Qué es el «password spraying», el método que usan los ciberdelincuentes para robar contraseñas

Por eso mismo, el Instituto Nacional de Ciberseguridad de España (INCIBE) ha explicado diferentes métodos que emplean estos piratas informáticos para robarnos nuestras contraseñas y así acceder a todos nuestros datos y cuentas en la red. Entre ellos destaca últimamente uno conocido como «password spraying» (ataque de pulverización de contraseñas).

Consiste en el uso de un gran número de contraseñas robadas (de alguna brecha de seguridad) en un grupo de cuentas (por ejemplo, las de correo web de empleados de una empresa) para ver si puede obtener acceso. También pueden emplear una lista de claves que se encuentran entre las más comunes para ir probando si alguna funciona.

El prodimiento que llevan a cabo los atacantes es mecánico: se toma una de las posibles contraseñas y se va probando la misma en la lista de cuentas de usuarios que se ha elaborado previamente para ver si en alguna de ellas es válida. Este mecanismo se va repitiendo con cada una de las claves y cuentas.

Además, este método se vale de programas que pueden limitar el número de intentos de acceso a una cuenta para no hacer saltar las alertas y que no se detecte a los ciberdelincuentes.

Para protegernos ante posibles ataques de pulverización de constraseñas podemos emplear herramientas que garanticen la seguridad de las mismas, como las de los protocolos LDAP, Active Directory o servicios externos que obligan al cumplimiento de ciertos requisitos como los siguientes:

— Períodos de validez para las contraseñas

— Posibilidad de reutilización de contraseñas ya usadas

— Formato de la contraseña (longitud mínima, tipos de caracteres que deben incluir, cumplimiento de reglas semánticas)

— Posibilidad de elección y modificación de la contraseña por parte del usuario

— Almacenamiento de las claves (tamaño del histórico de contraseñas a almacenar para cada usuario y método de cifrado de las mismas)

— Número de intentos de autenticación permitidos