{"id":113161,"date":"2026-08-20T22:35:56","date_gmt":"2026-08-20T20:35:56","guid":{"rendered":"https:\/\/blog.mailfence.com\/que-es-un-ataque-de-tabla-de-arcoiris-y-por-que-ya-casi-no-funciona\/"},"modified":"2026-09-14T11:28:27","modified_gmt":"2026-09-14T09:28:27","slug":"ataque-tablas-arcoiris","status":"publish","type":"post","link":"https:\/\/blog.mailfence.com\/es\/ataque-tablas-arcoiris\/","title":{"rendered":"Qu\u00e9 Es un Ataque con Tablas Arco\u00edris y por Qu\u00e9 Ya Casi No Funciona"},"content":{"rendered":"\n

En pocas palabras<\/strong><\/p>\n\n

Un ataque con tablas arco\u00edris funciona comparando el hash de una contrase\u00f1a robada con una tabla de consulta previamente creada que relaciona hashes conocidos con sus contrase\u00f1as correspondientes. Este m\u00e9todo deja de funcionar pr\u00e1cticamente por completo cuando la contrase\u00f1a se almacena con una sal, algo que hoy en d\u00eda es una pr\u00e1ctica est\u00e1ndar.<\/strong><\/p>\n\n

El \u00absalting\u00bb consiste en incorporar un valor aleatorio a cada contrase\u00f1a antes de generar su hash. Como cada contrase\u00f1a recibe un valor aleatorio \u00fanico, dos contrase\u00f1as id\u00e9nticas generan hashes almacenados completamente diferentes. <\/p>\n\n

Este \u00fanico cambio es la raz\u00f3n principal por la que el ataque pas\u00f3 de ser una amenaza grave a quedar pr\u00e1cticamente obsoleto. Para proteger tu cuenta al 100 %, la suite Mailfence combina el cifrado con unos ajustes de seguridad predeterminados muy s\u00f3lidos desde el momento en que creas tu bandeja de entrada. <\/p>\n\n

El t\u00e9rmino \u00abataque con tablas arco\u00edris\u00bb aparece en casi cualquier lista de m\u00e9todos para descifrar contrase\u00f1as. Su nombre suena intimidante y, durante mucho tiempo, este tipo de ataque realmente lo fue. <\/p>\n\n

\u00bfQu\u00e9 cambi\u00f3? Una defensa sencilla conocida como \u00absalting\u00bb, o uso de una sal, elimin\u00f3 gran parte de su eficacia. Sin embargo, la t\u00e9cnica no ha desaparecido por completo. Todav\u00eda puede funcionar contra sistemas obsoletos y contrase\u00f1as reutilizadas. <\/p>\n\n

La pregunta realmente \u00fatil no es si el nombre resulta alarmante, sino si alguno de los sistemas de los que dependes sigue siendo vulnerable y qu\u00e9 puedes hacer para cerrar esa brecha. <\/p>\n\n

\u00bfQu\u00e9 es un ataque con tablas arco\u00edris?<\/h2>\n\n

Un ataque con tablas arco\u00edris recupera contrase\u00f1as comparando hashes robados con una gran tabla precalculada que relaciona cada hash con su contrase\u00f1a original en texto plano.<\/strong> En lugar de probar contrase\u00f1as en tiempo real, el atacante realiza una consulta directa.<\/p>\n\n

Cualquier servicio competente almacena tu contrase\u00f1a como un hash: una huella digital de longitud fija generada mediante una funci\u00f3n unidireccional. La contrase\u00f1a original nunca se almacena. <\/p>\n\n

La vulnerabilidad aparece porque las contrase\u00f1as id\u00e9nticas siempre generan hashes id\u00e9nticos. Una tabla arco\u00edris aprovecha precisamente esta regularidad<\/strong>, convirtiendo un \u00fanico archivo preparado de antemano en una herramienta capaz de descifrar miles de hashes robados en una sola operaci\u00f3n.<\/p>\n\n

Esta eficiencia convirti\u00f3 durante a\u00f1os a las tablas arco\u00edris en uno de los m\u00e9todos m\u00e1s r\u00e1pidos para descifrar grandes conjuntos de contrase\u00f1as filtradas.<\/p>\n\n

\u00bfPor qu\u00e9 se llama tabla arco\u00edris?<\/h3>\n\n

El nombre hace referencia a lo que ocurre dentro de la tabla, no a su aspecto visual. Cada tabla se construye a partir de cadenas de c\u00e1lculos. Cada cadena alterna entre dos operaciones: una funci\u00f3n hash, que transforma una contrase\u00f1a en una cadena de caracteres de longitud fija, y una funci\u00f3n de reducci\u00f3n. <\/p>\n\n

