--- id: CP-038 slug: ataque-fuerza-bruta-gpu-asic lang: es title: Ataque de fuerza bruta y potencia de cálculo description: Cómo un atacante prueba miles de contraseñas, en línea o sobre una base de datos robada, y qué ve y qué puede hacer el empleado. canonical_url: https://startbrain.io/cyberpedia/es/articles/ataque-fuerza-bruta-gpu-asic/ markdown_url: https://startbrain.io/cyberpedia/es/articles/ataque-fuerza-bruta-gpu-asic.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Ataque de fuerza bruta y potencia de cálculo», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/ataque-fuerza-bruta-gpu-asic/ (CC BY 4.0) wing: 1 theme: master_passwords reflex: cr-010 schema: G3 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/ataque-fuerza-bruta-gpu-asic/ fr: https://startbrain.io/cyberpedia/fr/articles/attaque-force-brute-gpu-asic/ en: https://startbrain.io/cyberpedia/en/articles/brute-force-attack-gpu-asic/ de: https://startbrain.io/cyberpedia/de/articles/brute-force-angriff-gpu-asic/ it: https://startbrain.io/cyberpedia/it/articles/attacco-forza-bruta-gpu-asic/ sources: - "n": 1 title: Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/ accessed: "2026-11-03" - "n": 2 title: "Brute Force: Password Cracking, Sub-technique T1110.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/002/ accessed: "2026-11-03" - "n": 3 title: Pourquoi et comment bien gérer ses mots de passe ? - Assistance aux victimes de cybermalveillance publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe published: "2019-11-23" accessed: "2026-11-03" - "n": 4 title: "Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/004/ accessed: "2026-11-03" - "n": 5 title: "Brute Force: Password Spraying, Sub-technique T1110.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/003/ accessed: "2026-11-03" - "n": 6 title: "Brute Force: Password Guessing, Sub-technique T1110.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/001/ accessed: "2026-11-03" - "n": 7 title: SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a published: "2024-02-26" accessed: "2026-11-03" - "n": 8 title: NIST Special Publication 800-63B publisher: NIST url: https://pages.nist.gov/800-63-3/sp800-63b.html accessed: "2026-11-03" --- # Ataque de fuerza bruta y potencia de cálculo Un ataque de fuerza bruta consiste en probar contraseñas una tras otra hasta dar con la correcta. Se dirige contra cuentas cuya contraseña el atacante desconoce, o contra huellas de contraseñas (hashes) que ha obtenido [1]. Para un empleado, una contraseña corta o habitual cae rápido, tanto si el ataque apunta a la página de inicio de sesión de la empresa como a una base de datos robada. ## En 30 segundos - Dónde ocurre: en un servicio de inicio de sesión (correo, VPN, acceso remoto), o sin conexión, sobre hashes de contraseñas ya robados [1]. - Lo que busca el atacante: obtener una contraseña en claro, utilizable para entrar en todos los sistemas a los que da acceso la cuenta [2]. - El reflejo: una contraseña larga y única para cada servicio, guardada en un gestor de contraseñas, con doble autenticación cuando exista [3]. - Si ya ha ocurrido: cambiar la contraseña de inmediato ante la menor sospecha [3]. ## Preguntas directas ### ¿Qué es un ataque de fuerza bruta? Es la búsqueda sistemática, mediante un mecanismo repetitivo, de una contraseña desconocida [1]. Se realiza consultando un servicio que verifica las credenciales o sin conexión, contra datos ya robados, como los hashes [1]. Cybermalveillance.gouv.fr precisa que estos ataques, ejecutados por ordenadores, pueden probar decenas de miles de combinaciones por segundo [3]. ### ¿Qué diferencia hay entre un ataque en línea y uno sin conexión? En línea, el atacante pasa por el servicio de inicio de sesión, que puede contar los fallos y bloquear. Sin conexión, ya dispone de los hashes y trabaja casi siempre en sus propias máquinas, fuera