Huntress documentó 81 millones de intentos de login en una sola campaña de dos semanas que explotó autenticación heredada sin cobertura de segundo factor.
Entre enero y junio de 2026, los ataques de password spraying —técnica que prueba contraseñas comunes contra múltiples cuentas para evitar bloqueos por intentos fallidos— crecieron 155 veces respecto al mismo período del año anterior, según datos de telemetría de Huntress. El pico de actividad se concentró en una campaña que generó más de 81 millones de intentos de login en apenas dos semanas, aprovechando que ciertos flujos de autenticación legacy quedaron fuera del alcance de las políticas de autenticación multifactor implementadas por las organizaciones afectadas.
Cómo los atacantes encontraron la puerta trasera en las políticas de MFA
El patrón observado por Huntress no explotó vulnerabilidades técnicas en el sentido tradicional, sino brechas de configuración: las políticas de MFA aplicadas por las organizaciones cubrían los flujos de autenticación modernos —aplicaciones web, clientes móviles, portales de usuario— pero dejaron sin protección los protocolos legacy como IMAP, POP3, SMTP autenticado y ciertos endpoints de API que todavía aceptan autenticación básica. Estos flujos, diseñados antes de que MFA se convirtiera en estándar, no fueron deshabilitados ni migrados a métodos de autenticación más seguros.
El resultado es que un atacante con acceso a listas de credenciales filtradas —obtenidas de brechas previas no relacionadas con la organización objetivo— puede probar combinaciones de usuario y contraseña contra estos endpoints sin enfrentar el segundo factor. La técnica de password spraying minimiza el riesgo de detección al distribuir los intentos: en lugar de probar muchas contraseñas contra una sola cuenta (lo que dispara alertas de bloqueo), se prueba una contraseña común contra miles de cuentas diferentes, rotando entre ellas para mantenerse bajo los umbrales de alerta.
Por qué 81 millones de intentos en dos semanas no dispararon bloqueos masivos
La campaña de dos semanas documentada por Huntress generó más de 81 millones de intentos de login sin provocar bloqueos generalizados porque los atacantes distribuyeron la carga entre múltiples direcciones IP de origen y espaciaron los intentos por cuenta objetivo. Cada cuenta individual recibió un número de intentos fallidos que quedaba por debajo del umbral configurado para bloqueo automático —típicamente entre 5 y 10 intentos en un período de tiempo corto—, pero el volumen agregado a nivel de toda la infraestructura reveló la escala real del ataque.
Este comportamiento es característico del password spraying moderno: los atacantes ya no buscan forzar una cuenta específica, sino validar credenciales reutilizadas a escala industrial. Una tasa de éxito de apenas 0,5% sobre 81 millones de intentos significa más de 400.000 cuentas comprometidas —suficiente para monetizar el acceso mediante venta de credenciales, despliegue de ransomware o exfiltración de datos.
El riesgo estructural en América Latina: autenticación legacy sin inventario
Aunque Huntress no desglosó datos geográficos específicos, el patrón de explotación de autenticación legacy tiene implicancias directas para organizaciones en América Latina. La región mantiene una alta proporción de infraestructura de correo electrónico on-premise —Exchange Server, Zimbra, soluciones de hosting compartido— que todavía soporta protocolos IMAP y POP3 sin restricciones, muchas veces porque aplicaciones internas o flujos de integración dependen de ellos. En México y Brasil, sectores como banca, retail y gobierno han migrado sus portales web a MFA obligatorio, pero los sistemas de backend que procesan correo, sincronización de calendarios o acceso API para aplicaciones móviles legacy frecuentemente quedan fuera del alcance de esas políticas.
El problema no es solo técnico: muchas organizaciones no tienen un inventario completo de qué flujos de autenticación están activos en su infraestructura. La migración a MFA se implementa sobre los puntos de acceso visibles —el portal de webmail, el VPN, el SSO corporativo— pero los endpoints legacy, que no generan tráfico de usuario final frecuente, permanecen habilitados sin supervisión hasta que un ataque los expone.
Qué distingue este aumento de 155 veces de campañas previas
El crecimiento de 155 veces en seis meses no es un pico aislado de una botnet específica, sino un cambio de escala en la actividad de múltiples actores. Huntress no atribuyó la campaña de 81 millones de intentos a un grupo en particular, lo que sugiere que la técnica se está commoditizando: herramientas de password spraying que antes requerían infraestructura propia ahora están disponibles como servicios en foros clandestinos, con acceso a proxies residenciales rotativos y listas de credenciales actualizadas semanalmente.
La diferencia con campañas de años anteriores es que los atacantes ya no necesitan comprometer la infraestructura objetivo para obtener acceso inicial —simplemente validan credenciales reutilizadas contra endpoints que quedaron sin MFA. Esto reduce el tiempo entre el inicio del ataque y el acceso efectivo a minutos en lugar de días, y elimina la necesidad de explotar vulnerabilidades técnicas que puedan ser parcheadas.
Nuestro análisis
El aumento de 155 veces en password spraying durante el primer semestre de 2026 confirma un patrón que ya se venía observando desde 2024: la autenticación multifactor, cuando se implementa de manera parcial, no elimina el riesgo de compromiso de credenciales —solo lo desplaza hacia los flujos que quedaron sin cobertura. La campaña de 81 millones de intentos en dos semanas no explotó una falla de día cero ni una vulnerabilidad crítica, sino la brecha entre la política de seguridad declarada (MFA obligatorio) y la realidad de la infraestructura (protocolos legacy todavía activos sin segundo factor).
Lo que todavía no está claro es qué proporción de las organizaciones afectadas tenía visibilidad sobre esos flujos legacy antes del ataque. La telemetría de Huntress captura intentos de login, pero no revela si las víctimas habían inventariado previamente sus endpoints de autenticación o si descubrieron la exposición recién cuando empezaron a ver accesos no autorizados. Si la mayoría de las organizaciones no sabía que esos flujos estaban activos, el problema no es solo de configuración de MFA —es de falta de inventario de superficie de ataque. ¿Cuántas otras brechas de política similares existen en infraestructura que nadie está monitoreando porque asume que ya está protegida?