, presente en el 22% de todas las brechas (Verizon DBIR 2025), y el 88% de los ataques a aplicaciones web básicas usaron credenciales robadas en lugar de fuerza bruta a ciegas. La causa es conocida: las personas reutilizan contraseñas, así que la contraseña filtrada de cualquier sitio de compras se vuelve la llave del correo corporativo. Cuando uno de esos intentos acierta, el costo no es abstracto: una brecha de datos cuesta, en promedio, US$ 4,44 millones en el mundo (IBM, 2025). La buena noticia es que la defensa más eficaz es barata: Microsoft señala que el 99,9% de las cuentas comprometidas no tenían autenticación multifactor, el freno que por sí solo cierra la mayor parte de estas puertas.
Cómo protegerse de los ataques de fuerza bruta
No existe contraseña lo bastante larga para vencer sola a un atacante paciente con una máquina. La defensa es sumar capas que vuelven caro el intento e inútil el acierto:
- Active la autenticación multifactor (MFA) en todoEs la defensa aislada más eficaz. Aun si la contraseña se filtra y el atacante acierta, el segundo factor (una app o una llave) frena la entrada. Prefiera una app de autenticación o una llave física, no SMS.
- Limite y bloquee los intentosBloquee la cuenta o imponga una espera tras pocos errores de contraseña, y reduzca el ritmo de intentos por dirección. Eso mata la fuerza bruta simple y el diccionario, que dependen del volumen.
- Exija contraseñas únicas y largas, con un gestorUna contraseña por servicio, generada y guardada por un gestor, rompe el credential stuffing: la contraseña filtrada de un sitio no abre ningún otro. Bloquee también las contraseñas que ya se saben filtradas.
- Aplique el privilegio mínimoSi una contraseña se compromete, no puede abrir todo. Dar a cada cuenta solo el acceso que necesita limita el daño de un acierto y contiene al atacante antes de que se extienda.
- Vigile y detecte lo anómaloSiga los picos de inicios de sesión fallidos, los bloqueos en serie y los accesos desde lugares improbables. Detectar el patrón del ataque en curso permite cortar el acceso antes de que un intento acierte.
En la práctica
¿La misma contraseña que un empleado usó hace años en cualquier sitio de compras todavía protege hoy el correo de la empresa? Si la respuesta es sí, o si nadie lo sabe, el atacante no necesita romper nada: solo reutiliza lo que ya se filtró. La autenticación multifactor y una contraseña única por servicio convierten ese acierto fácil en un callejón sin salida.
Cómo Zamak cierra las puertas de la fuerza bruta
Zamak Technologies trabaja junto a su equipo, no en su lugar, para quitarle a la fuerza bruta lo que la hace funcionar: activa y exige la autenticación multifactor, aplica el privilegio mínimo para que una contraseña robada no abra todo el entorno y vigila los intentos de acceso anómalos, cortando el ataque antes del acierto. En lugar de esperar que nadie reutilice contraseñas, su empresa pasa a tener la puerta cerrada por defecto. Es parte de la Ciberseguridad gestionada del Método Zamak, y un buen punto de partida es el diagnóstico de ciberseguridad.