Ataque de Fuerza Bruta

¿Qué es un ataque de fuerza bruta?

Un ataque de fuerza bruta (brute force attack) es un método de ciberataque que consiste en probar de forma sistemática y exhaustiva todas las combinaciones posibles de contraseñas, claves criptográficas o credenciales hasta dar con la correcta. Es uno de los vectores de ataque más antiguos y, según el DBIR 2024 de Verizon, el uso de credenciales robadas fue la principal acción inicial observada, presente en el 24 % de las brechas que analiza (una cifra sobre el corpus del informe, no sobre todas las brechas del mundo).

A diferencia de otros ataques que explotan vulnerabilidades de software, la fuerza bruta explota la debilidad humana: contraseñas cortas, predecibles o reutilizadas entre servicios. La fortaleza del ataque reside en su naturaleza matemáticamente inevitable: dado tiempo suficiente, cualquier contraseña puede ser descubierta. Lo que varía es si ese tiempo es de milisegundos o de miles de años.

Tipos de ataques de fuerza bruta

No todos los ataques de fuerza bruta funcionan igual. Cada variante optimiza la estrategia de pruebas para maximizar la probabilidad de éxito en el menor tiempo posible.

Fuerza bruta pura (exhaustiva)

Para una contraseña de solo 4 dígitos numéricos (como un PIN), existen 10.000 combinaciones posibles. Un atacante puede probarlas todas en segundos. Con 8 caracteres alfanuméricos (mayúsculas, minúsculas, números), el espacio es de 62⁸ combinaciones: más de 218 billones (218.340.105.584.896).

Ataque de diccionario

Los diccionarios no solo contienen palabras del idioma. Incluyen contraseñas reales filtradas en brechas anteriores, variaciones comunes (P@ssw0rd, Verano2025!), y combinaciones frecuentes. El diccionario RockYou, por ejemplo, recopila millones de contraseñas reales procedentes de una brecha y se sigue usando como lista de referencia en pruebas de robustez.

Credential stuffing

El credential stuffing es especialmente peligroso porque no genera el volumen de intentos fallidos de un ataque tradicional. Si el atacante tiene una lista de credenciales válidas de otro servicio, puede acertar en el primer intento.

Rainbow tables

Las rainbow tables representan un intercambio de tiempo por espacio: en lugar de calcular hashes en tiempo real, el atacante los precalcula y almacena. Al encontrar un hash en la tabla, obtiene la contraseña original de forma casi inmediata. Sin embargo, la técnica de salting (añadir un valor aleatorio único antes de hashear) impide reutilizar una tabla precalculada común —aunque no evita que el atacante pruebe candidatos individualmente contra cada hash—.

Password spraying

Tiempos de descifrado según complejidad

La siguiente tabla estima el tiempo de recorrer TODO el espacio de claves (peor caso) mediante fuerza bruta pura offline contra hashes MD5 sin salt, a partir del benchmark abierto de Hashcat v6.2.6 en una RTX 4090 (164,1 GH/s). Son cifras teóricas de ese hash y esa medición: no se pueden extrapolar a bcrypt/Argon2id, a otras GPU ni a un login online con rate limiting.

Protecciones contra fuerza bruta: bcrypt, Argon2 y salting

Funciones de hashing lentas

El principal mecanismo de defensa contra fuerza bruta offline es el uso de funciones de hashing deliberadamente lentas:

Salting

El salt es un valor aleatorio único que se añade a cada contraseña antes de hashearla. Esto hace que dos usuarios con la misma contraseña produzcan hashes diferentes e impide reutilizar una tabla precalculada común; no evita, en cambio, que un atacante pruebe candidatos individualmente contra cada hash.

Sin salt:  hash("password123") = 482c811da5d5b4bc...
Con salt:  hash("a7f3b2" + "password123") = 9e1c8f4d2a7b6e3c...
Con salt:  hash("d4e9c1" + "password123") = 3b7a2f8e1d6c9a4b...

Cada usuario tiene un salt diferente, lo que obliga al atacante a calcular cada hash individualmente.

Rate limiting y bloqueo de cuentas

Detección forense de ataques de fuerza bruta

La detección de un ataque de fuerza bruta se basa fundamentalmente en el análisis de logs de autenticación. Cada intento fallido queda registrado si el sistema tiene la auditoría correctamente configurada.

Eventos clave en Windows

Indicadores en Linux

Indicadores que deben correlacionarse

Ejemplo de análisis de logs

ANÁLISIS DE LOGS (ejemplo)

Objetivo: Determinar si hubo ataque de fuerza bruta al servidor RDP

HALLAZGOS EN SECURITY.EVTX:

[2026-01-15 02:14:01] Event 4625 - Logon Failure
  User: administrador | IP: 91.134.xxx.xxx | Reason: Bad password

[2026-01-15 02:14:01] Event 4625 - Logon Failure
  User: administrador | IP: 91.134.xxx.xxx | Reason: Bad password

[... 2.345 intentos similares en 47 minutos ...]

