Fuerza bruta y password spraying contra el correo: cómo detenerlos en cPanel

Tres formas de adivinar una contraseña

El password spraying es el más peligroso para un hosting: como cada cuenta recibe muy pocos intentos, los bloqueos por cuenta no se activan, y basta que un solo usuario tenga una contraseña común para que el atacante entre.

Cómo detectarlos en los logs

Dovecot (IMAP y POP3) registra los fallos en /var/log/maillog con líneas como imap-login: Disconnected (auth failed, 1 attempts in 2 secs): user=<ventas@dominio.cl>, method=PLAIN, rip=203.0.113.25. Exim registra los fallos de autenticación SMTP en /var/log/exim_mainlog como dovecot_login authenticator failed.

# IPs con más fallos de inicio de sesión IMAP/POP3
grep "auth failed" /var/log/maillog | grep -o "rip=[0-9a-f.:]*" | sort | uniq -c | sort -rn | head

# Usuarios con más fallos (un patrón parejo en muchos usuarios = spraying)
grep "auth failed" /var/log/maillog | grep -o "user=<[^>]*>" | sort | uniq -c | sort -rn | head -30

# Fallos de autenticación SMTP
grep "authenticator failed" /var/log/exim_mainlog | grep -o "set_id=[^)]*" | sort | uniq -c | sort -rn | head

Fíjate en dos patrones: una IP con cientos de fallos (fuerza bruta, fácil de bloquear) y decenas de usuarios distintos con uno o dos fallos cada uno en la misma ventana de tiempo (spraying, más difícil). Si después de una ola de fallos aparece un inicio de sesión correcto desde una IP extranjera, trata esa cuenta como comprometida.

Configurar cPHulk

cPHulk es la protección contra fuerza bruta incluida en cPanel. Cubre cPanel, WHM, webmail, IMAP, POP3 y SMTP. Se configura en WHM › Security Center › cPHulk Brute Force Protection:

1. Agrega tu IP y la de tu oficina a la lista blanca antes de nada, para no bloquearte a ti mismo.
2. Activa la protección por usuario y la protección por IP. La primera bloquea cuentas atacadas; la segunda, IPs atacantes.
3. Usa umbrales moderados: por ejemplo, 5 fallos por IP en 15 minutos y un bloqueo de varias horas tras fallos repetidos.
4. Si tus clientes están solo en algunos países, considera bloquear países desde los que nunca deberían iniciar sesión (Countries Management).

cPHulk cuenta intentos por IP y por usuario. Contra un spraying distribuido, con muchas IPs y pocos intentos por cuenta, ayuda poco. Por eso las medidas del siguiente apartado son igual de importantes.

Si usas ConfigServer Security & Firewall (CSF), sus opciones LF_POP3D, LF_IMAPD y LF_SMTPAUTH bloquean en el firewall las IPs con demasiados fallos, y LF_DISTATTACK detecta ataques distribuidos contra una misma cuenta.

Cerrar las puertas que aprovechan

• Desactiva la autenticación en texto plano: en WHM › Service Configuration › Mailserver Configuration, deja "Allow Plaintext Authentication" en No. Así ninguna contraseña viaja sin cifrar.
• Contraseñas fuertes obligatorias en WHM › Security Center › Password Strength Configuration. Las contraseñas que usa el spraying son justamente las débiles y comunes.
• Contraseñas únicas. Una contraseña reutilizada y filtrada en otro sitio se prueba con éxito al primer intento.
• Revisa las cuentas que nadie usa. Buzones de exempleados o de pruebas, con contraseñas antiguas, son el blanco favorito.

Si un ataque tuvo éxito

Cambia la contraseña, revisa reenviadores y filtros del buzón y comprueba si la cuenta empezó a enviar spam. El procedimiento completo está en cuenta de correo comprometida. Recuerda que, además de la fuerza bruta, la otra gran vía para robar contraseñas es el phishing de credenciales, que ningún bloqueo por intentos fallidos puede detener.

Preguntas frecuentes