Una funci\u00f3n de reducci\u00f3n convierte un hash en una nueva contrase\u00f1a candidata. No invierte el hash ni descifra nada. Simplemente genera el siguiente eslab\u00f3n de la cadena. <\/p>\n\n

Repetir esta alternancia decenas de veces permite que una sola cadena cubra una enorme cantidad de contrase\u00f1as posibles sin necesidad de almacenar cada una por separado. Solo se conservan los valores inicial y final de cada cadena, lo que reduce enormemente el espacio de almacenamiento necesario.<\/strong><\/p>\n\n

En las versiones m\u00e1s sofisticadas, la propia funci\u00f3n de reducci\u00f3n cambia en cada paso. Esta variaci\u00f3n ayuda a evitar que distintas cadenas colisionen y es el origen del peculiar nombre de esta t\u00e9cnica. <\/p>\n\n

\u00bfC\u00f3mo funciona un ataque de contrase\u00f1as con tablas arco\u00edris?<\/h3>\n\n

El funcionamiento de un ataque con tablas arco\u00edris puede resumirse en cinco pasos:<\/p>\n\n

    \n
  1. Obtener los hashes.<\/strong> El atacante consigue hashes de contrase\u00f1as, normalmente mediante una vulnerabilidad de software, una base de datos comprometida o c\u00f3digo malicioso.<\/li>\n\n\n\n
  2. Identificar el algoritmo.<\/strong> Selecciona o genera una tabla arco\u00edris creada espec\u00edficamente para el algoritmo hash utilizado por el sistema atacado.<\/li>\n\n\n\n
  3. Procesar los hashes a trav\u00e9s de las cadenas.<\/strong> Cada hash robado pasa por la misma secuencia de reducci\u00f3n utilizada para crear la tabla.<\/li>\n\n\n\n
  4. Encontrar la coincidencia.<\/strong> Cuando un hash alcanza el punto final de una cadena conocida, el atacante reconstruye esa cadena desde el principio y recupera la contrase\u00f1a original.<\/li>\n\n\n\n
  5. Reutilizar la contrase\u00f1a en otros servicios.<\/strong> Primero la prueba en la cuenta comprometida y despu\u00e9s en otros servicios, porque la reutilizaci\u00f3n de contrase\u00f1as es donde se produce el verdadero da\u00f1o.<\/strong><\/li>\n<\/ol>\n\n

    Tablas arco\u00edris vs. ataques de diccionario vs. fuerza bruta<\/h2>\n\n

    Los ataques con tablas arco\u00edris forman parte de una familia m\u00e1s amplia de t\u00e9cnicas para descifrar contrase\u00f1as, en la que tambi\u00e9n se incluyen el relleno de credenciales<\/a> y el ataque de difusi\u00f3n de contrase\u00f1as<\/a>.<\/p>\n\n

    \n

    \n \ud83d\udca1 En pocas palabras<\/strong>: el ataque de difusi\u00f3n de contrase\u00f1as consiste en probar una misma contrase\u00f1a de uso habitual en un gran n\u00famero de cuentas, en lugar de probar muchas contrase\u00f1as distintas contra una sola cuenta.\n <\/p>\n<\/div>\n\n

    Lo que diferencia a estos m\u00e9todos es cu\u00e1ndo realizan el trabajo de c\u00e1lculo: algunos hacen todos los c\u00e1lculos en tiempo real, mientras que otros dependen de una preparaci\u00f3n realizada mucho antes de que comience el ataque. La fuerza bruta prueba sistem\u00e1ticamente todas las combinaciones posibles de caracteres hasta encontrar la contrase\u00f1a correcta. <\/p>\n\n

    Criterio<\/strong><\/td>Tabla arco\u00edris<\/strong><\/td>Fuerza bruta<\/strong><\/td>Diccionario<\/strong><\/td><\/tr>
    Recurso principal<\/td>Tabla de consulta predefinida<\/td>Potencia de c\u00e1lculo (CPU\/GPU)<\/td>Listas de contrase\u00f1as habituales<\/td><\/tr>
    Preparaci\u00f3n<\/td>Alta<\/td>Ninguna<\/td>Baja<\/td><\/tr>
    Velocidad durante el ataque<\/td>Muy alta (consulta directa)<\/td>Lenta<\/td>Alta contra patrones comunes<\/td><\/tr>
    Funciona contra hashes con sal<\/td>No<\/strong><\/td>S\u00ed<\/td>S\u00ed<\/td><\/tr><\/tbody><\/table><\/figure>\n\n

    La \u00faltima fila lo resume todo. En cuanto se a\u00f1ade una sal, la tabla previamente generada deja de servir. <\/p>\n\n

    \u00bfSiguen siendo una amenaza los ataques con tablas arco\u00edris?<\/h2>\n\n

    Contra sistemas modernos, casi nunca. Contra sistemas antiguos, sin duda.<\/strong><\/p>\n\n

