Un ataque de fuerza bruta intenta obtener acceso mediante muchos intentos de autenticación. El problema aparece cuando un servicio permite probar credenciales sin demora, límites o un segundo factor, incluso aunque ninguna vulnerabilidad del software esté siendo explotada.
Qué problema resuelve este concepto
Un ataque de fuerza bruta prueba muchas credenciales hasta encontrar una combinación válida o agotar un recurso.
Patrones de intento
El atacante puede probar muchas contraseñas contra una cuenta o una contraseña contra muchos usuarios. Los registros deben distinguir fallos aislados de series repetidas y observar cambios de origen, horarios y servicios.
Frenar sin bloquear a usuarios legítimos
El rate limiting, la espera progresiva y los bloqueos temporales reducen la velocidad. Un bloqueo permanente por IP puede afectar a redes compartidas, por lo que conviene combinar frecuencia, identidad y contexto.
MFA, recuperación y monitorización
Una contraseña única y un segundo factor reducen el impacto de una clave probada. Revisa también los métodos de recuperación, invalida sesiones tras un acceso sospechoso y conserva alertas útiles. Ningún bloqueo sustituye a la actualización, la revisión de permisos y una respuesta ante credenciales expuestas.
Intentos distribuidos y cuentas administrativas
Una campaña puede repartir los intentos entre muchas direcciones o alternar usuarios para evitar un umbral por cuenta. Conviene proteger especialmente los paneles y accesos administrativos, limitar su exposición y alertar ante una combinación anómala de fallos y éxitos. Un administrador que recibe muchos avisos no debería desactivar el control sin investigar: la fatiga de alertas también es un riesgo operativo.
La respuesta debe cubrir el acceso completo
Protege el panel, el correo, SSH y cualquier API que acepte credenciales; un atacante puede cambiar de puerta cuando una de ellas se bloquea. Un acceso correcto después de varios fallos merece una revisión de sesiones, cambios de permisos y métodos de recuperación. No conviertas el bloqueo en una sustitución de la autenticación: su función es reducir velocidad y dar tiempo a responder.
Un ejemplo sencillo: si una cuenta recibe fallos desde muchos orígenes y después aparece un inicio correcto, no basta con bloquear el último origen. Revoca la sesión, verifica cambios y determina si la contraseña pudo reutilizarse. La alerta debe activar una investigación, no solo una regla automática.
La revisión debe incluir cuentas inactivas y servicios secundarios, porque un atacante puede elegir el punto menos vigilado. Mantén los avisos accionables y prueba el procedimiento con un escenario autorizado para saber quién revoca, quién comunica y quién valida el cierre.
Cuando los intentos se distribuyen
Una regla que solo cuenta fallos por dirección IP puede perder una campaña repartida entre muchas redes. También puede bloquear a usuarios legítimos detrás de una conexión compartida. Es más útil combinar identidad, servicio, frecuencia y resultado del acceso, y elevar la alerta cuando aparecen fallos seguidos de un inicio correcto.
La respuesta debe incluir la invalidación de sesiones y la revisión de cambios recientes. El bloqueo temporal reduce la velocidad, pero no demuestra que la cuenta esté limpia ni sustituye una contraseña única, MFA y un registro que permita reconstruir lo ocurrido.