La empresa Huntress detectó un aumento de 155 veces en los ataques de pulverización de contraseñas durante el primer semestre de 2026, en una oleada que aprovechó credenciales filtradas y rutas de autenticación antiguas que no siempre están protegidas por la autenticación multifactor (MFA). Entre los casos más destacados se encontraba una campaña dirigida contra la herramienta Azure CLI, utilizada por los administradores de sistemas para gestionar recursos de Azure y Entra.
La actividad se originó en un rango IPv6 controlado por la empresa de alojamiento de Internet LSHIY LLC. La campaña comenzó meses antes, pero a mediados de junio Huntress registró más de 81 millones de intentos de inicio de sesión relacionados con ella durante dos semanas, que culminaron en la vulneración de 78 cuentas. La empresa no observó actividad posterior tras las vulneraciones relacionadas con esta campaña, mientras que Rich Mozeleski, director de productos de Huntress, estimó que el atacante estaba verificando la validez de las credenciales con vistas a revenderlas en la web oscura.
¿Cómo se ejecutaron los ataques?
La pulverización de contraseñas consiste en probar un número limitado de contraseñas comunes o filtradas en muchas cuentas, en lugar de intentar un gran número de contraseñas en una sola cuenta, un método que ayuda al atacante a evitar los límites de bloqueo y las alertas directas. El proceso suele comenzar con la recopilación de nombres de usuario válidos a partir de los sitios web de las empresas, LinkedIn, filtraciones de datos y campañas de phishing, seguida de la preparación de una lista corta de contraseñas conocidas o relacionadas con el nombre de la empresa o con determinadas temporadas.
- Recopilar posibles nombres de usuario.
- Preparar una lista limitada de contraseñas filtradas o comunes.
- Probar una contraseña en varias cuentas a un ritmo bajo.
- Utilizar la cuenta comprometida para el movimiento lateral, el compromiso del correo electrónico empresarial o el robo de datos adicionales.
Según Huntress, la campaña de LSHIY combinó un amplio volumen de intentos con la reutilización de pares válidos de nombres de usuario y contraseñas filtrados anteriormente que aún no habían sido cambiados. Por ello, el intento exitoso tenía más valor que una adivinación aleatoria de una contraseña.
La vulnerabilidad en la ruta de autenticación
Los atacantes también explotaron el mecanismo Resource Owner Password Credentials, conocido por sus siglas ROPC, una concesión OAuth antigua que fue retirada en OAuth 2.1. Este mecanismo envía el nombre de usuario y la contraseña directamente al endpoint /token y no proporciona flujos de autenticación modernos como MFA o el inicio de sesión único (SSO), ni muestra una solicitud interactiva de autenticación multifactor.
En la práctica, esto significa que una contraseña reutilizada que siga siendo válida puede convertirse en una sesión de acceso activa incluso cuando la organización haya habilitado MFA mediante una política de acceso condicional (CAP), si la política no incluye específicamente la ruta ROPC. Andrew “Spike” Brandt, responsable principal de incidentes de inteligencia sobre amenazas de Huntress, describió técnicamente este mecanismo como un «método de suplantación», pese a que se denomina método de autorización.
¿Qué cambia en la práctica?
La campaña demuestra que habilitar MFA de forma general no garantiza la protección de todas las rutas de inicio de sesión. Las rutas antiguas o las excepciones no incluidas en las políticas de acceso pueden dar a las credenciales filtradas la oportunidad de eludir la protección interactiva. Huntress indicó que LSHIY detuvo posteriormente los ataques desde el rango de IP original y confirmó que el atacante utilizó su servicio Bring Your Own IP (BYOIP).