La enumeración de cuentas es una técnica de ataque donde un atacante determina qué nombres de usuario, direcciones de correo electrónico o identificadores de cuenta están registrados en un sistema analizando las diferencias en las respuestas de la aplicación.
TL;DR La enumeración de cuentas explota el hecho de que la mayoría de las aplicaciones responden de forma diferente a nombres de usuario válidos vs inválidos — “contraseña incorrecta” para un usuario válido, “cuenta no encontrada” para uno inválido. Los atacantes usan esta diferencia para construir listas de cuentas confirmadas, que luego atacan con credential stuffing, phishing o fuerza bruta. La solución es usar respuestas idénticas para ambos casos — mismo mensaje, mismo código de estado HTTP y mismo tiempo de respuesta — para que un atacante no pueda distinguir una cuenta válida de una inválida.
¿Qué es la enumeración de cuentas?
La enumeración de cuentas es el proceso de descubrir cuentas de usuario válidas en un sistema enviando diferentes identificadores y observando cómo responde. Cuando una aplicación da retroalimentación diferente para cuentas válidas vs inválidas, un atacante puede probar sistemáticamente grandes listas de nombres de usuario o direcciones de correo electrónico y confirmar cuáles existen.
Una vez que un atacante tiene una lista confirmada de cuentas válidas, esas cuentas se convierten en objetivos de alto valor para:
- Credential stuffing — probando contraseñas filtradas conocidas contra cuentas confirmadas
- Phishing dirigido — enviando correos de phishing convincentes a direcciones de correo confirmadas
- Ataques de fuerza bruta — enfocando las adivinanzas de contraseña solo en cuentas válidas confirmadas
- Fraude de toma de cuentas — usando ingeniería social sabiendo que la cuenta existe
Dónde ocurre la enumeración
Formularios de inicio de sesión
La ubicación más común. Las aplicaciones frecuentemente devuelven mensajes diferentes para nombres de usuario válidos vs inválidos:
| Respuesta | Lo que revela |
|---|---|
| “Contraseña incorrecta” | ✅ El nombre de usuario EXISTE |
| “Cuenta no encontrada” | ❌ El nombre de usuario NO existe |
| “Cuenta no encontrada” → “Contraseña incorrecta” | El atacante ahora conoce un nombre de usuario válido |
Incluso diferencias sutiles — diferentes códigos de estado HTTP, diferente comportamiento de redirección o diferentes tiempos de respuesta — pueden revelar la validez de la cuenta.
Formularios de restablecimiento de contraseña
Los flujos de restablecimiento de contraseña son frecuentemente vulnerables:
- “Enviamos un correo de restablecimiento a esa dirección” → la cuenta existe
- “No se encontró ninguna cuenta con ese correo” → la cuenta no existe
Un atacante envía direcciones de correo una a la vez y observa qué respuesta recibe, confirmando qué correos están registrados.
Formularios de registro
Los flujos de registro filtran la existencia de cuenta cuando verifican nombres de usuario o correos duplicados:
- “Ese correo ya está registrado. Inicia sesión en su lugar.” → el correo existe
- “Correo disponible, crea tu cuenta.” → el correo no existe
Los atacantes envían direcciones de correo y observan la respuesta para enumerar usuarios registrados.
Ataques de timing
Incluso con mensajes de error idénticos, las aplicaciones pueden filtrar la validez de la cuenta a través del tiempo de respuesta. Si verificar un usuario válido activa una comparación de hash de contraseña (que toma ~100ms) mientras que verificar un usuario inválido la omite (retornando en ~5ms), la diferencia de tiempo revela la existencia de la cuenta.
Un atacante que mide los tiempos de respuesta en miles de solicitudes puede determinar qué cuentas son válidas — incluso cuando los mensajes de error son idénticos.
Solución: Siempre ejecuta las mismas operaciones independientemente de si la cuenta existe. Hashea un valor ficticio cuando no se encuentre la cuenta para normalizar el tiempo de respuesta.
Cómo prevenir la enumeración de cuentas
1. Usa mensajes de error genéricos
Para inicio de sesión, restablecimiento de contraseña y registro, usa el mismo mensaje independientemente de si la cuenta existe:
✅ “Si existe una cuenta con ese correo, recibirás un enlace de restablecimiento en breve.”
❌ “No se encontró ninguna cuenta con esa dirección de correo.” ❌ “Ese correo ya está registrado.”
2. Usa los mismos códigos de estado HTTP
Devuelve 200 OK para envíos de restablecimiento de contraseña independientemente de si el correo está registrado. Devolver 404 para cuentas inválidas y 200 para válidas filtra información.
3. Normaliza los tiempos de respuesta
Siempre ejecuta el mismo camino de código (incluyendo el hash de contraseña) independientemente de si la cuenta existe. Usa funciones de comparación en tiempo constante donde las diferencias de timing podrían filtrar información.
