Ataque de Fuerza Bruta

Cómo Funciona Ataque de Fuerza Bruta

Los ataques de fuerza bruta dependen del poder computacional en lugar de la inteligencia. El atacante automatiza intentos de inicio de sesión contra un objetivo, iterando a través de combinaciones hasta que la autenticación tiene éxito. Las variantes incluyen ataques de diccionario (usando contraseñas comunes), credential stuffing (usando credenciales filtradas) y fuerza bruta inversa (probando una contraseña contra muchos nombres de usuario).

Ejemplos Reales

Impacto y Evaluación de Riesgo

Los ataques de fuerza bruta exitosos conducen a acceso no autorizado a cuentas, robo de datos, fraude financiero y pueden servir como punto de entrada inicial para brechas mayores. A escala, los intentos de fuerza bruta consumen recursos del servidor y pueden causar denegación de servicio. Las cuentas comprometidas en entornos empresariales permiten el movimiento lateral y la escalación de privilegios. Las consecuencias regulatorias incluyen multas del GDPR por controles de acceso inadecuados.

Cómo Detectar Ataque de Fuerza Bruta

Monitorear los logs de autenticación en busca de altos volúmenes de intentos de inicio de sesión fallidos desde IPs individuales o contra cuentas individuales. Alertar sobre intentos de inicio de sesión desde ubicaciones geográficamente imposibles. Rastrear la relación de inicios de sesión fallidos a exitosos. Vigilar ataques distribuidos que muestran patrones a través de múltiples cuentas. Implementar activación de CAPTCHA después de fallos consecutivos. Usar análisis de WAF para identificar patrones de solicitudes automatizadas (temporización consistente, ausencia de huellas digitales del navegador).

Cómo Prevenir Ataque de Fuerza Bruta

Implementar limitación de velocidad progresiva en los endpoints de inicio de sesión (retroceso exponencial después de fallos). Desplegar políticas de bloqueo de cuentas con desbloqueo automático después de un período de enfriamiento. Requerir CAPTCHA después de 3-5 intentos fallidos. Aplicar políticas de contraseñas fuertes (mínimo 12 caracteres, requisitos de complejidad). Habilitar autenticación multifactor (MFA) — esto por sí solo neutraliza la mayoría de los ataques de fuerza bruta. Usar bcrypt/argon2 para el hashing de contraseñas para ralentizar los ataques offline. Desplegar un WAF con detección de bots para bloquear herramientas automatizadas de inicio de sesión.

Ejemplos de Código

from flask import Flask
from flask_limiter import Limiter
from flask_limiter.util import get_remote_address

app = Flask(__name__)
limiter = Limiter(get_remote_address, app=app)

@app.route('/login', methods=['POST'])
@limiter.limit('5 per minute')  # Max 5 attempts per IP per minute
def login():
    # Authentication logic here
    pass

const MAX_ATTEMPTS = 5;
const LOCKOUT_MINUTES = [1, 5, 15, 60]; // Progressive lockout

async function handleLogin(username, password) {
  const attempts = await getFailedAttempts(username);

  if (attempts.count >= MAX_ATTEMPTS) {
    const lockIndex = Math.min(attempts.lockouts, LOCKOUT_MINUTES.length - 1);
    const lockUntil = attempts.lastFail + LOCKOUT_MINUTES[lockIndex] * 60000;
    if (Date.now() < lockUntil) {
      throw new Error('Account temporarily locked. Try again later.');
    }
  }

  const valid = await verifyCredentials(username, password);
  if (!valid) {
    await incrementFailedAttempts(username);
    throw new Error('Invalid credentials');
  }
  await resetFailedAttempts(username);
  return createSession(username);
}

Preguntas Frecuentes

Ataques Relacionados