¿Qué es un ataque de fuerza bruta y cómo proteger tus contraseñas?
Publicado el 2026-10-20 por frfrand
Fuerza bruta, password spraying y credential stuffing: diferencias, defensas con MFA, límites de intentos y seguridad de inicios de sesión.
Un ataque de fuerza bruta contra una cuenta consiste en probar muchas contraseñas hasta encontrar una que funcione. Es un concepto sencillo, pero se confunde a menudo con otros ataques que también buscan entrar mediante credenciales.
No significa que alguien necesariamente pruebe todas las combinaciones posibles. En ataques reales se aprovechan contraseñas frecuentes, filtraciones y automatizaciones.
El ejemplo de la cerradura
Imaginá una puerta que permite introducir un código numérico. Si podés probar miles de combinaciones sin que nadie lo impida, tarde o temprano podrías acertar una clave débil.
En una aplicación web sucede algo parecido cuando un inicio de sesión acepta intentos ilimitados y no aplica mecanismos de protección.
La defensa no consiste solamente en pedir contraseñas complicadas; también importa controlar cómo se autentica una persona y cómo se detecta el abuso.
Fuerza bruta, diccionario y reutilización: no son lo mismo
Fuerza bruta: probar numerosas posibilidades contra una cuenta.
Ataque de diccionario: utilizar una lista de contraseñas previsibles o comunes, en vez de generar combinaciones completamente aleatorias.
Password spraying: probar una contraseña frecuente en muchas cuentas, lo que puede intentar evitar ciertos límites por usuario.
Credential stuffing: utilizar combinaciones de usuario y contraseña filtradas en otros servicios, esperando que algunas personas reutilicen sus credenciales.
Estas diferencias importan porque una medida diseñada únicamente para bloquear muchos intentos sobre una cuenta puede no detectar bien los intentos distribuidos entre muchas cuentas.
¿Qué hace que una contraseña sea más resistente?
La longitud y la imprevisibilidad suelen ser más útiles que agregar símbolos aleatorios a una palabra común. Un gestor de contraseñas puede generar claves largas y diferentes para cada servicio.
Reutilizar la misma contraseña es especialmente peligroso: una filtración en un sitio pequeño puede afectar cuentas mucho más importantes.
Las políticas modernas también consideran bloquear contraseñas conocidas por filtraciones y evitar reglas de composición que solo consiguen que la gente invente patrones previsibles.
¿Qué defensas puede aplicar una aplicación?
Límites de intentos: reducir el ritmo de las solicitudes de autenticación abusivas.
Controles de riesgo: detectar patrones inusuales sin bloquear arbitrariamente a usuarios legítimos.
Autenticación multifactor: exigir una comprobación adicional cuando la contraseña sola no basta.
Alertas útiles: informar sobre actividad sospechosa y permitir revisar sesiones o dispositivos.
Estas medidas deben diseñarse con cuidado. Un atacante podría intentar abusar de los bloqueos para impedir que usuarios legítimos entren en sus cuentas.
¿Sirve esconder la página de login?
Cambiar la ruta de acceso puede reducir ruido de herramientas muy simples, pero no debe considerarse una defensa real.
Si la autenticación acepta contraseñas débiles o no limita abusos, cambiar /login por una URL rara no corrige el problema de fondo.
Tampoco es suficiente cambiar SSH a otro puerto: puede reducir ciertos intentos automatizados, pero siguen siendo necesarios claves, permisos, actualizaciones y reglas de red.
¿Y las passkeys?
Los mecanismos de autenticación basados en criptografía de clave pública, como passkeys compatibles con FIDO2/WebAuthn, ofrecen propiedades de seguridad diferentes a las contraseñas tradicionales, incluida resistencia a determinadas formas de phishing.
No significa que puedas olvidarte de recuperar cuentas o controlar dispositivos perdidos. La seguridad también depende de cómo se administran esos procesos.
¿Cómo revisar defensivamente un servidor?
Comprobá qué servicios exponen autenticación, si se utilizan contraseñas o claves, qué alertas existen y si los accesos remotos están restringidos a quienes los necesitan.
No necesitás intentar entrar en cuentas ajenas para aprender sobre el problema. Podés revisar la configuración de tus propios servicios y estudiar la documentación de tu proveedor.
¿Qué relación tiene con ArduMaker?
Al administrar VPS, repositorios y cuentas de plataforma, como sucede en ArduMaker, utilizar credenciales únicas, permisos limitados y mecanismos de autenticación disponibles reduce riesgos. También es importante controlar qué servicios permiten intentos de acceso desde Internet.
En resumen: fuerza bruta es probar claves repetidamente. La protección real combina contraseñas únicas, límites de abuso, autenticación adicional y buen diseño de accesos.
Fuentes: OWASP: defensa contra credential stuffing y ataques relacionados · Autenticadores según NIST.