Pulverización de contraseñas
¿Qué es Pulverización de contraseñas?
Pulverización de contraseñasAtaque "low and slow" que prueba unas pocas contraseñas comunes contra muchas cuentas, manteniéndose por debajo de bloqueos y límites de tasa.
La pulverización de contraseñas (password spraying) invierte el patrón clásico de fuerza bruta: en vez de muchas contraseñas por cuenta, el atacante prueba una única contraseña (p. ej., "Invierno2025!", "P@ssw0rd") contra todo el directorio de usuarios y luego pasa a la siguiente. Así evita los bloqueos por cuenta y obtiene aciertos, ya que toda organización tiene una larga cola de contraseñas débiles. Es una técnica habitual para comprometer IdP en la nube (Entra ID, Okta) y portales VPN. Las defensas incluyen prohibir contraseñas comunes o filtradas, smart lockout y MFA basado en riesgo, acceso condicional, analítica geográfica/por IP y alertas sobre patrones de autenticación de gran abanico con una sola contraseña.
● Ejemplos
- 01
Un APT prueba "Primavera2025!" contra todas las cuentas de un tenant de Entra ID durante una hora cada día.
- 02
Bots iterando contraseñas estacionales contra un SSL VPN corporativo para localizar usuarios débiles.
● Preguntas frecuentes
¿Qué es Pulverización de contraseñas?
Ataque "low and slow" que prueba unas pocas contraseñas comunes contra muchas cuentas, manteniéndose por debajo de bloqueos y límites de tasa. Pertenece a la categoría de Ataques y amenazas en ciberseguridad.
¿Qué significa Pulverización de contraseñas?
Ataque "low and slow" que prueba unas pocas contraseñas comunes contra muchas cuentas, manteniéndose por debajo de bloqueos y límites de tasa.
¿Cómo defenderse de Pulverización de contraseñas?
Las defensas contra Pulverización de contraseñas combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.
¿Cuáles son otros nombres para Pulverización de contraseñas?
Nombres alternativos comunes: Adivinación a baja frecuencia.