Ataques de password spraying: el 97 % de los ataques no hackean, solo inician sesión
Apr 6, 2026
Microsoft acaba de publicar su última guía sobre amenazas críticas a la infraestructura junto con su último Digital Defense Report.
Y si lees entre líneas, hay una historia muy clara:
Los atacantes ya no rompen ventanas.
Entran por la puerta principal… silenciosamente… con tus credenciales.
Déjame decirlo de nuevo.
Están iniciando sesión. No irrumpiendo.
Ataque de pulverización de contraseñas: el ataque más aburrido (y efectivo) del mundo
El password spraying suena casi... inofensivo.
No lo es.
- Prueba contraseñas comunes en muchas cuentas.
- Manténgase por debajo de los umbrales de bloqueo.
- Espere un inicio de sesión exitoso.
Eso es todo. Sin zero-days. Sin montaje de hackeo al estilo Hollywood. Sin música de Mission Impossible.
Solo paciencia.
Y funciona. Mucho.
Si escuchas cifras como “El 97 % de los ataques comienzan así”, no es un error de redondeo. Son hechos que no podemos ignorar.
Para concretar, Microsoft está diciendo dos cosas importantes en este momento.
Del Informe de Defensa Digital de Microsoft
El 97 % de los ataques de identidad fueron ataques de password spray.
null
Esa pequeña caja lo dice todo.
Así es.
Aunque las tácticas evolucionan, los atacantes siguen ganando con contraseñas débiles y sobreutilizadas.
Tómate un minuto y lee la guía de Microsoft y el informe para obtener el contexto completo. Luego vuelve aquí cuando termines.
Porque puedes pasar todo el día hablando de amenazas avanzadas… mientras los atacantes siguen entrando por la puerta principal.
Deberías usar acceso sin contraseña.
Sí. Deberías.
FIDO2. Windows Hello. Biometría. Todo el conjunto.
Ese es el destino.
Pero seamos honestos con nosotros mismos por un segundo…
Su organización no está allí.
Tienes aplicaciones heredadas. Dependencias de VPN. Cuentas de servicio. Y usuarios que aún escriben “Summer2024!”.
¿Y ahora qué?
¿Es correcto simplemente ignorar la realidad hasta que la “transformación sin contraseña” esté completa?
Eso no es una estrategia. O si lo es, es una estrategia arriesgada en el mejor de los casos. Honestamente, es esperar y rezar para que no ocurra un problema.
Y como hemos dicho antes:
La esperanza no es una estrategia. La política sí lo es.
La brecha de la que nadie quiere hablar
Hay una gran y desagradable brecha entre donde Microsoft quiere que estés (utopía sin contraseñas) y donde realmente estás (contraseñas por todas partes).
¿Esa brecha?
Ahí es donde viven los atacantes.
Y los propios datos de Microsoft básicamente dicen:
“Oye… de aquí vienen los ataques.”
Entonces, la verdadera pregunta es:
¿Qué estás haciendo al respecto hoy?
Presentamos: software de “¿Por qué no lo tenía ya?”
Imagina esto:
Un usuario intenta establecer una contraseña.
Detrás de escena, su sistema lo verifica contra una enorme base de datos de contraseñas comprometidas conocidas.
¿Si es débil, reutilizada o ya comprometida?
Bloqueado. Inmediatamente.
Sin debate. Sin excepciones. Sin “lo arreglaremos después.”
Eso es lo que hace Netwrix Password Policy Enforcer.
Se conecta directamente a Active Directory y a los eventos de cambio de contraseña híbridos, verifica esas contraseñas previamente contra Have I Been Pwned y bloquea esas contraseñas comprometidas y/o débiles antes de que se conviertan en un problema.
Funciona con lo que ya tienes: entornos híbridos de Active Directory y/o Entra ID, sin necesidad de reemplazos.
Esto no es reinventar la identidad.
Está haciendo que su sistema de identidad existente… sea realmente aplicable.
O como me gusta decir:
No reinventamos la rueda. Hacemos la rueda más redonda.
Bloquee credenciales débiles, reutilizadas y comprometidas con software de política de contraseñas de Active Directory. Descargue la prueba gratuita
Por qué esto importa más que nunca
Volvamos al punto de Microsoft:
Los atacantes están estableciendo persistencia. Sentados en silencio. Esperando.
Password spray es a menudo el primer dominó.
Si entran una vez, incluso con una cuenta de bajo privilegio, no necesitan fuegos artificiales.
Necesitan tiempo.
Y a partir de ahí, es movimiento lateral. Escalamiento de privilegios. Técnicas living-off-the-land.
Juego terminado… solo más lento.
El cambio: de la detección a la prevención
Aquí está la incómoda verdad:
EDR detecta después del hecho. SIEM alerta después del hecho. La respuesta a incidentes aparece después del hecho.
¿Prevención contra ataques de pulverización de contraseñas?
Eso es antes de que ocurra.
Esa es la diferencia entre perseguir a los atacantes y detenerlos en la puerta.
O mejor aún… nunca dejar que encuentren una puerta que funcione.
Salta la brecha. No esperes la perfección.
Ya sabes a dónde quieres ir.
Sin contraseña. Resistente al phishing. Identidad moderna.
¿Pero hasta entonces?
Tienes contraseñas. Afróntalo.
Bloquee las contraseñas comprometidas. Implemente una política estricta. Elimine las oportunidades fáciles de las que dependen los atacantes.
Porque el peor titular no es:
“Empresa vulnerada por un actor avanzado de un estado-nación”
Es:
“Empresa comprometida… debido a una contraseña débil que podrían haber evitado.”
Reflexión final
Microsoft acaba de darte el documento ancla.
Los datos están ahí. El patrón es obvio.
El 97 % de los ataques entran por la misma puerta principal.
Así que aquí está la jugada fácil.
Sabes que deberías estar sin contraseña. No lo estás.
Tienes contraseñas. Y probablemente las tendrás por... un tiempo. Así que, simplemente enfrentémoslo.
Utilice Netwrix Password Policy Enforcer para detener los ataques de pulverización de contraseñas.
Salta la brecha entre lo que tienes y a dónde quieres llegar.
Y no aparezcas en los periódicos porque pudiste haber hecho algo… y no lo hiciste.
Compartir en
Aprende más
Acerca del autor
Jeremy Moskowitz
Vicepresidente de Gestión de Producto (Productos de Endpoint)
Jeremy Moskowitz es un experto reconocido en la industria de la seguridad informática y de redes. Cofundador y CTO de PolicyPak Software (ahora parte de Netwrix), también es un Microsoft MVP 17 veces en Group Policy, Enterprise Mobility y MDM. Jeremy ha escrito varios libros superventas, incluyendo “Group Policy: Fundamentals, Security, and the Managed Desktop” y “MDM: Fundamentals, Security, and the Modern Desktop”. Además, es un conferenciante muy solicitado en temas como la gestión de configuraciones de escritorio, y fundador de MDMandGPanswers.com.