Rociado de contraseñas — una clave contra muchos

La fuerza bruta clásica apila fallos sobre una misma cuenta; su silueta es vertical, muchos intentos en una sola fila de nombre. El rociado la gira: un mismo origen prueba la misma contraseña contra una cuenta, luego otra, luego otra, con uno o dos intentos en cada una. Visto por cuenta parece inofensivo —nadie recibe una ráfaga—; visto por origen salta a la vista: una dirección tanteando una lista entera de usuarios en segundos. La huella es horizontal.

Quien detecta solo contando fallos por cuenta no ve el rociado, porque ninguna cuenta pasa del umbral. La señal está en el otro eje: un mismo origen tocando muchas cuentas distintas en poco tiempo.

El rociado limita los intentos por cuenta a propósito: la mayoría de los sistemas bloquean una cuenta tras unos cuantos fallos seguidos, así que el atacante se queda por debajo de ese umbral en cada una. Dos intentos aquí, dos allá, y ninguna cuenta se bloquea ni genera la alerta de «cuenta bloqueada» que delataría la fuerza bruta. El precio que paga es probar pocas contraseñas; la ventaja que gana es pasar desapercibido en los contadores por cuenta.

Entender esa lógica es entender dónde mirar: no en el número de fallos de una cuenta, sino en cuántas cuentas distintas toca un mismo origen. El atacante diseñó su ataque justo para que el primer contador no se entere.

El rociado importa cuando la contraseña común acierta en alguna cuenta. Entre muchas cuentas tanteadas, basta con que una use esa clave para que una de las líneas, en medio de los fallos, sea una «sesión aceptada». Esa es la cuenta comprometida, y es la que se escala; las demás solo fueron tanteadas y no entraron. Confundir «todas fueron atacadas» con «todas cayeron» hace escalar de más; pasar por alto la única que aceptó deja dentro al atacante.

El analista separa las dos cosas: el origen hizo rociado contra muchas, pero solo una cedió. Vigila el origen, documenta el intento sobre el resto y escala la cuenta donde la clave entró.

En la consola, un mismo origen externo prueba la misma contraseña contra siete cuentas de Delta en segundos. Seis fallan; una acepta. Encuentra la cuenta donde el rociado terminó entrando.