Ciberseguridad
Qué es el «password spraying», el método que usan los ciberdelincuentes para robar contraseñas
También conocido en castellano como ataque de pulverización de contraseñas, se vale del uso de un gran número de claves robadas para probarlas en una serie de cuentas de usuarios
La Policía alerta sobre llamadas fraudulentas, un nuevo caso de «vishing»
Las contraseñas que usamos para nuestras cuentas en Internet son un elemento de vital importancia para preservar nuestra información sin que nadie que no seamos nosotros mismos acceda a ella. Los ciberdelincuentes siempre están a la caza y captura de nuevas formas de sortear los límites y sistemas de seguridad existentes, por lo que debemos tener cuidado y asegurarnos de que nuestras claves son lo más seguras posible.
Por eso mismo, el Instituto Nacional de Ciberseguridad de España (INCIBE) ha explicado diferentes métodos que emplean estos piratas informáticos para robarnos nuestras contraseñas y así acceder a todos nuestros datos y cuentas en la red. Entre ellos destaca últimamente uno conocido como «password spraying» (ataque de pulverización de contraseñas).
Consiste en el uso de un gran número de contraseñas robadas (de alguna brecha de seguridad) en un grupo de cuentas (por ejemplo, las de correo web de empleados de una empresa) para ver si puede obtener acceso. También pueden emplear una lista de claves que se encuentran entre las más comunes para ir probando si alguna funciona.
El prodimiento que llevan a cabo los atacantes es mecánico: se toma una de las posibles contraseñas y se va probando la misma en la lista de cuentas de usuarios que se ha elaborado previamente para ver si en alguna de ellas es válida. Este mecanismo se va repitiendo con cada una de las claves y cuentas.
Además, este método se vale de programas que pueden limitar el número de intentos de acceso a una cuenta para no hacer saltar las alertas y que no se detecte a los ciberdelincuentes.
¿Cómo podemos evitar estos ataques?
Para protegernos ante posibles ataques de pulverización de constraseñas podemos emplear herramientas que garanticen la seguridad de las mismas, como las de los protocolos LDAP, Active Directory o servicios externos que obligan al cumplimiento de ciertos requisitos como los siguientes:
— Períodos de validez para las contraseñas
— Posibilidad de reutilización de contraseñas ya usadas
— Formato de la contraseña (longitud mínima, tipos de caracteres que deben incluir, cumplimiento de reglas semánticas)
— Posibilidad de elección y modificación de la contraseña por parte del usuario
— Almacenamiento de las claves (tamaño del histórico de contraseñas a almacenar para cada usuario y método de cifrado de las mismas)
— Número de intentos de autenticación permitidos
Noticias relacionadas
