CyberGlossary

Ataques y amenazas

Pulverización de contraseñas

También conocido como: Adivinación a baja frecuencia

Definición

Ataque "low and slow" que prueba unas pocas contraseñas comunes contra muchas cuentas, manteniéndose por debajo de bloqueos y límites de tasa.

La pulverización de contraseñas (password spraying) invierte el patrón clásico de fuerza bruta: en vez de muchas contraseñas por cuenta, el atacante prueba una única contraseña (p. ej., "Invierno2025!", "P@ssw0rd") contra todo el directorio de usuarios y luego pasa a la siguiente. Así evita los bloqueos por cuenta y obtiene aciertos, ya que toda organización tiene una larga cola de contraseñas débiles. Es una técnica habitual para comprometer IdP en la nube (Entra ID, Okta) y portales VPN. Las defensas incluyen prohibir contraseñas comunes o filtradas, smart lockout y MFA basado en riesgo, acceso condicional, analítica geográfica/por IP y alertas sobre patrones de autenticación de gran abanico con una sola contraseña.

Ejemplos

  • Un APT prueba "Primavera2025!" contra todas las cuentas de un tenant de Entra ID durante una hora cada día.
  • Bots iterando contraseñas estacionales contra un SSL VPN corporativo para localizar usuarios débiles.

Términos relacionados