Laboratorio de credential stuffing
Para cada ataque al endpoint de inicio de sesión, despliega los controles que de verdad lo frenan y deja fuera los que solo tranquilizan.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Todos los endpoints de inicio de sesión sufren ataques de credenciales, pero la misma defensa no detiene todos los ataques. Trabaja un conjunto de patrones reales (credential stuffing distribuido de alta velocidad, ataques lentos y discretos, password spray, una botnet de proxies residenciales, fatiga de MFA, un bloqueo de cuentas usado como arma y la reutilización de credenciales válidas recién robadas por phishing) y, para cada uno, despliega los controles que de verdad lo abordan: MFA, comprobación de credenciales filtradas, limitación de velocidad, bloqueo de cuentas, huella del dispositivo, CAPTCHA, detección de bots y reputación de IP, y un WAF que entienda el credential stuffing. El bloqueo no detiene el spray; la MFA sí. Una lista de contraseñas filtradas no puede marcar una contraseña válida obtenida por phishing. Los límites por IP no sirven contra una botnet distribuida y los proxies residenciales burlan la reputación de IP. Si aplicas un control de más, pagas; si despliegas uno que se vuelve en tu contra (un bloqueo que se convierte en denegación de servicio, un CAPTCHA general que hunde los registros), pagas más. Tras calificar, cada escenario explica por qué cada control sirve o no contra ese ataque. Es un laboratorio Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Lee el escenario de ataque contra el endpoint de inicio de sesión.
- Elige cuáles de los ocho controles defensivos despliegas.
- Evita los controles que no encajan y, sobre todo, los que se vuelven en tu contra.
- Lee la explicación de por qué cada control sirve o no contra ese ataque concreto.
Preguntas frecuentes
¿Qué es el laboratorio de credential stuffing?
Un ejercicio en el navegador en el que defiendes un endpoint de inicio de sesión frente a patrones reales de ataque de credenciales. Para cada escenario (credential stuffing distribuido, ataques lentos y discretos, password spray, botnet de proxies residenciales, fatiga de MFA, bloqueo usado como arma, reutilización de credenciales robadas por phishing) eliges cuáles de ocho controles defensivos desplegar: MFA, comprobación de credenciales filtradas, limitación de velocidad, bloqueo de cuentas, huella del dispositivo, CAPTCHA, detección de bots y reputación de IP, y un WAF que entienda el credential stuffing. Se te puntúa según lo bien que tu conjunto de controles se ajusta a lo que de verdad detiene ese ataque.
¿Cómo se califica?
Cada escenario tiene un conjunto de controles correcto. Ganas puntos por desplegar los controles que abordan el ataque, pierdes puntos por aplicar de más controles que no encajan (fricción sin una amenaza que la justifique) y pierdes el doble por desplegar un control que se vuelve en tu contra en ese escenario: un bloqueo agresivo que se convierte en una denegación de servicio por bloqueo de cuentas, o un CAPTCHA general que un servicio de resolución supera mientras perjudica de forma medible los registros reales. Una partida perfecta acierta en cada escenario: todos los controles eficaces activados y todos los ineficaces o perjudiciales desactivados.
¿Qué enseña de verdad?
Qué control aborda qué ataque, la parte en la que es fácil equivocarse. El bloqueo de cuentas no detiene el password spray (el spray está diseñado para quedarse por debajo del umbral) y la MFA sí; una lista de contraseñas filtradas detiene las credenciales filtradas reutilizadas, pero no puede marcar una contraseña válida recién obtenida por phishing; la limitación de velocidad por IP la burla una botnet distribuida o que rota IP; la reputación de IP se hunde frente a los proxies residenciales; los CAPTCHA los burlan las granjas de resolución. El laboratorio te hace sentir esas diferencias penalizando la opción plausible pero equivocada.
¿Ejecuta algo o envía mis datos a algún sitio?
No. No hay inicio de sesión, ni llamadas de red, ni autenticación real, y no se sube nada. Los escenarios de ataque y los conjuntos de controles correctos son datos estáticos redactados e incluidos en la página, y toda la puntuación se calcula en tu navegador, así que el laboratorio es determinista y privado. No requiere instalación.
¿Para quién es?
Para ingenieros de IAM, de seguridad de aplicaciones y de fraude y abuso que gestionan endpoints de inicio de sesión, miembros de blue team y analistas de SOC que hacen el triaje de ataques de autenticación, y cualquiera que prepare una entrevista de seguridad y quiera razonar con claridad sobre por qué el bloqueo falla frente al spray, por qué los proxies residenciales burlan la reputación de IP y por qué la MFA resistente al phishing es el único control que aguanta frente a credenciales válidas recién robadas.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.