    Formatos sin sal como NTLM y LM siguen presentes en infraestructuras antiguas. Muchos dispositivos conectados tambi\u00e9n se comercializan con contrase\u00f1as predeterminadas poco seguras. Ambos siguen siendo objetivos f\u00e1ciles para este tipo de ataque. <\/p>\n\n

    La filtraci\u00f3n de LinkedIn de 2012<\/a> es un ejemplo cl\u00e1sico. Las contrase\u00f1as estaban protegidas mediante SHA-1, pero sin sal, lo que dej\u00f3 expuestos aproximadamente 6,5 millones de hashes. Una parte considerable de ellos se descifr\u00f3 en cuesti\u00f3n de d\u00edas. <\/p>\n\n

    Cuatro a\u00f1os despu\u00e9s se conoci\u00f3 la verdadera magnitud del incidente: alrededor de 117 millones de cuentas se hab\u00edan visto afectadas por aquella misma filtraci\u00f3n de 2012.<\/p>\n\n

    Las credenciales robadas siguen siendo uno de los puntos de entrada m\u00e1s fiables para los atacantes. El Data Breach Investigations Report de Verizon las ha relacionado con aproximadamente un tercio de todas las brechas de seguridad durante la \u00faltima d\u00e9cada, y la reutilizaci\u00f3n de contrase\u00f1as es lo que convierte un \u00fanico hash descifrado en acceso a numerosas cuentas. <\/p>\n\n

    \"Gráfico
    Inicialmente se crey\u00f3 que la filtraci\u00f3n de LinkedIn de 2012 hab\u00eda expuesto 6,5 millones de hashes de contrase\u00f1as. En 2016 se descubri\u00f3 que el mismo incidente hab\u00eda afectado en realidad a unos 117 millones de cuentas, todas ellas almacenadas mediante SHA-1 sin sal. Fuente: Krebs on Security \/ Have I Been Pwned, 2016. <\/figcaption><\/figure>\n\n

    \u00bfCu\u00e1l es la mejor defensa contra los ataques con tablas arco\u00edris?<\/h2>\n\n

    A\u00f1adir una sal es la medida m\u00e1s eficaz contra este tipo de ataque.<\/strong> Sin una sal, una tabla arco\u00edris funciona exactamente como est\u00e1 previsto.<\/p>\n\n

    Las funciones espec\u00edficas para almacenar contrase\u00f1as, como bcrypt o Argon2<\/a>, a\u00f1aden una barrera adicional. A diferencia de funciones hash de prop\u00f3sito general como SHA-256, est\u00e1n dise\u00f1adas espec\u00edficamente para almacenar contrase\u00f1as: son deliberadamente lentas, requieren m\u00e1s memoria y aplican autom\u00e1ticamente una sal \u00fanica a cada contrase\u00f1a. <\/p>\n\n

    \n

    \n \ud83d\udca1 En pocas palabras<\/strong>: estas funciones est\u00e1n dise\u00f1adas deliberadamente para ejecutarse con lentitud, lo que hace que los intentos automatizados de descifrado sean mucho m\u00e1s costosos en t\u00e9rminos de tiempo, incluso cuando no se utilizan tablas precalculadas.\n <\/p>\n<\/div>\n\n

    La reutilizaci\u00f3n de contrase\u00f1as es lo que permite que un \u00fanico hash descifrado d\u00e9 acceso a varias cuentas. Utilizar una contrase\u00f1a larga y \u00fanica para cada cuenta no impide un ataque con tablas arco\u00edris \u2014eso sirve principalmente como defensa frente al relleno de credenciales\u2014, pero limita el da\u00f1o si un determinado servicio sufre una brecha. Puedes obtener m\u00e1s informaci\u00f3n sobre los malos h\u00e1bitos relacionados con las contrase\u00f1as<\/a>. <\/p>\n\n

    La autenticaci\u00f3n de dos factores proporciona una capa adicional de protecci\u00f3n y bloquea el acceso incluso si se consigue recuperar una contrase\u00f1a.<\/p>\n\n

    La autenticaci\u00f3n de dos factores a\u00f1ade una capa m\u00e1s de protecci\u00f3n y reduce significativamente el riesgo de que alguien tome el control de tu cuenta incluso si consigue recuperar tu contrase\u00f1a. <\/p>\n\n

    C\u00f3mo protege Mailfence tu cuenta frente a los ataques contra contrase\u00f1as<\/h2>\n\n

    Mailfence almacena todas las contrase\u00f1as mediante algoritmos hash modernos con sal.<\/strong><\/p>\n\n

