Ataque de fuerza bruta y potencia de cálculo
Cómo un atacante prueba miles de contraseñas, en línea o sobre una base de datos robada, y qué ve y qué puede hacer el empleado.
En 30 segundos
- Dónde ocurre
- En un servicio de inicio de sesión (correo, VPN, acceso remoto), o sin conexión, sobre hashes de contraseñas ya robados1.
- Lo que busca el atacante
- Obtener una contraseña en claro, utilizable para entrar en todos los sistemas a los que da acceso la cuenta2.
- El reflejo
- Una contraseña larga y única para cada servicio, guardada en un gestor de contraseñas, con doble autenticación cuando exista3.
- Si ya ha ocurrido
- Cambiar la contraseña de inmediato ante la menor sospecha3.
De qué se trata
Un ataque de fuerza bruta consiste en probar contraseñas una tras otra hasta dar con la correcta. Se dirige contra cuentas cuya contraseña el atacante desconoce, o contra huellas de contraseñas (hashes) que ha obtenido1.
Para un empleado, una contraseña corta o habitual cae rápido, tanto si el ataque apunta a la página de inicio de sesión de la empresa como a una base de datos robada.
Preguntas directas
¿Qué es un ataque de fuerza bruta?
Es la búsqueda sistemática, mediante un mecanismo repetitivo, de una contraseña desconocida1. Se realiza consultando un servicio que verifica las credenciales o sin conexión, contra datos ya robados, como los hashes1. Cybermalveillance.gouv.fr precisa que estos ataques, ejecutados por ordenadores, pueden probar decenas de miles de combinaciones por segundo3.
¿Qué diferencia hay entre un ataque en línea y uno sin conexión?
En línea, el atacante pasa por el servicio de inicio de sesión, que puede contar los fallos y bloquear. Sin conexión, ya dispone de los hashes y trabaja casi siempre en sus propias máquinas, fuera de la red de la víctima2.
¿Está en peligro mi contraseña si han atacado otro sitio web?
Sí, si la reutiliza. Cuando se compromete un sitio, a veces se publican grandes cantidades de pares de usuario y contraseña. El atacante los prueba en otras cuentas, contando con la tendencia a reutilizar la misma contraseña en la vida privada y en el trabajo4.
¿Basta con una regla de bloqueo?
No. El password spraying evita el bloqueo: el atacante prueba una sola contraseña habitual, o una lista corta, en muchas cuentas, para esquivar los bloqueos que afectarían a una cuenta sometida a muchos intentos5. Además, un bloqueo demasiado estricto puede bloquear todas las cuentas atacadas e inutilizar el entorno1.
1En la piel del atacante1 min
El atacante elige su método según lo que posee. Si no tiene nada, adivina: prueba una lista de contraseñas habituales, tenga o no en cuenta la política de complejidad del objetivo6. Esta opción es arriesgada para él, porque puede provocar numerosos fallos y bloqueos6.
Con una lista de credenciales procedentes de una filtración, pasa al credential stuffing4. Con una sola contraseña habitual probada en muchas cuentas, se trata de password spraying5. Con hashes, descifra las contraseñas sin conexión, mediante búsqueda sistemática o con una tabla precalculada llamada tabla arcoíris2.
Los servicios atacados suelen ser de administración, en puertos habituales: SSH, RDP, SMB o LDAP, por ejemplo5. También lo son las aplicaciones en la nube y el correo expuesto en Internet, como Office 3656.
Un atacante también puede adaptar su entorno. Si encuentra la contraseña correcta pero se lo impiden reglas de acceso basadas en la ubicación, puede cambiar de infraestructura hasta coincidir con la ubicación de la víctima1.
2Lo que ve en la pantalla1 min
La víctima de un ataque en línea ve sobre todo efectos indirectos: una regla de bloqueo puede bloquear su cuenta1. En los registros, los fallos de inicio de sesión SMB generan el evento 4625 de Windows; los intentos LDAP y Kerberos lo generan con menos frecuencia6.
La señal clásica para los equipos de seguridad es un gran número de fallos seguido de un acierto, desde un usuario, una máquina o un horario sospechosos1. El password spraying se detecta por intentos repartidos entre muchas cuentas en un intervalo corto1.
Otra señal: solicitudes de validación de la doble autenticación que usted no ha iniciado. CISA describe la técnica del «MFA bombing» o «MFA fatigue», en la que el atacante envía solicitudes al dispositivo de la víctima hasta que esta acepta7.
Tras un ataque sin conexión, la señal visible es un inicio de sesión válido y repentino desde una cuenta cuyos hashes habían sido robados2.
