Ataque de contraseña
Los ataques de contraseña se pueden realizar de forma ética o criminal. Un hacker ético suele ser alguien empleado por una empresa para probar la seguridad de varias contraseñas de cuentas, para disminuir la probabilidad de ser pirateado. Por otro lado, un ciberdelincuente realiza un ataque de contraseña para ingresar a los sistemas de incentivos monetarios o de otro tipo.
Diferentes tipos de ataques de contraseña y cómo funcionan
Los ataques de contraseña se pueden dividir en cuatro tipos diferentes: cuentas no electrónicas, ataques en línea activos, ataques en línea pasivos y ataques fuera de línea.Cuentas no electrónicas
Este es un ataque no técnico que se puede realizar sin una gran cantidad de conocimientos técnicos.- Shoulder Surfing: Literalmente, mirar por encima del hombro de alguien mientras escribe un nombre de usuario y una contraseña y usarlos más tarde.
- Ingeniería social: mensajes de texto o correos electrónicos de phishing que se envían a los usuarios para engañarlos y hacer que hagan clic en un enlace que instala malware. Estos ataques pueden ser tan simples como mirar las cuentas de redes sociales de un usuario. Las contraseñas generalmente se generan usando el cumpleaños de un usuario o el nombre de la mascota, todo lo que está disponible en su perfil de Facebook. Al recopilar la mayor cantidad de información posible sobre el usuario, un pirata informático puede adivinar posibilidades de contraseña aleatorias.
Ataque en línea activo
- Fuerza Bruta: La forma de ataque más común y la más fácil. Un programa genera contraseñas probables, comenzando con contraseñas débiles y fáciles de adivinar y probando variaciones de números y letras. Este método es lento, ya que los piratas informáticos se mueven metódicamente de una cuenta a otra, dando tiempo a los temporizadores de las herramientas de detección de bloqueo para que se restablezcan. El relleno de credenciales y el rociado de contraseñas se incluyen en esta categoría.
- Relleno de credenciales: los ciberdelincuentes usan listas de nombres de usuario y contraseñas robados en combinación en diferentes cuentas hasta que encuentran una coincidencia. Esto se basa en el hecho de que los usuarios tienden a usar la misma contraseña en varias cuentas.
- Pulverización de contraseñas: prueba muchas cuentas a la vez con algunas contraseñas de uso común. Este método es peligroso en el inicio de sesión único o en los portales de autenticación basados en la nube.
- Ataque de diccionario: aprovecha el hecho de que las personas tienden a usar palabras comunes y contraseñas cortas. Usando una lista de palabras comunes con números antes o después, o usando un programa para recorrer combinaciones comunes, el hacker intenta obtener acceso a las cuentas.
- Keylogger/Trojan/Spyware: son virus o malware que se ejecutan en segundo plano para rastrear contraseñas y pulsaciones de teclas realizadas. El pirata informático puede detectar nombres de usuario, contraseñas y en qué sitios web se utilizó cada uno. Esto generalmente depende de que el usuario caiga en otro ataque que instala el software, por ejemplo, una descarga de phishing.
- nyección de hash: funciona inyectando un hash comprometido en una sesión local, el atacante puede recopilar el hash de la cuenta de administrador del dominio. Este hash recuperado se puede utilizar para iniciar sesión en otros sistemas.
Como dice el refrán, usar una combinación de letras mayúsculas y minúsculas, números, símbolos (y un escáner de retina, jk) puede no protegerlo por completo, pero ayuda mucho a disuadir a los piratas informáticos.
Ataques en línea pasivos
- Rastreo de cables/intercepción de tráfico: donde el hacker usa software, como rastreadores de paquetes, para monitorear el tráfico de la red y capturar contraseñas. El software 'escucha' la información. El cifrado puede ayudar, pero como la información se puede descifrar, esto no es una prueba de fallas.
- Man-in-the-Middle: Similar a la detección de cables, el programa del hacker monitorea la información que pasa. Sin embargo, en este método, el software se inserta en medio del tráfico, normalmente haciéndose pasar por un sitio o una aplicación.
Ataques fuera de línea
- Rainbow Table: es un método de seguridad fuerte y complicado. Hashing implica un tipo de cifrado de datos matemáticamente, mediante la conversión de contraseñas en caracteres crípticos. Una tabla de arco iris compila una lista de hashes precalculados y ejecuta algoritmos para descifrar la contraseña. Esto consume mucho tiempo para el atacante y deja a la víctima menos vulnerable.
- Ataque de red distribuida: utiliza el poder de las máquinas en una red para recuperar contraseñas de hashes.
Cómo prevenir un ataque de contraseña
- Utilice un generador de contraseñas de caracteres aleatorios que cree y almacene contraseñas cifradas
- Programe y rote las contraseñas con frecuencia
- Use contraseñas difíciles de adivinar con diferentes caracteres en mayúsculas, números, símbolos o frases únicas
- No utilice palabras comunes, como "administrador" o "contraseña".
- vite usar el nombre del sitio en su contraseña
- Utilice el inicio de sesión único o la autenticación multifactor siempre que sea posible
- Utilice la autenticación biométrica siempre que sea posible, ya que la autenticación de huellas dactilares hace que sea mucho más difícil ser suplantado