    Las contrase\u00f1as de las cuentas se almacenan utilizando bcrypt<\/strong>, una funci\u00f3n hash dise\u00f1ada espec\u00edficamente para contrase\u00f1as. bcrypt genera autom\u00e1ticamente una sal aleatoria y \u00fanica para cada contrase\u00f1a y la incorpora al hash almacenado. De este modo, una base de datos robada no contiene dos entradas id\u00e9nticas y las tablas arco\u00edris creadas previamente no tienen nada con lo que realizar una comparaci\u00f3n directa. <\/p>\n\n

    Las conexiones desde el navegador est\u00e1n protegidas mediante SSL\/TLS.<\/p>\n\n

    La autenticaci\u00f3n de dos factores (2FA) est\u00e1 disponible gratuitamente para todas las cuentas.<\/strong> Puede activarse con cualquier aplicaci\u00f3n de autenticaci\u00f3n compatible con TOTP y es posible generar c\u00f3digos de respaldo para recuperar la cuenta. Aunque ning\u00fan sistema de 2FA elimina completamente el riesgo \u2014los c\u00f3digos TOTP pueden ser objeto de phishing en determinadas circunstancias\u2014, reduce considerablemente las posibilidades de acceso no autorizado incluso si una contrase\u00f1a se ve comprometida. <\/p>\n\n

    Para el acceso externo mediante SMTP, IMAP, POP, EAS, xDAV y XMPP, deben utilizarse contrase\u00f1as independientes, revocables y espec\u00edficas para cada servicio<\/strong>, adem\u00e1s de desactivar cualquier servicio que no necesites. Esto reduce la superficie de ataque de la cuenta sin poner en riesgo tus credenciales principales de inicio de sesi\u00f3n. <\/p>\n\n

    Una serie de ajustes de seguridad de la cuenta<\/a> te permiten reforzar a\u00fan m\u00e1s tus defensas en el d\u00eda a d\u00eda.<\/p>\n\n

    \n

    \n \u00abLa mejor defensa frente a los ataques del pasado rara vez es algo espectacular: es una cuesti\u00f3n de disciplina. Nosotros nos encargamos de la parte m\u00e1s compleja, almacenando todas las contrase\u00f1as mediante algoritmos hash modernos con sal, y ofrecemos herramientas sencillas, como la autenticaci\u00f3n de dos factores, para que los usuarios puedan reforzar su propia seguridad\u00bb. \u2014 Patrick De Schutter, cofundador de Mailfence<\/strong>\n <\/p>\n<\/div>\n\n

    Puntos clave<\/strong><\/h2>\n\n
      \n
    • Una tabla arco\u00edris permite recuperar contrase\u00f1as consultando sus hashes en una tabla previamente creada, sin necesidad de realizar c\u00e1lculos en tiempo real.<\/li>\n\n\n\n
    • El \u00absalting\u00bb inutiliza este m\u00e9todo, lo que explica en gran medida por qu\u00e9 este tipo de ataque ha perdido relevancia.<\/li>\n\n\n\n
    • Los sistemas antiguos, los hashes sin sal y los dispositivos conectados con una seguridad deficiente siguen siendo vulnerables.<\/li>\n\n\n\n
    • Utilizar una contrase\u00f1a segura y \u00fanica junto con autenticaci\u00f3n de dos factores reduce considerablemente el riesgo para la cuenta.<\/li>\n<\/ul>\n\n

      Reflexiones finales sobre los ataques con tablas arco\u00edris<\/h2>\n\n

      Los ataques con tablas arco\u00edris llegaron a considerarse una de las t\u00e9cnicas m\u00e1s peligrosas para descifrar contrase\u00f1as. El uso de sales y de funciones hash modernas ha eliminado gran parte de su eficacia, por lo que actualmente sobreviven sobre todo en entornos antiguos o mal configurados. <\/p>\n\n

      Una contrase\u00f1a segura y \u00fanica, combinada con autenticaci\u00f3n de dos factores, sigue siendo una de las defensas m\u00e1s fiables.<\/strong><\/p>\n\t\t

      \n\t\t\t\t\t
      \n\t\t\t\t\t\t
      \n\t\t\t\t\t
      \n\t\t\t
      \n\t\t\t\t\t\t
      \n\t\t\t\t
      \n\t\t\t\t\t\t\t\t\t

      Reciba las \u00faltimas noticias sobre privacidad en su bandeja de entrada<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

      \n\t\t\t\t
      \n\t\t\t\t\t\t\t\t\t

      Suscr\u00edbase al Bolet\u00edn de Mailfence.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

      \n\t\t\t\t
      \n\t\t\t\t\t\t\t
      \n\t\t\t\n\t\t\t\n\t\t\t\n\n\t\t\t\t\t\t\t\n\t\t\t\n\t\t\t
      \n\t\t\t\t\t\t\t\t
      \n\t\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t
      \n\t\t\t\t\t