Ataque por diccionario.

Un ataque por diccionario reduce el espacio de búsqueda al probar solo candidatos plausibles: palabras comunes, nombres, fechas, contraseñas filtradas y mutaciones por reglas ("Password" → "P@ssw0rd!2025"). Las herramientas modernas (Hashcat, John the Ripper) combinan diccionarios, máscaras, reglas híbridas y modelos de Markov contra los hashes capturados para recuperar contraseñas mucho más rápido que la fuerza bruta pura.

Por qué las listas son tan eficaces

Las contraseñas humanas reales se agrupan en una fracción mínima del espacio de claves. La lista canónica, rockyou.txt, proviene de la brecha de RockYou de diciembre de 2009, en la que un fallo de inyección SQL expuso unos 32 millones de credenciales que la empresa almacenaba en texto plano. La lista deduplicada de 14 344 392 contraseñas todavía se incluye por defecto en Kali Linux y suele ser el primer recurso del pentester ante un hash capturado. Compilaciones posteriores como RockYou2021 y RockYou2024 agregan miles de millones de cadenas filtradas de muchas brechas, aunque la mayoría de los aciertos siguen viniendo de los primeros millones.

Cómo se ejecuta un crack moderno

Rara vez se usa una lista en bruto. Se aplican rule files (como best64 o dive de Hashcat) que hacen sustitución leet, alternancia de mayúsculas y añadido de años/sufijos, y luego se recurre a máscaras y Markov para la cola larga. En GPU de consumo esto recupera contraseñas débiles tras hashes rápidos (MD5, SHA-1 sin sal, NTLM) en segundos.

Defensas

La defensa vive en la capa de almacenamiento: hashing salado memory-hard con Argon2id, bcrypt o scrypt (o PBKDF2 con muchas iteraciones) encarece cada intento. Combínalo con cribado de contraseñas filtradas (p. ej. la API k-anonymity de Have I Been Pwned), frases largas, límites de tasa, bloqueo de cuenta y MFA, para que una contraseña recuperada no baste por sí sola.

flowchart LR
  A[Hash de contraseña capturado] --> B[Cargar lista<br/>rockyou.txt]
  B --> C[Aplicar reglas de mutación<br/>leet, sufijos, mayúsculas]
  C --> D[Hashear cada candidato<br/>con la sal y el algoritmo del objetivo]
  D --> E{¿Coincide el digest?}
  E -->|Sí| F[Contraseña recuperada]
  E -->|No| G[Siguiente candidato]
  G --> C