Los actores de amenazas cambian constantemente de táctica para eludir las medidas de ciberseguridad y desarrollan métodos innovadores para robar las credenciales de los usuarios. Los ataques híbridos de contraseñas combinan múltiples técnicas de descifrado para aumentar su eficacia. Estos enfoques combinados aprovechan las fortalezas de varios métodos y aceleran el proceso de descifrado de contraseñas.
En esta publicación, analizaremos los ataques híbridos: qué son y los tipos más comunes. También analizaremos cómo puede protegerse su organización contra ellos.
El enfoque combinado de los ataques híbridos
Los actores de amenazas siempre están buscando formas mejores y más exitosas de descifrar contraseñas, y los ataques híbridos les permiten combinar dos técnicas de piratería diferentes en un solo ataque. Al integrar metodologías de ataque, pueden aprovechar las fortalezas asociadas con cada método, lo que aumenta sus posibilidades de éxito.
Y los ataques híbridos no se limitan a descifrar contraseñas. Los cibercriminales suelen combinar ciberataques técnicos con otras tácticas, como la ingeniería social. Al acercarse al objetivo desde múltiples ángulos, los piratas informáticos crean una situación de amenaza compleja de la que es más difícil defenderse.
Tipos comunes de ataques a contraseñas
En un ataque híbrido de contraseñas, los piratas informáticos suelen combinar dos técnicas distintas: ataques de fuerza bruta y ataques de diccionario. Al combinar la iteración rápida de un ataque de fuerza bruta con una lista de las contraseñas más utilizadas, los piratas informáticos pueden probar rápidamente numerosas combinaciones de credenciales.
Ataque de fuerza bruta
Piense en un ataque de fuerza bruta como si un hacker llevara un ariete a la puerta de entrada de su organización y la golpeara repetidamente hasta lograr entrar. En estos ataques persistentes y descarados, los cibercriminales utilizan software para intentar repetidamente todas las combinaciones de caracteres posibles hasta que dan con la clave de descifrado o la contraseña correctas. Un ataque de fuerza bruta es especialmente eficaz en situaciones en las que la contraseña de un usuario es más corta o menos compleja, y los atacantes utilizan términos básicos comunes que se encuentran en las listas de diccionarios para darse una ventaja.
Ataque de diccionario
Recordar contraseñas puede ser un fastidio, por lo que muchos de nosotros reutilizamos la misma contraseña en distintos sitios o nos basamos en estándares de creación de contraseñas simples (por ejemplo, que comiencen con una letra mayúscula y terminen con un número) para que sea más fácil. Pero los piratas informáticos aprovechan esto, utilizando ataques de diccionario, para acelerar el proceso de adivinación de contraseñas.
En un ataque de diccionario, el cibercriminal utiliza una lista de posibles contraseñas, incluidas contraseñas de uso frecuente (Password123), frases comunes (iloveyou) o recorridos de teclado (ASDFG) para aumentar sus probabilidades.
Ataque con máscara
Un tipo específico de ataque de fuerza bruta es el ataque de máscara , en el que el hacker conoce los requisitos de construcción de contraseñas de una organización y puede dirigir sus conjeturas a contraseñas que cumplan con esos requisitos. Por ejemplo, el hacker puede saber que una organización requiere que las contraseñas de los usuarios comiencen con una letra mayúscula, contengan ocho caracteres y terminen con un número, lo que le permite configurar mejor sus parámetros de ataque. La realidad es que si un hacker tiene algún tipo de información sobre la composición de una contraseña, su ataque híbrido puede ocurrir mucho más rápido.
Defensa contra ataques de contraseñas híbridas
Los ataques híbridos con contraseñas funcionan tan bien porque utilizan múltiples técnicas para atacar simultáneamente las debilidades de la política de contraseñas de una empresa. Para crear una defensa sólida contra los ataques híbridos, su organización debe desarrollar estrategias diseñadas para eliminar las contraseñas débiles o comprometidas y luego crear políticas de contraseñas más sólidas que lo ayudarán a mantenerse seguro en el futuro. Los piratas informáticos están adoptando un enfoque de múltiples capas para sus ataques, y su organización también debería estratificar sus defensas de seguridad. Las estrategias específicas incluyen:
Implementar la autenticación multifactor (MFA)
Una de las mejores formas de frenar (o prevenir) un ataque es la autenticación multifactor, que requiere que los usuarios se autentiquen con algo más que una contraseña. Con la autenticación multifactor, es posible que puedas evitar que un hacker obtenga acceso incluso si logra descifrar la contraseña. Si bien ninguna estrategia (incluida la autenticación multifactor) puede garantizar una seguridad del 100 % , implementar la autenticación multifactor es un paso importante en tu estrategia de seguridad de contraseñas.
Requerir contraseñas más largas
A los piratas informáticos les encantan los objetivos fáciles, y cuanto más larga sea la contraseña, más tiempo les llevará realizar ataques de fuerza bruta. La realidad es que, a partir de cierta longitud, resulta computacionalmente complicado para los piratas informáticos realizar ataques de fuerza bruta con éxito. Recomiende a los usuarios crear frases de contraseña de 20 caracteres o más , por ejemplo, combinando tres palabras aleatorias como «zapatos-pomo-oruga». Hacerlo puede mitigar eficazmente el riesgo de un ataque de fuerza bruta.
Evite contraseñas débiles y patrones de contraseñas
Como ya hemos comentado, muchos piratas informáticos cuentan con contraseñas que contienen palabras o patrones de uso común para que sus ataques sean más rápidos y sencillos. Por lo tanto, es lógico que si puede evitar que los usuarios utilicen esas palabras o patrones, estará dando pasos adelante para mantener su organización segura.
Fuente y redacción: thehackernews.com