de la red de la víctima [2]. ### ¿Está en peligro mi contraseña si han atacado otro sitio web? Sí, si la reutiliza. Cuando se compromete un sitio, a veces se publican grandes cantidades de pares de usuario y contraseña. El atacante los prueba en otras cuentas, contando con la tendencia a reutilizar la misma contraseña en la vida privada y en el trabajo [4]. ### ¿Basta con una regla de bloqueo? No. El password spraying evita el bloqueo: el atacante prueba una sola contraseña habitual, o una lista corta, en muchas cuentas, para esquivar los bloqueos que afectarían a una cuenta sometida a muchos intentos [5]. Además, un bloqueo demasiado estricto puede bloquear todas las cuentas atacadas e inutilizar el entorno [1]. ## En la piel del atacante El atacante elige su método según lo que posee. Si no tiene nada, adivina: prueba una lista de contraseñas habituales, tenga o no en cuenta la política de complejidad del objetivo [6]. Esta opción es arriesgada para él, porque puede provocar numerosos fallos y bloqueos [6]. Con una lista de credenciales procedentes de una filtración, pasa al credential stuffing [4]. Con una sola contraseña habitual probada en muchas cuentas, se trata de password spraying [5]. Con hashes, descifra las contraseñas sin conexión, mediante búsqueda sistemática o con una tabla precalculada llamada tabla arcoíris [2]. Los servicios atacados suelen ser de administración, en puertos habituales: SSH, RDP, SMB o LDAP, por ejemplo [5]. También lo son las aplicaciones en la nube y el correo expuesto en Internet, como Office 365 [6]. Un atacante también puede adaptar su entorno. Si encuentra la contraseña correcta pero se lo impiden reglas de acceso basadas en la ubicación, puede cambiar de infraestructura hasta coincidir con la ubicación de la víctima [1]. ## Lo que ve en la pantalla La víctima de un ataque en línea ve sobre todo efectos indirectos: una regla de bloqueo puede bloquear su cuenta [1]. En los registros, los fallos de inicio de sesión SMB generan el evento 4625 de Windows; los intentos LDAP y Kerberos lo generan con menos frecuencia [6]. La señal clásica para los equipos de seguridad es un gran número de fallos seguido de un acierto, desde un usuario, una máquina o un horario sospechosos [1]. El password spraying se detecta por intentos repartidos entre muchas cuentas en un intervalo corto [1]. Otra señal: solicitudes de validación de la doble autenticación que usted no ha iniciado. CISA describe la técnica del «MFA bombing» o «MFA fatigue», en la que el atacante envía solicitudes al dispositivo de la víctima hasta que esta acepta [7]. Tras un ataque sin conexión, la señal visible es un inicio de sesión válido y repentino desde una cuenta cuyos hashes habían sido robados [2]. ## Bajo el capó Normalmente una contraseña no se guarda en claro, sino en forma de hash. La página citada es la revisión SP 800-63-3 de NIST, sustituida por la SP 800-63-4 desde el 1 de agosto de 2025 [8]. Esa revisión pedía que las contraseñas se salaran y se procesaran con una función de derivación de claves adecuada [8]. Esa función recibe la contraseña, una sal y un factor de coste, y produce el hash [8]. La sal debe tener al menos 32 bits y elegirse de forma arbitraria para limitar las colisiones entre hashes almacenados [8]. El objetivo de este diseño es encarecer cada intento del atacante y, con ello, todo el ataque, hasta hacerlo prohibitivo [8]. En PBKDF2, el coste es un número de iteraciones: cuanto mayor es, más tarda en calcularse el hash, y NIST recomendaba un número de iteraciones tan alto como permitiera el servidor, normalmente de al menos 10 000 [8]. NIST recomendaba también una función de memoria intensiva, que aumenta el coste de un ataque [8]. La potencia de cálculo influye en ese coste. NIST señalaba que los atacantes pueden calcular varios miles de millones de hashes por segundo sin limitación de