¿Qué es un ataque por fuerza bruta y cómo prevenirlo?

El costo de una vulneración de datos es complicado de cuantificar, pero a medida que más y más organizaciones son víctimas de ataques, el impacto financiero potencial se vuelve más evidente. El último informe de costos de filtración de datos de IBM determinó que el costo promedio de una filtración de datos en todo el mundo tendrá un alcance un máximo histórico de $.35 millones en 2022.

A very common threat in this web era is brute force attack. A brute force attack in cyber security is an attempt to find a password by systematically trying all possible combinations of letters, numbers and symbols until you find the right working combination. Passwords aren't the only resource that can be brute-forced: links and directories, usernames and emails are other common targets too.

Tipos de ataque por fuerza bruta:

Comúnmente, hay 5 tipos de ataque por fuerza bruta

En este tipo de ataque por fuerza bruta, los atacantes prueban múltiples contraseñas para apuntar a un conjunto específico de identidades. Aquí, los hackers intentan adivinar manualmente o usan el método de prueba y error, con respecto a las credenciales de inicio de sesión del usuario sin usar ningún software y, por lo tanto, este método requiere mucho tiempo y recursos. Los hackers intentan generar todos los caracteres, números y caracteres especiales posibles. Este método solo es efectivo para contraseñas cortas, pero no sirve para contraseñas un poco más largas.

La pulverización de contraseñas es una forma de ataque de fuerza bruta inversa en la que el atacante de fuerza bruta inicia sesión en la aplicación en función de una lista de nombres de usuario con contraseñas predeterminadas. Este ataque normalmente se usa en áreas donde el administrador establece una contraseña predeterminada para los nuevos usuarios. Normalmente, los atacantes intentan adivinar las contraseñas. Sin embargo, a diferencia de un ataque de fuerza bruta, que se centra en una sola cuenta, en este caso, los ataques de pulverización de contraseñas se dirigen a varias cuentas a la vez. Aquí, los atacantes obtienen acceso a una gran cantidad de cuentas (nombres de usuario) con algunas contraseñas comunes.

Por el nombre en sí, es obvio: básicamente se utiliza una gran cantidad de frases o términos populares predefinidos que normalmente se encuentran en un diccionario. En general, una buena lista de contraseñas puede mejorar la tasa de éxito de los atacantes, pero aquí a menudo requieren múltiples intentos contra objetivos potenciales. El inconveniente de este tipo de ataque es que requiere mucho tiempo y tiene una probabilidad baja en comparación con los métodos de ataque más nuevos y potentes.

En este tipo de ataque, los hackers informáticos combinan un método de ataque de diccionario con un simple ataque de fuerza bruta. Los hackers informáticos normalmente conocen el nombre de usuario, por lo que realizan un ataque de diccionario y métodos simples de fuerza bruta para encontrar la combinación de inicio de sesión de la cuenta. Este procedimiento consiste en elegir palabras comunes de un diccionario y reemplazarlas con números o caracteres aleatorios. Este enfoque combinado es más efectivo.

Un ataque de "relleno" de credenciales implica la reutilización de contraseñas que han sido robadas o expuestas de otro modo por los ciberdelincuentes y que se utilizan en los campos de inicio de sesión de varios sitios web. Este ataque tiene éxito cuando los usuarios usan la misma combinación de nombre de usuario y contraseña o reutilizan contraseñas para diferentes perfiles y cuentas de redes sociales. Las credenciales robadas se venden e intercambian entre ciberdelincuentes en la web oscura.

Un atacante siempre puede encontrar la contraseña mediante un ataque de fuerza bruta. Según la longitud y la complejidad de la contraseña, puede haber billones de combinaciones posibles y, por lo tanto, puede llevar años descifrar las contraseñas de destino.

Cómo prevenir un ataque de fuerza bruta:

El éxito de un ataque de fuerza bruta se calcula en relación con el tiempo necesario para descifrar con éxito una contraseña. A medida que aumenta la longitud de la contraseña, el tiempo necesario para descifrarla también aumenta exponencialmente. Se estima que 15 millones de empresas clave necesitarían 9 minutos por segundo para descifrar una contraseña de siete dígitos. Una contraseña de 13 dígitos tomaría más de 350.000 años.