4. Implementa rate limiting
Limita el número de solicitudes a los endpoints de inicio de sesión, registro y restablecimiento de contraseña por dirección IP, por huella de dispositivo o por dirección de correo. La enumeración automatizada requiere enviar miles de solicitudes — el rate limiting aumenta significativamente el costo.
5. Despliega detección de bots
La enumeración de cuentas a escala la realizan bots. Las soluciones de gestión de bots identifican y bloquean la enumeración automatizada basándose en señales de comportamiento — frecuencia de solicitudes, patrones de movimiento del mouse, huellas de navegador y reputación de IP — antes de que las solicitudes lleguen a la aplicación.
6. Usa CAPTCHA para flujos sensibles
Agregar desafíos CAPTCHA a los formularios de inicio de sesión, registro y restablecimiento de contraseña fuerza la interacción humana, bloqueando herramientas de enumeración automatizada.
7. Monitorea patrones de enumeración
Registra los intentos de inicio de sesión fallidos y las solicitudes de restablecimiento de contraseña. Alerta sobre patrones como: una sola IP enviando cientos de direcciones de correo diferentes en una ventana corta, o una alta tasa de respuestas “cuenta no encontrada” de una sola fuente.
Enumeración de cuentas vs fuerza bruta vs credential stuffing
| Ataque | Objetivo | Qué se prueba | Escala |
|---|---|---|---|
| Enumeración de cuentas | Descubrir nombres de usuario/correos válidos | Existencia de nombre de usuario/correo | Miles a millones de identificadores |
| Fuerza bruta | Descifrar una contraseña | Combinaciones de contraseña para una cuenta conocida | Millones de intentos de contraseña |
| Credential stuffing | Iniciar sesión con credenciales filtradas | Pares usuario+contraseña conocidos de filtraciones de datos | Millones de pares de credenciales |
La enumeración es frecuentemente el primer paso — los atacantes enumeran cuentas válidas y luego ejecutan credential stuffing contra la lista confirmada.
Preguntas frecuentes
¿Qué es la enumeración de cuentas en términos simples? La enumeración de cuentas es cuando un atacante usa las diferentes respuestas de una aplicación para descubrir qué nombres de usuario o correos están registrados. Si un formulario de inicio de sesión dice “contraseña incorrecta” para usuarios válidos y “usuario no encontrado” para inválidos, un atacante puede probar miles de direcciones y construir una lista de cuentas reales.
¿Por qué es peligrosa la enumeración de cuentas? Una lista confirmada de cuentas válidas le da a los atacantes una lista de objetivos verificados. Pueden ejecutar ataques de credential stuffing (probando contraseñas filtradas), campañas de phishing o ataques de fuerza bruta específicamente contra cuentas que saben que existen — aumentando drásticamente su eficiencia.
¿Cómo sé si mi aplicación es vulnerable? Prueba tu propio formulario de inicio de sesión: envía un correo registrado válido con una contraseña incorrecta, y envía un correo completamente inválido. Si los mensajes de error, los códigos de estado HTTP o los tiempos de respuesta difieren, tu aplicación es vulnerable a la enumeración.
¿Cuál es la mejor forma de prevenir la enumeración de cuentas? La corrección más efectiva es siempre devolver la misma respuesta — mismo mensaje, mismo código de estado, mismo tiempo de respuesta — independientemente de si la cuenta existe. Combinado con rate limiting y detección de bots, esto elimina la enumeración como un ataque viable.
¿La enumeración de cuentas es lo mismo que la fuerza bruta? No. Los ataques de fuerza bruta prueban muchas contraseñas contra una cuenta conocida. La enumeración de cuentas descubre qué cuentas existen en primer lugar. La enumeración frecuentemente precede a la fuerza bruta — los atacantes enumeran cuentas válidas primero, luego enfocan las adivinanzas de contraseña solo en esas cuentas.
¿HTTPS previene la enumeración de cuentas? No. HTTPS cifra la conexión, evitando la interceptación, pero la enumeración de cuentas explota las propias respuestas de la aplicación — no la interceptación de red. Un atacante que hace sus propias solicitudes verá las mismas respuestas independientemente de si se usa HTTPS.
¿Qué es un ataque de timing en el contexto de la enumeración? Un ataque de timing explota las diferencias en el tiempo que tarda un servidor en responder. Si el servidor verifica el hash de contraseña de un usuario cuando la cuenta existe (100ms) pero devuelve inmediatamente cuando la cuenta no existe (5ms), un atacante que mide los tiempos de respuesta puede determinar la validez de la cuenta incluso cuando los mensajes de error son idénticos.
¿Puede un WAF detener la enumeración de cuentas? Un WAF puede detectar y bloquear algunos patrones de enumeración — especialmente las solicitudes automatizadas de alto volumen. Sin embargo, la enumeración sofisticada usa proxies residenciales y distribuye las solicitudes para evitar los límites de tasa. La gestión de bots con análisis de comportamiento es más efectiva que las reglas de WAF solas para detener la enumeración a escala.