Ataques en línea y rociado de contraseñas

El crackeo fuera de línea es a tu ritmo y sin tocar nada, pero exige tener el hash. Cuando no lo tienes y solo hay un servicio con login, el ataque es en línea: cada intento es una petición al servidor del cliente. Eso lo cambia todo —hay latencia, hay registros que se llenan, hay políticas de bloqueo que cuentan intentos fallidos— y por eso un ataque en línea se mide y se acota, nunca se lanza a lo bruto. La primera decisión es reconocer que ya no estás en tu máquina: estás tocando la del cliente.

En Arrecife hay un servicio con login y no tienes su hash. El ataque posible es en línea, y por tanto va contado: dentro del alcance, dentro de la ventana, y cuidando no bloquear cuentas que dejarían al cliente sin servicio.

La fuerza bruta clásica prueba muchas contraseñas contra un usuario, y es justo lo que dispara los bloqueos: cinco intentos fallidos y la cuenta se cierra. El rociado de contraseñas le da la vuelta: prueba una sola contraseña probable —una por defecto, una estacional— contra muchos usuarios, y espera entre rondas. Así cada cuenta recibe un intento, no veinte, y no salta el bloqueo; a cambio, apuesta a que en una organización grande alguien use esa contraseña débil. Es más silencioso y más efectivo contra políticas de bloqueo.

En Arrecife, con muchos usuarios y una política de bloqueo por intentos, machacar un usuario lo cierra enseguida. El rociado —una contraseña probable contra toda la lista de usuarios— evita el bloqueo y encuentra al que reutiliza una clave débil.

El rociado funciona porque hay contraseñas que la gente pone una y otra vez: la de «cambiar al primer uso» que nadie cambió, la del nombre de la empresa con un número, la de la estación del año con el año. Una cuenta de servicio creada por un técnico y olvidada suele conservar su contraseña inicial durante años. El criterio no es probar un diccionario gigante —eso es ruido—, sino un puñado de contraseñas muy probables para esa organización, que es donde el rociado acierta sin hacer escándalo.

En Arrecife, entre las contraseñas probables está la de instalación por defecto que una cuenta técnica nunca cambió. Un rociado con ese puñado de claves probables encuentra la cuenta olvidada sin recorrer un diccionario entero.

Cuando el rociado acierta, el hallazgo no es solo «esta cuenta tiene esta clave»: es que una contraseña débil o por defecto sobrevivió en producción, y casi siempre no está sola. Una cuenta de servicio con la clave de instalación apunta a un problema de proceso —nadie rota las contraseñas iniciales— que el cliente debe arreglar de raíz, no cuenta por cuenta. Y la credencial hallada se prueba, dentro del alcance, contra otros servicios: la reutilización sigue siendo lo que más lejos lleva. Se documenta la cuenta, la clave, cómo cayó y el patrón que revela.

En Arrecife, la cuenta que cae por rociado revela una contraseña de instalación que nunca se rotó. Se reporta con su impacto y su patrón, y se prueba contra los demás servicios enumerados.

El rociado acierta donde sobrevive una clave por defecto. Abre el laboratorio y lee la salida del ataque en línea contra los servicios de Arrecife: una cuenta aceptó la contraseña rociada mientras el resto la rechazó. Aísla esa credencial, en el formato de usuario y clave tal como aparece.