Un ataque de fuerza bruta prueba contraseñas una tras otra, con un programa, hasta acertar. Es simple, pero funciona contra servicios expuestos con claves débiles o repetidas. Aquí están sus variantes según INCIBE, qué dice NIST sobre limitar los intentos y qué puede hacer el cortafuegos.
Foto: Tahamie Farooqui, en Pexels
Un ataque de fuerza bruta es la forma más directa de adivinar una contraseña: probar hasta acertar. INCIBE lo define como un método en el que el ciberdelincuente intenta entrar en un sistema muchas veces, con distintas combinaciones de letras, números y símbolos, usando un programa que lo hace solo. En su página para ciudadanos añade que ese programa puede hacer miles de intentos por segundo.
No hace falta ningún fallo en el software. Basta con un servicio accesible desde internet y una contraseña débil, repetida o que venga de fábrica, como «12345» o «admin», que son los ejemplos que pone INCIBE.
INCIBE distingue varias formas de fuerza bruta, según qué contraseñas se prueben y contra cuántas cuentas:
| Variante | Qué prueba | De qué se aprovecha |
|---|---|---|
| Fuerza bruta pura | Combinaciones de caracteres, una tras otra | Contraseñas cortas o sencillas |
| Diccionario | Palabras de un diccionario y datos personales de la víctima, como fechas, nombres de familiares o mascotas | Contraseñas de una sola palabra o fáciles de recordar |
| Relleno de credenciales (credential stuffing) | Pares de usuario y contraseña robados en otras brechas | Usar la misma contraseña en servicios personales y de la empresa |
| Pulverización de contraseñas (password spraying) | Muchas contraseñas robadas contra un grupo de cuentas, por ejemplo el correo de los empleados | Que haya pocos intentos por cuenta, para no hacer saltar las alertas |
La última es la más difícil de ver: según INCIBE, los programas que la hacen limitan los intentos por cuenta precisamente para no ser detectados. Un bloqueo tras cinco fallos no la frena si el atacante solo prueba dos contraseñas en cada cuenta.
INCIBE dedica un artículo al escritorio remoto de Windows (RDP), que abre por defecto el puerto 3389, y lo señala como una vía muy frecuente para infectar con ransomware. Cita un estudio de Sophos que puso diez señuelos con RDP accesible desde internet durante un mes:
Los señuelos del estudio eran honeypots, equipos hechos para que los ataquen. La lección vale para cualquier servicio: si está expuesto, recibe intentos casi desde el primer minuto, sin que nadie lo haya anunciado.
La guía de autenticación del NIST, en su versión de agosto de 2025, obliga a protegerse frente a los intentos de adivinar en línea. En concreto, exige limitar a no más de 100 los intentos fallidos seguidos en una misma cuenta, y deja que cada organización ponga un límite más bajo. INCIBE recomienda, para el escritorio remoto, bloquear el acceso del usuario durante un tiempo tras varios intentos fallidos.
Aquí INCIBE y NIST no dicen lo mismo, y conviene saberlo:
En lo que coinciden: cuanto más larga, mejor, y nunca la misma en dos servicios. Contra el relleno de credenciales, INCIBE recomienda contraseñas únicas por servicio y usar la cuenta de la empresa solo para servicios de la empresa.
INCIBE recomienda activar la autenticación de doble factor siempre que se pueda: un código de un solo uso, un token físico o la huella, además de la contraseña. Con él, acertar la contraseña ya no basta.
Para el escritorio remoto, INCIBE propone no publicarlo directamente: valorar primero si hace falta y, si es así, ponerlo detrás de una VPN, que crea una doble barrera. También limitar desde qué direcciones IP se puede conectar y no usar nombres de usuario genéricos como «Administrador». Cambiar el puerto 3389 por otro, dice INCIBE, solo es seguridad por oscuridad: ayuda, pero no protege por sí mismo.
Esto es criterio de esta web, a partir de lo anterior. Un cortafuegos bien configurado ayuda en tres frentes:
El portal de la VPN también es un blanco. Es criterio de esta web: llevar el escritorio remoto detrás de la VPN mueve la puerta, pero la puerta de la VPN también está en internet. Protégela igual: doble factor, límite de intentos, firmware al día y sin cuentas genéricas.
Según INCIBE, es un método en el que el atacante intenta entrar en un sistema muchas veces con distintas combinaciones de caracteres, usando un programa, hasta que alguna coincide con la contraseña.
INCIBE trata el ataque de diccionario como una variante: en lugar de probar todas las combinaciones, prueba palabras de un diccionario y datos personales de la víctima, como fechas o nombres, porque mucha gente los usa como contraseña.
Con contraseñas largas y únicas, autenticación de doble factor, un límite de intentos fallidos y no exponiendo a internet servicios como el escritorio remoto. NIST fija como máximo 100 intentos fallidos seguidos antes de bloquear el acceso.
Foto: Damir K, en Pexels Guías Un firewall o cortafuegos es el dispositivo o programa que decide qué tráfico puede entrar y salir de una red o de un equipo. Aquí explicamos qué es, cómo funciona por dentro, dón…
Foto: Brett Sayles, en Pexels Guías SD-WAN es una forma de usar varias líneas a la vez y decidir por cuál va cada aplicación, sin depender de una sola. Muchos cortafuegos ya lo traen. Aquí está qué es, en qué se dis…
