La guerra silenciosa contra las contraseñas débiles: Mandiant pone en jaque al NTLMv1

Hace pocas semanas, el panorama de la ciberseguridad dio un giro interesante cuando Mandiant, una de las firmas más respetadas del sector, decidió publicar una tabla rainbow capaz de descifrar cualquier contraseña administrativa protegida por el algoritmo NTLMv1 de Microsoft en menos de 12 horas. Y no, no es una amenaza más para añadir a la lista interminable de preocupaciones de los administradores de sistemas. Es, paradójicamente, un llamado de atención con forma de bofetada técnica.

¿Qué es exactamente lo que ha publicado Mandiant?

Lo que ha liberado Mandiant es una tabla rainbow para NTLMv1, algo así como un diccionario precomputado que conecta valores hash con sus correspondientes contraseñas en texto plano. Para que nos entendamos: es como tener un libro donde, en lugar de buscar una palabra y encontrar su definición, buscas el hash cifrado y encuentras la contraseña original.

Lo realmente llamativo no es la existencia de esta herramienta, que lleva décadas siendo posible, sino que ahora cualquiera puede usarla con un equipo doméstico de menos de 600 dólares y obtener resultados en menos de 12 horas. La barrera de entrada se ha desplomado.

Un poco de contexto: NTLMv1, el dinosaurio que se niega a extinguirse

Microsoft lanzó NTLMv1 allá por los años 80, cuando muchos de los que ahora dirigimos equipos de seguridad ni siquiera habíamos nacido o estábamos aprendiendo a montar en bicicleta. Ya en 1999, el legendario Bruce Schneier y Mudge publicaron investigaciones que evidenciaban sus debilidades fundamentales.

La cosa es que, a pesar de que NTLMv2 llegó en 1998 con Windows NT SP4 para solucionar estos problemas, en 2026 seguimos encontrando redes críticas usando este protocolo obsoleto. Es como si siguieras usando un Nokia 3310 para gestionar tu banca online: puede que funcione, pero los riesgos son evidentes.

Cuando el problema no es técnico sino humano

Recuerdo una auditoría reciente donde encontramos NTLMv1 activo en una infraestructura hospitalaria. Cuando preguntamos por qué seguían usando algo tan vulnerable, la respuesta fue la habitual: «Es que tenemos aplicaciones antiguas que dependen de esto y no podemos permitirnos el tiempo de inactividad para migrar».

Este es precisamente el tipo de inercia que Mandiant quiere combatir con esta publicación. No es que los atacantes no tuvieran ya herramientas para explotar estas vulnerabilidades (las tenían desde hace años), pero ahora los defensores tienen una forma directa y contundente de demostrar a los responsables de toma de decisiones lo trivial que resulta comprometer sus sistemas.

Cómo funciona el ataque y por qué es tan efectivo

El ataque funciona contra las contraseñas Net-NTLMv1, utilizadas en la autenticación de red para acceder a recursos compartidos como SMB. Las tablas rainbow publicadas ayudan a los atacantes proporcionando resultados hash por byte con un desafío de texto plano conocido (1122334455667788).

Dado que los hashes Net-NTLM se generan con la contraseña del usuario y este desafío, se convierte en un juego de niños comprometer la cuenta usando estas tablas. Normalmente, herramientas como Responder, PetitPotam y DFSCoerce están involucradas en estos ataques.

El arma definitiva: demostración práctica

Un colega de la industria comentaba en Mastodon algo que todos hemos experimentado alguna vez: «He tenido más de una ocasión en mi carrera en ciberseguridad donde he tenido que demostrar la debilidad de un sistema, y generalmente implica dejar una hoja de papel en su escritorio con su contraseña a la mañana siguiente».

Esta es exactamente la situación que Mandiant quiere facilitar. Las tablas rainbow no significarán mucho para los atacantes avanzados (que ya tienen métodos mejores), pero son oro puro para los profesionales de seguridad que necesitan argumentos contundentes para convencer a la dirección.

¿Qué deberían hacer las organizaciones?

La recomendación de Mandiant es directa y sin rodeos: «Las organizaciones deberían deshabilitar inmediatamente el uso de Net-NTLMv1». No hay matices, no hay excusas técnicas que valgan.

Si tu organización todavía depende de NTLMv1, es hora de planificar la migración. Sí, entiendo que hay sistemas heredados, aplicaciones críticas y preocupaciones por el tiempo de inactividad. Pero seamos realistas: seguir con NTLMv1 en 2026 es como mantener la puerta trasera de tu casa abierta de par en par con un cartel que dice «Bienvenidos, ladrones».

El verdadero costo de la inacción

Lo irónico es que muchas organizaciones justifican mantener NTLMv1 por motivos económicos o para evitar interrupciones, sin considerar el costo potencial de una brecha de seguridad. Un ransomware exitoso podría costar millones en pérdidas, sin mencionar el daño reputacional.

Y lo que antes podía considerarse un riesgo teórico ahora es una amenaza práctica y demostrable gracias a Mandiant. Si antes podíamos escondernos detrás de la complejidad técnica para justificar la inacción, ese escudo ya no existe.

La lección más importante

Lo que me parece fascinante de este caso es cómo ilustra que a veces la mejor defensa es un buen ataque. Mandiant no está haciendo esto para facilitar el trabajo a los malos (que ya tenían herramientas similares), sino para dar munición a los buenos en esas eternas discusiones con la dirección sobre presupuestos y prioridades de seguridad.

En un mundo donde los atacantes evolucionan constantemente, a veces necesitamos tácticas como esta para sacudir la inercia organizacional. Si tu empresa sigue dependiendo de protocolos obsoletos como NTLMv1, quizás sea momento de usar estas nuevas herramientas para hacer una demostración que abra ojos y presupuestos.

Porque al final del día, como bien dice Mandiant, «las organizaciones que sean hackeadas por no hacer caso solo podrán culparse a sí mismas». Y en 2026, esa es una verdad más contundente que nunca.