3Bajo el capóEquipos de TI2 min
Normalmente una contraseña no se guarda en claro, sino en forma de hash. La página citada es la revisión SP 800-63-3 de NIST, sustituida por la SP 800-63-4 desde el 1 de agosto de 20258. Esa revisión pedía que las contraseñas se salaran y se procesaran con una función de derivación de claves adecuada8. Esa función recibe la contraseña, una sal y un factor de coste, y produce el hash8. La sal debe tener al menos 32 bits y elegirse de forma arbitraria para limitar las colisiones entre hashes almacenados8.
El objetivo de este diseño es encarecer cada intento del atacante y, con ello, todo el ataque, hasta hacerlo prohibitivo8. En PBKDF2, el coste es un número de iteraciones: cuanto mayor es, más tarda en calcularse el hash, y NIST recomendaba un número de iteraciones tan alto como permitiera el servidor, normalmente de al menos 10 0008. NIST recomendaba también una función de memoria intensiva, que aumenta el coste de un ataque8.
La potencia de cálculo influye en ese coste. NIST señalaba que los atacantes pueden calcular varios miles de millones de hashes por segundo sin limitación de frecuencia, lo que exigía contraseñas varios órdenes de magnitud más complejas que las que solo deben resistir ataques en línea8. Las fuentes consultadas no detallan el papel de las unidades de procesamiento gráfico (GPU) ni de los circuitos ASIC. MITRE solo menciona, entre las señales de un descifrado de hashes, el uso de herramientas como John the Ripper o Hashcat con una fuerte carga del procesador o una llamada a la GPU2.
En línea, esa revisión imponía limitar los fallos consecutivos en una cuenta a 100 como máximo, y sugería alargar la espera a medida que se acerca el tope (de 30 segundos a una hora) o exigir un CAPTCHA8. En cuanto a las contraseñas, fijaba un mínimo de 8 caracteres y pedía rechazar las que figuraran en una lista de valores comprometidos8. Cybermalveillance.gouv.fr recomienda al menos 12 caracteres que combinen mayúsculas, minúsculas, cifras y caracteres especiales3.
4AutopsiasCasos reales2 min
Febrero de 2024: el aviso de CISA sobre el grupo APT29
El 26 de febrero de 2024, CISA publica el aviso AA24-057A junto con el NCSC británico y otros socios. Describe los métodos del grupo APT29, también llamado Midnight Blizzard, que estas agencias consideran casi con certeza vinculado al SVR, el servicio de inteligencia ruso7. Los métodos descritos se observaron durante los últimos 12 meses7.
Campañas anteriores lograron, mediante fuerza bruta y password spraying, acceder a cuentas de servicio7. Estas cuentas no tienen un usuario humano, por lo que se protegen mal con doble autenticación, y a menudo tienen muchos privilegios7. El grupo también atacó cuentas inactivas de antiguos empleados7. Utilizó proxies residenciales para que sus conexiones se parecieran a las de usuarios corrientes7.
2016: un ataque contra la red eléctrica ucraniana
En el ataque de 2016 contra la red eléctrica ucraniana, Sandworm Team utilizó un script para intentar una autenticación RPC contra varias máquinas1.
2025: ataques de borrado en Polonia
Durante los ataques de 2025 en Polonia, cuyo objetivo era borrar datos, los atacantes intentaron descifrar contraseñas de usuarios2.
Abril de 2026: un informe sobre una intrusión asistida por IA en México
MITRE cita una intrusión contra la infraestructura del gobierno mexicano, documentada en abril de 2026. El atacante encargó a Claude Code intentar inicios de sesión SSH por fuerza bruta1 y descifrar hashes de contraseñas de bases de datos de las organizaciones víctimas2.
Ficha
- Identificador
- CP-038
- Ala
- 1. Ataques y técnicas
- Competencia Brain
- Dominar las contraseñas (master_passwords)
- Reflejo Brain
- cr-010
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr
- Fuentes
- 8 fuentes verificadas el 3 de noviembre de 2026
Fuentes8 fuentes
- MITRE ATT&CK, «Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Brute Force: Password Cracking, Sub-technique T1110.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/002/ (consultado el 3 de noviembre de 2026)
- Cybermalveillance.gouv.fr, «Pourquoi et comment bien gérer ses mots de passe ? - Assistance aux victimes de cybermalveillance», 23 de noviembre de 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/004/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Brute Force: Password Spraying, Sub-technique T1110.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/003/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Brute Force: Password Guessing, Sub-technique T1110.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/001/ (consultado el 3 de noviembre de 2026)
- CISA, «SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA», 26 de febrero de 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (consultado el 3 de noviembre de 2026)
- NIST, «NIST Special Publication 800-63B». https://pages.nist.gov/800-63-3/sp800-63b.html (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «Ataque de fuerza bruta y potencia de cálculo», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp038_es_2026,
author = {Brain},
title = {Ataque de fuerza bruta y potencia de cálculo},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/ataque-fuerza-bruta-gpu-asic/},
note = {CC BY 4.0}
}