Un ataque de diccionario es un método para adivinar contraseñas que prueba palabras, contraseñas comunes y credenciales filtradas de una lista preparada en lugar de todas las combinaciones de caracteres posibles.
Cómo funciona un ataque de diccionario
El ataque de diccionario es una forma más inteligente de fuerza bruta. En vez de probar «aaaa», «aaab», etc., el atacante usa una lista de palabras: términos del diccionario, nombres, patrones de teclado y, sobre todo, contraseñas reales de filtraciones anteriores. La lista más conocida, rockyou.txt, procede de la brecha de RockYou de 2009, en la que más de 32 millones de contraseñas se guardaban en texto claro.
Hay dos modalidades:
- En línea: intentos contra una página de inicio de sesión, una VPN o un servicio SSH activos (MITRE ATT&CK T1110.001). Es lento y fácil de detectar, por lo que los atacantes suelen recurrir al password spraying: pocas contraseñas comunes contra muchas cuentas.
- Fuera de línea: descifrado de hashes de contraseñas robados (T1110.002) con herramientas como Hashcat o John the Ripper. Las reglas de transformación añaden dígitos, mayúsculas y sustituciones de caracteres («P@ssw0rd2024»), y las GPU prueban miles de millones de candidatas por segundo contra hashes rápidos.
Por qué es importante
Las personas eligen contraseñas predecibles y las reutilizan, así que las listas de palabras descifran una gran parte de las cuentas reales. Las contraseñas obtenidas alimentan después el relleno de credenciales contra otros servicios. Las tablas arcoíris precalculadas aceleran aún más los ataques contra hashes sin sal.
Cómo protegerse
- Bloquear contraseñas comunes y filtradas en el registro, como recomienda NIST SP 800-63B, y favorecer frases de contraseña largas.
- Almacenar las contraseñas con algoritmos lentos como bcrypt, scrypt o Argon2 y una sal única.
- Limitar y vigilar los intentos de inicio de sesión, y bloquear o verificar los orígenes sospechosos.
- Activar la autenticación multifactor y usar un gestor de contraseñas.
