Enumeración de cuentas.

Ataque que abusa de las respuestas de una aplicación para determinar qué cuentas, correos o teléfonos existen en el sistema objetivo. Pertenece a la categoría de Identidad y acceso en ciberseguridad.

Ataque que abusa de las respuestas de una aplicación para determinar qué cuentas, correos o teléfonos existen en el sistema objetivo.

La enumeración de cuentas explota diferencias en cómo se comporta la aplicación cuando una cuenta existe frente a cuando no —mensajes de error distintos en login, registro o recuperación, variaciones de tiempo, códigos HTTP diferentes—. Probando muchos identificadores candidatos, el atacante obtiene una lista de cuentas válidas que después puede atacar por phishing, credential stuffing o password spraying. La vulnerabilidad es habitual en formularios de inicio de sesión ('usuario desconocido' frente a 'contraseña incorrecta'), recuperación de contraseña ('revise su correo' frente a 'cuenta no encontrada') y registro ('el correo ya está registrado'). Las defensas incluyen mensajes de error uniformes, respuestas en tiempo constante, notificaciones genéricas, rate limiting por IP y cuenta, CAPTCHA ante abuso y MFA para mitigar ataques posteriores.

Las defensas contra Enumeración de cuentas combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: Enumeración de usuarios, Enumeración de identificadores.