frecuencia, lo que exigía contraseñas varios órdenes de magnitud más complejas que las que solo deben resistir ataques en línea [8]. Las fuentes consultadas no detallan el papel de las unidades de procesamiento gráfico (GPU) ni de los circuitos ASIC. MITRE solo menciona, entre las señales de un descifrado de hashes, el uso de herramientas como John the Ripper o Hashcat con una fuerte carga del procesador o una llamada a la GPU [2]. En línea, esa revisión imponía limitar los fallos consecutivos en una cuenta a 100 como máximo, y sugería alargar la espera a medida que se acerca el tope (de 30 segundos a una hora) o exigir un CAPTCHA [8]. En cuanto a las contraseñas, fijaba un mínimo de 8 caracteres y pedía rechazar las que figuraran en una lista de valores comprometidos [8]. Cybermalveillance.gouv.fr recomienda al menos 12 caracteres que combinen mayúsculas, minúsculas, cifras y caracteres especiales [3]. ## Autopsias ### Febrero de 2024: el aviso de CISA sobre el grupo APT29 El 26 de febrero de 2024, CISA publica el aviso AA24-057A junto con el NCSC británico y otros socios. Describe los métodos del grupo APT29, también llamado Midnight Blizzard, que estas agencias consideran casi con certeza vinculado al SVR, el servicio de inteligencia ruso [7]. Los métodos descritos se observaron durante los últimos 12 meses [7]. Campañas anteriores lograron, mediante fuerza bruta y password spraying, acceder a cuentas de servicio [7]. Estas cuentas no tienen un usuario humano, por lo que se protegen mal con doble autenticación, y a menudo tienen muchos privilegios [7]. El grupo también atacó cuentas inactivas de antiguos empleados [7]. Utilizó proxies residenciales para que sus conexiones se parecieran a las de usuarios corrientes [7]. ### 2016: un ataque contra la red eléctrica ucraniana En el ataque de 2016 contra la red eléctrica ucraniana, Sandworm Team utilizó un script para intentar una autenticación RPC contra varias máquinas [1]. ### 2025: ataques de borrado en Polonia Durante los ataques de 2025 en Polonia, cuyo objetivo era borrar datos, los atacantes intentaron descifrar contraseñas de usuarios [2]. ### Abril de 2026: un informe sobre una intrusión asistida por IA en México MITRE cita una intrusión contra la infraestructura del gobierno mexicano, documentada en abril de 2026. El atacante encargó a Claude Code intentar inicios de sesión SSH por fuerza bruta [1] y descifrar hashes de contraseñas de bases de datos de las organizaciones víctimas [2]. ## Fuentes 1. MITRE ATT&CK, «Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/ (consultado el 3 de noviembre de 2026) 2. MITRE ATT&CK, «Brute Force: Password Cracking, Sub-technique T1110.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/002/ (consultado el 3 de noviembre de 2026) 3. Cybermalveillance.gouv.fr, «Pourquoi et comment bien gérer ses mots de passe ? - Assistance aux victimes de cybermalveillance», 23 de noviembre de 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (consultado el 3 de noviembre de 2026) 4. MITRE ATT&CK, «Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/004/ (consultado el 3 de noviembre de 2026) 5. MITRE ATT&CK, «Brute Force: Password Spraying, Sub-technique T1110.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/003/ (consultado el 3 de noviembre de 2026) 6. MITRE ATT&CK, «Brute Force: Password Guessing, Sub-technique T1110.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/001/ (consultado el 3 de noviembre de 2026) 7. CISA, «SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA», 26 de febrero de 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (consultado el 3 de noviembre de 2026) 8. NIST, «NIST Special Publication 800-63B». https://pages.nist.gov/800-63-3/sp800-63b.html (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/ataque-fuerza-bruta-gpu-asic/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.