Ataques de fuerza bruta: cómo protegen tus cuentas las defensas por capas
Aprende a diferenciar fuerza bruta, diccionario, password spraying y relleno de credenciales, y protege tus cuentas sin depender de una sola medida.
Un ataque de fuerza bruta intenta adivinar una contraseña realizando numerosos intentos. La idea parece simple, pero sus variantes aprovechan dos hábitos muy reales: elegir claves previsibles y reutilizarlas en varios servicios. La defensa tampoco depende de una única medida.
En esta guía diferenciamos fuerza bruta, ataque de diccionario, password spraying y relleno de credenciales. Después veremos cómo proteger una cuenta y cómo interpretar las alertas sin bloquear a usuarios legítimos.
Qué es un ataque de fuerza bruta
INCIBE define la fuerza bruta como un procedimiento de prueba y error para averiguar una contraseña. La automatización permite probar combinaciones a una velocidad que una persona no podría mantener. Puedes ampliar la definición en la guía de INCIBE sobre ataques contra contraseñas.
La velocidad real depende del escenario. En un inicio de sesión en línea, el servicio puede limitar intentos y detectar patrones. Si un atacante obtiene una base con huellas de contraseñas, puede probar candidatos sin interactuar con la web. Por eso importan tanto las defensas del acceso como el almacenamiento correcto de credenciales.
Cuatro técnicas que suelen confundirse
Fuerza bruta
Prueba muchas combinaciones hasta encontrar una válida. No significa necesariamente recorrer literalmente todas las posibilidades: el atacante puede ordenar los intentos según patrones habituales.
Ataque de diccionario
Utiliza listas de palabras, variaciones y contraseñas comunes. Una clave larga pero previsible, como una frase popular con el año actual, puede seguir siendo un candidato obvio.
Password spraying
Prueba unas pocas contraseñas frecuentes contra muchas cuentas. Así evita generar una ráfaga de fallos sobre un único usuario. Una política que solo mira cada cuenta por separado puede tardar en verlo.
Relleno de credenciales
Prueba pares de usuario y contraseña filtrados en otro servicio. No necesita adivinar la clave si la persona la reutilizó. INCIBE incluye esta técnica entre los ataques para robar o aprovechar contraseñas.
Ejemplo: una alerta de inicios fallidos
Escenario ficticio: una academia observa fallos de acceso desde varias direcciones. Algunas cuentas reciben un intento con la misma contraseña; otras concentran muchos intentos diferentes.
El primer patrón puede encajar con password spraying; el segundo, con adivinación dirigida. La señal no prueba por sí sola quién está detrás. El equipo conserva hora, cuenta, resultado, origen y contexto, y compara los intentos con accesos correctos posteriores.
Si una cuenta logró entrar tras los fallos, no basta con bloquear nuevas pruebas. Hay que revisar sesiones activas, cambios realizados, datos consultados y mecanismos de recuperación. Cambiar la contraseña no expulsa necesariamente todas las sesiones.
Cómo proteger tus cuentas como usuario
- Utiliza una contraseña única por servicio. Un gestor de contraseñas facilita crear y guardar claves largas sin memorizarlas todas.
- Activa MFA. Añade una barrera si la contraseña queda expuesta. Prefiere métodos resistentes al phishing cuando el servicio los ofrezca.
- Revisa avisos y sesiones. No apruebes solicitudes de acceso que no hayas iniciado y cierra dispositivos desconocidos.
- Protege la recuperación. El correo y teléfono usados para recuperar cuentas merecen una defensa igual o mayor.
- Considera passkeys. Cuando estén disponibles, reducen la dependencia de secretos reutilizables. Consulta nuestra guía sobre qué son las passkeys.
Qué debe hacer un servicio
Una web necesita controles combinados. Limitar intentos reduce la automatización, pero un bloqueo rígido permite que cualquiera impida el acceso de otra persona. Es preferible introducir esperas progresivas, observar señales globales y ofrecer recuperación segura.
El MFA no debe convertirse en una sucesión de notificaciones que el usuario termina aceptando por cansancio. Informa con claridad sobre dispositivo, ubicación aproximada y acción solicitada. Ante una aprobación inesperada, la aplicación debe facilitar denunciarla y revisar sesiones.
Las contraseñas deben almacenarse con funciones específicas, sal y parámetros de coste mantenidos. No se guardan en texto claro ni con una codificación reversible. Amplía esta diferencia en cifrado, hash y codificación.
Qué señales conviene vigilar
- muchos usuarios con pocos intentos similares;
- una cuenta con intentos a ritmo anormal;
- accesos correctos tras una serie de fallos;
- cambios de correo, MFA o recuperación poco después del acceso;
- uso de credenciales válidas desde dispositivos o países incompatibles con el historial.
Una dirección IP aislada no identifica de forma fiable a una persona. Redes compartidas, proxys y dispositivos comprometidos pueden distorsionar la señal. La investigación debe combinar contexto y evitar decisiones automáticas desproporcionadas.
Si crees que una contraseña ha sido comprometida
- Entra escribiendo tú mismo la dirección oficial; no uses el enlace del aviso.
- Cambia la contraseña desde un dispositivo confiable y deja de reutilizarla.
- Revisa sesiones, reglas de correo, métodos de recuperación y MFA.
- Comprueba otras cuentas donde hubieras usado la misma clave.
- Conserva los avisos relevantes y contacta con el servicio o con tu organización.
Si hay cargos, exposición de datos o uso empresarial, activa además los procedimientos internos y la ayuda especializada que corresponda.
Preguntas frecuentes
¿Una contraseña larga es invulnerable?
No. Una clave larga y aleatoria mejora la resistencia al intento de adivinación, pero puede ser robada mediante phishing, malware o una filtración. Debe ser única y acompañarse de más controles.
¿Debo cambiar todas mis contraseñas cada mes?
Los cambios rutinarios pueden fomentar variaciones previsibles. Es más importante usar claves únicas y cambiarlas cuando existe compromiso o una indicación justificada.
¿El captcha detiene todos los ataques?
No. Puede elevar el coste de ciertos intentos, pero no soluciona credenciales reutilizadas, sesiones robadas ni almacenamiento inseguro.
Construye una base sólida
Contraseñas, MFA, recuperación y sesiones forman un mismo sistema. El curso gratuito de Fundamentos de ciberseguridad explica cómo razonar sobre estas capas sin depender de recetas mágicas.