[2026-01-15 03:01:33] Event 4625 - Logon Failure
  User: administrador | IP: 91.134.xxx.xxx | Reason: Bad password

[2026-01-15 03:01:34] Event 4624 - Logon Success
  User: administrador | IP: 91.134.xxx.xxx | Logon Type: 10 (RDP)

[2026-01-15 03:02:15] Event 4672 - Special Privileges Assigned
  User: administrador

CONCLUSIÓN (en este escenario): el patrón —2.348 intentos en
47 minutos desde una IP, seguidos de un 4624— sería compatible
con fuerza bruta con éxito en el último intento y acceso RDP
con privilegios de administrador, a valorar con el resto de la prueba.

Herramientas de ataque y defensa

Herramientas ofensivas (conocimiento forense)

Herramientas defensivas

Caso práctico: ataque de fuerza bruta a PYME española

Escenario: una empresa con 25 empleados detecta que su servidor de correo (Exchange) ha sido comprometido. Varias cuentas envían spam con adjuntos maliciosos a clientes.

Investigación forense:

Marco legal en España

Tipificación penal

Según los hechos, un ataque de fuerza bruta puede encajar en varios tipos del Código Penal. La tabla resume las penas de prisión, pero cada figura exige que concurran sus elementos y la mayoría lleva además multa:

Normativa complementaria

• RGPD: el responsable debe notificar la brecha a la AEPD sin dilación indebida y, de ser posible, en un máximo de 72 horas desde que la conoce, salvo que sea improbable que entrañe un riesgo para los derechos y libertades (art. 33 RGPD).
• LSSI-CE: el art. 12 bis obliga a los proveedores de acceso a Internet y de correo (o servicios similares) a informar a sus clientes sobre las medidas de seguridad que aplican; no impone en esos términos un deber general a todo prestador.
• ENS (Esquema Nacional de Seguridad): Entidades del sector público deben implementar controles de autenticación robustos.
• Directiva NIS2: entre las medidas de gestión del riesgo, las entidades esenciales e importantes deben aplicar medidas apropiadas y proporcionadas, incluidas políticas de control de acceso y autenticación multifactorial o continua «cuando proceda».

Encaje penal del acceso no autorizado

El acceso no autorizado a un sistema «vulnerando las medidas de seguridad establecidas» y sin autorización está tipificado en el artículo 197 bis del Código Penal. Cuando se obtienen mensajes o datos personales ha de valorarse además el artículo 197, distinguiendo sus apartados 1 y 2, sin que la concurrencia sea automática. Un ataque de fuerza bruta puede encajar en el art. 197 bis cuando concurren todos los elementos del tipo; el método o el éxito técnico no determinan por sí solos la calificación penal, que depende de los hechos y de la prueba del caso.

Análisis forense paso a paso

Relación con otros conceptos

• Keylogger: Mientras que la fuerza bruta prueba combinaciones, un keylogger captura directamente la contraseña cuando el usuario la teclea. Ambos métodos persiguen el mismo objetivo (obtener credenciales), pero por vías distintas.
• Hash criptográfico: Los ataques offline de fuerza bruta (hashcat, John the Ripper) trabajan directamente contra hashes robados. El algoritmo de hashing utilizado (MD5 vs bcrypt vs Argon2) determina la viabilidad del ataque.
• Logs de sistema: Son la fuente primaria de evidencia forense para detectar y documentar ataques de fuerza bruta. Sin logs adecuados, un ataque puede pasar completamente desapercibido.
• Anti-forense: Atacantes sofisticados pueden intentar eliminar o modificar los logs que evidencian sus intentos de fuerza bruta, utilizando técnicas anti-forense para borrar sus huellas.

Recomendaciones de prevención

Conclusión

Los ataques de fuerza bruta siguen siendo una de las amenazas más prevalentes en ciberseguridad. Su detección forense requiere un análisis metódico de los logs de autenticación, correlación de fuentes y reconstrucción temporal del incidente. Un perito informático debe ser capaz de identificar los patrones de ataque en los registros del sistema, determinar si el ataque tuvo éxito, cuantificar el impacto del compromiso y presentar los hallazgos de forma comprensible ante un tribunal. La implementación de medidas preventivas como MFA, funciones de hashing lentas y monitorización de logs reduce drásticamente el riesgo, pero ningún sistema es inmune mientras dependa de credenciales como único factor de autenticación.

Última actualización: 19 de agosto de 2026 Categoría: Seguridad Código: BFR-001