Password spraying
En ataques a credenciales, el password spraying prueba un número pequeño de contraseñas probables contra un número muy grande de cuentas, en vez de muchas contraseñas contra una cuenta. Está diseñado para quedarse por debajo de los umbrales de bloqueo, y es la técnica que con más fiabilidad produce un primer punto de apoyo en un tenant cloud.
Cómo funciona
El atacante reúne nombres de usuario, cosa que rara vez es difícil porque los formatos de dirección corporativa son predecibles y las listas de personal son públicas, y después elige contraseñas que siguen los patrones que fomenta una política: una estación y un año, el nombre de la empresa con un número, un equipo de fútbol local, el clásico paseo por el teclado. Se intenta una contraseña contra todas las cuentas, y luego el atacante deja pasar la ventana de observación del bloqueo y prueba la siguiente.
Desde el punto de vista de cada cuenta hay un solo inicio de sesión fallido, que no dispara nada. Desde el punto de vista del tenant hay un estallido de fallos en miles de cuentas desde un puñado de orígenes, que es trivialmente detectable si alguien está mirando esa vista. Los atacantes que se lo toman en serio reparten las direcciones de origen para quitar también esa señal.
Qué sale mal
El control que tiene todo el mundo es el que no toca. El bloqueo de cuenta cuenta por cuenta y esta técnica no llega nunca al umbral. La limitación de tasa por dirección de origen la derrota el reparto. Lo que sí lo detecta es una vista de los fallos de autenticación a nivel de tenant, correlacionada por contraseña intentada, origen y momento, y esa vista normalmente no está construida porque las herramientas están orientadas a cuentas individuales.
El hueco más grande es la cobertura de protocolos. Los endpoints de autenticación antigua de una plataforma de correo aceptan un usuario y una contraseña sin invocar nunca la política moderna, así que un tenant con un acceso condicional fuerte se puede atacar con éxito por password spraying a través de un protocolo antiguo que se dejó activado por un dispositivo de un almacén. Este es el hallazgo que más veces informamos en una revisión de Microsoft 365.
Tercero, las cuentas que caen son precisamente las que no protegió nadie. Los buzones compartidos, las cuentas de prueba, las cuentas de servicio con inicio de sesión interactivo activado y las cuentas excluidas de la política de segundo factor por motivos de operación son de donde salen los aciertos.
Dónde aparece esto en una auditoría
Lo ejecutamos con el acuerdo del cliente, a un ritmo pactado de antemano, e informamos de tres cosas: qué cuentas acertaron, qué protocolo aceptó el inicio de sesión y si alguien se dio cuenta. Lo tercero suele ser el hallazgo. Registramos además qué cuentas estaban excluidas de la política, porque esa lista explica los resultados. La recomendación es credenciales resistentes al phishing para todo el mundo antes que contraseñas mejores, además de desactivar las vías antiguas. Esto forma parte de cómo probamos la exposición del inicio de sesión de un tenant como lo hace un atacante.