Brute force y MFA
Brute force es uno de los seis tipos de ataque del duelo de cartas, y MFA es la defensa que lo contrarresta. Aquí encontrarás qué representan en la seguridad real, cómo se enfrentan en el juego y todas sus 19 cartas.
El ataque: Brute force
La fuerza bruta prueba contraseña tras contraseña hasta que una funciona. Las variantes más astutas son el ataque de diccionario, que usa las palabras más comunes, el password spraying, que prueba pocas contraseñas en muchísimas cuentas para no activar bloqueos, y el credential stuffing, que reutiliza pares de credenciales robados en otros sitios. Funciona porque muchas contraseñas son cortas, previsibles o reutilizadas en varios sitios.
La defensa: MFA
La autenticación multifactor (MFA) pide, además de la contraseña, una segunda prueba: un código temporal, una notificación en el móvil, una llave física o una passkey. Así una contraseña adivinada o robada ya no basta para entrar. Las llaves FIDO2 y las passkeys resisten incluso el phishing, porque no se pueden usar en un sitio falso.
Quién frena a quién
- MFA contra Brute force: la mitad de daño. Aunque se adivine la contraseña, falta el segundo factor: el acceso sigue cerrado.
- Brute force contra IDS: daño doble. Cada intento es un inicio de sesión normal en la página correcta: un ataque lento y distribuido se parece al tráfico normal.
- Brute force contra Parche: daño doble. No aprovecha ningún fallo, usa la función de acceso tal como es: ninguna actualización hace robusta una contraseña débil.
- Exploit contra MFA: daño doble. El exploit no pasa por el inicio de sesión, se salta por completo la autenticación: el segundo factor nunca entra en juego.
- Escaneo contra MFA: daño doble. Un escaneo no intenta entrar en ninguna cuenta, solo mira qué responde: el segundo factor no tiene nada que ver.
En todas las demás combinaciones el daño es normal.
Los combos con Brute force
- Kill chain (Escaneo → Exploit o Brute force, +2 de daño): primero se descubre qué está expuesto y luego se ataca el punto débil encontrado.
- Robo de credenciales (Phishing → Brute force, +2 de daño): las contraseñas conseguidas con phishing hacen mucho más eficaces los intentos de acceso.
Cartas de ataque Brute force (10)
Password spray
Prueba pocas contraseñas comunes en muchísimas cuentas para no provocar bloqueos.
Ataque de diccionario
Prueba las contraseñas más comunes, una tras otra. Funciona más a menudo de lo que crees.
Credential stuffing
Reutiliza usuarios y contraseñas robados en otros sitios: funciona porque se repite la contraseña.
Fuerza bruta masiva
Un ataque sólido a coste medio.
Credential dump
Robas una carta.
Low and slow
Pocos intentos, muy espaciados: quedan por debajo del umbral de las alarmas y los bloqueos no se activan. Durante 2 turnos, al inicio del turno las defensas rivales pierden 1 de resistencia.
Claves API expuestas
Una clave olvidada en un repositorio público vale lo mismo que una contraseña. Se evita con secretos en una bóveda y análisis de los repositorios. El rival descarta 1 carta al azar.
Rainbow table
Ataque fuerte, sin efectos.
MFA fatigue
Ráfagas de solicitudes de aprobación hasta que el usuario, cansado, acepta. Se responde con la confirmación de un número y un límite de solicitudes. Las defensas del rival quedan expuestas (+1 de daño) durante 2 turnos.
Pass-the-hash
La huella de una contraseña basta para saltar de una máquina a otra sin conocerla. Se limita con credenciales locales únicas y niveles de administración. La defensa rival más fuerte pierde 2 de resistencia y las defensas del rival quedan expuestas (+1 de daño) durante 2 turnos.
Cartas de defensa MFA (9)
Código OTP
Segundo factor con un código temporal: la contraseña sola ya no basta.
Gestor de contraseñas
Contraseñas largas y distintas para cada sitio, sin tener que recordarlas. Defensa barata.
Llave de seguridad
Llave FIDO2 física: resiste incluso al phishing de credenciales.
Bastion host
Provocación: hay que golpearla primero.
Passkey
Regenera: +1 de resistencia al inicio del turno.
Control de acceso a la red (NAC)
Cada dispositivo debe identificarse antes de entrar: uno desconocido se queda fuera o acaba en cuarentena. Provocación: hay que golpearla primero. Escudo: −1 a cada daño a tu core.
Bóveda cifrada
Una cámara acorazada digital: datos cifrados que solo se abren con varios factores. Armadura: −1 a cada golpe recibido.
Fortaleza zero trust
Una arquitectura donde cada acceso se verifica, incluso desde dentro de la red. Armadura: −1 a cada golpe recibido. Escudo: −1 a cada daño a tu core.
Llave FIDO2
La credencial está ligada al sitio verdadero: en uno falso no produce nada y el phishing pierde su sentido. Contraataque: quien la golpea pierde 1 de integridad.
Guías relacionadas (en inglés)
Para aprender la parte técnica están los laboratorios simulados: