Kerberoasting: el ataque que aprovecha las contraseñas débiles para derribar sistemas enteros
En septiembre de 2025, seguimos viendo cómo fallos básicos de ciberseguridad pueden provocar catástrofes. El caso de Ascension, donde una brecha de seguridad paralizó 140 hospitales y expuso datos médicos de 5.6 millones de pacientes, nos muestra que incluso las organizaciones más críticas siguen cometiendo errores fundamentales. Y aunque Microsoft está recibiendo gran parte de la culpa oficial, la verdad es que las malas prácticas de seguridad de Ascension tuvieron un papel protagonista.
¿Cómo empezó realmente el ataque a Ascension?
Todo comenzó con algo tristemente habitual: un empleado haciendo clic donde no debía. Según la investigación del senador Ron Wyden, en febrero de 2024 un contratista de Ascension descargó malware tras hacer clic en un enlace que apareció en una búsqueda de Bing. Una decisión aparentemente trivial que desencadenó el caos.
Pero aquí viene lo interesante: los atacantes no solo comprometieron ese dispositivo, sino que pudieron pivotar hacia el Active Directory, la herramienta que gestiona todas las cuentas y privilegios en la red. Es como si alguien entrara por una ventana de tu casa y, de alguna manera, acabara con la llave maestra que abre todas las puertas del edificio.
La técnica utilizada se conoce como «Kerberoasting», y aunque suena a algo que haces con un asado en domingo, es en realidad un método de ataque que lleva años siendo conocido en el mundo de la ciberseguridad. Lo más desconcertante es que este tipo de ataque solo funciona cuando hay una contraseña débil que puede ser crackeada.
¿Qué es exactamente el Kerberoasting?
Para entender este ataque, tenemos que hablar del protocolo Kerberos, ese sistema que Windows usa para la autenticación en red. Cuando te conectas a un sistema Windows corporativo, estás usando Kerberos sin saberlo.
El problema es que la implementación original de Microsoft de Kerberos (de hace tres décadas) utiliza un cifrado RC4 extremadamente vulnerable y una función hash NTLM que cualquier atacante actual puede romper como si fuera un castillo de naipes.
En términos simples, el Kerberoasting funciona así:
- El atacante, usando una cuenta ya comprometida (como el portátil del contratista), solicita tickets de servicio a cuentas importantes
- Estos tickets están cifrados con el hash de la contraseña del servicio
- El atacante descarga estos tickets y los somete a un ataque de fuerza bruta fuera de línea
- Si la contraseña es débil (y aparentemente la de Ascension lo era), consiguen descifrarla
- Con esa contraseña, pueden acceder a servicios críticos y seguir moviéndose por la red
Lo más frustrante es que este ataque fue presentado por primera vez en 2014 por Tim Medin. Sí, hace más de 11 años. Y sigue funcionando porque las organizaciones siguen cometiendo los mismos errores básicos.
Los fallos fundamentales de Ascension
Las organizaciones de salud suelen tener equipos legados que requieren compatibilidad con sistemas antiguos. Lo entiendo. Pero eso no justifica lo que sucedió en Ascension. Vamos a desgranar los fallos más evidentes:
1. Una contraseña crackeable en 2025
El principal responsable de esta debacle parece ser una contraseña que los atacantes pudieron descifrar. Como explicó Tim Medin, el padre del Kerberoasting:
«Con 10 caracteres, una contraseña verdaderamente aleatoria sería inviable de crackear. Esto me lleva a creer que la contraseña no era aleatoria en absoluto.»
Para que te hagas una idea, una contraseña aleatoria de 10 caracteres que use mayúsculas, minúsculas, números y símbolos tendría 95^10 combinaciones posibles. Incluso con el cifrado débil de NTLM, tardaría años en ser crackeada por fuerza bruta.
Entonces, ¿qué pasó? Lo más probable es que Ascension estuviera usando una contraseña predecible, quizás basada en palabras o patrones reconocibles. En 2025, con los recursos computacionales disponibles para los grupos de ransomware, esto es el equivalente a poner «123456» en tu cuenta bancaria.
2. No implementar seguridad en profundidad
Richard Gold, investigador independiente con experiencia en seguridad de Active Directory, señaló algo crucial: «La compromisión de la máquina de un usuario no debería llevar directamente a la compromisión del dominio.»
Y tiene toda la razón. Una buena arquitectura de seguridad sigue el principio de defensa en profundidad – múltiples capas de seguridad que funcionan en conjunto. Si la primera falla, la segunda te protege, y así sucesivamente.
Ascension claramente carecía de:
- Segmentación de red adecuada
- Principio de menor privilegio (dar a cada cuenta solo los permisos mínimos necesarios)
- Monitorización efectiva (tardaron tres meses en detectar la intrusión)
- Controles para limitar el movimiento lateral en la red
3. No utilizar Cuentas de Servicio Administradas
Microsoft ofrece Cuentas de Servicio Administradas (MSA) precisamente para evitar este tipo de ataques. Estas cuentas generan contraseñas aleatorias extremadamente complejas y las rotan automáticamente.
Como destacó Medin: «Las contraseñas de MSA son generadas aleatoriamente y se rotan automáticamente. Eso mata al 100% el Kerberoasting.»
La pregunta obvia es: ¿por qué no las estaban usando?
¿Es Microsoft también responsable?
Sí, Microsoft también tiene parte de culpa. La compañía ha sido criticada (con razón) por:
- Seguir permitiendo por defecto que sus sistemas caigan al método de autenticación más débil
- No hacer obligatorias contraseñas de al menos 14 caracteres
- No advertir claramente sobre los riesgos del Kerberoasting hasta octubre pasado, cinco meses después del ataque a Ascension
Microsoft ha anunciado que, a partir del primer trimestre de 2026, las nuevas instalaciones de Active Directory en Windows Server 2025 deshabilitarán por defecto la implementación débil de Kerberos. Pero como señaló Medin, «muy pocas organizaciones están configurando nuevas instalaciones», así que el impacto real será limitado.
El impacto devastador en la atención sanitaria
Las consecuencias de este ataque fueron devastadoras. Con los sistemas bloqueados, el personal médico perdió acceso a:
- Registros de salud electrónicos
- Sistemas de coordinación de medicamentos
- Programación de procedimientos quirúrgicos
- Resultados de pruebas diagnósticas
Hubo informes de omisiones que pusieron en peligro la vida de pacientes, y las interrupciones continuaron durante semanas. Además, los datos médicos de 5.6 millones de pacientes fueron comprometidos.
Lecciones para todos nosotros
Este caso nos muestra que, incluso en 2025, los principios básicos de ciberseguridad siguen siendo ignorados por organizaciones que manejan información crítica.
La seguridad moderna requiere un enfoque de «cero confianza», donde asumimos que las brechas ocurrirán y diseñamos sistemas que puedan contenerlas. El viejo modelo de «duro por fuera, blando por dentro» está obsoleto.
Como dijo HD Moore
