¿Qué es Pass the Hash (PtH)?
¿Qué es Pass the Hash (PtH)?
Escrito por: Lizzie Danielson
Publicado: 31/3/2026
Un ataque Pass the Hash (PtH) es una técnica de hacking en la que un atacante roba una credencial de usuario con hash y la reutiliza para engañar a un sistema de autenticación y hacer que cree una nueva sesión en la misma red. Este método le permite al atacante moverse lateralmente por una red sin necesidad de descifrar el hash de la contraseña para conocer la contraseña en texto plano.
Antes de poder explicar a fondo Pass the Hash, tenemos que hablar de cómo funciona la autenticación moderna. No es tan simple como que tú escribas tu contraseña y el sistema diga: "¡Sí, es esa!"
Piensa en un hash como una huella digital para tu contraseña. Cuando creas una contraseña para un servicio, el sistema no guarda tu contraseña real—eso sería un enorme riesgo de seguridad. En cambio, procesa tu contraseña mediante una función matemática compleja llamada "algoritmo de cálculo de resúmenes criptográficos" (como NTLM o LANMAN). Este proceso convierte tu contraseña simple, como P@ssword123!, en una cadena de caracteres larga y de longitud fija, como A1B2C3D4E5F6G7H8....
Es un sistema ingenioso diseñado para proteger las credenciales incluso si una base de datos es vulnerada. Pero, como sabemos, los atacantes son aún más ingeniosos.
Entonces, si el sistema no guarda la contraseña, ¿cómo entran los atacantes? Van tras lo siguiente mejor: el hash.
Cuando un usuario inicia sesión en una máquina de una red Windows, su credencial con hash suele guardarse en la memoria del equipo—específicamente en un proceso como Local Security Authority Subsystem Service (LSASS). Un atacante que ya obtuvo acceso inicial a una sola máquina de la red puede usar herramientas como Mimikatz para extraer el contenido de la memoria de LSASS.
Dentro de ese volcado de datos están los boletos dorados: hashes NTLM de usuarios que iniciaron sesión recientemente en esa máquina, incluidos administradores locales y usuarios del dominio. El atacante no necesita conocer la contraseña. Solo necesita el hash.
Una vez que el atacante tiene el hash NTLM de un usuario, empieza la verdadera diversión para él—y la pesadilla para ti. Ahora puede hacerse pasar por ese usuario para acceder a otros sistemas de la red.
Aquí hay un resumen simplificado de los pasos:
Compromiso inicial: El atacante obtiene un punto de apoyo persistente en una computadora de la red, a menudo a través de un correo de phishing, una vulnerabilidad de software o una mala configuración.
Extracción de credenciales: Con herramientas como Mimikatz, extraen hashes de contraseñas de la memoria de la máquina comprometida. Por lo general, buscan hashes de cuentas con privilegios altos, como un administrador de dominio.
Movimiento lateral (el "pase"): El atacante toma el hash robado y lo "pasa" a otra máquina de la red para autenticarse. Por ejemplo, podría intentar acceder a un recurso compartido de archivos, una base de datos o un controlador de dominio.
Autenticación: La máquina de destino recibe el hash. Como es un hash legítimo de un usuario autorizado, el sistema otorga acceso. No tiene forma de saber que la solicitud vino de un atacante y no del usuario real.
Repetir el proceso: El atacante se mueve de sistema en sistema, extrayendo más hashes y obteniendo más acceso hasta controlar todo el dominio o encontrar los datos valiosos que buscaba.
El verdadero peligro aquí es que todo parece actividad legítima de usuario para muchas herramientas de seguridad tradicionales. No se intentó adivinar mal ninguna contraseña. No se activó ninguna alarma de fuerza bruta. Es un fantasma moviéndose por la máquina.
Pass the Hash sigue siendo una técnica popular porque explota los mismos mecanismos que Windows usa para la autenticación en muchos entornos de red. Está profundamente arraigada en la forma en que el inicio de sesión único (SSO) y protocolos de autenticación de red como NTLM fueron diseñados para funcionar.
Incluso con el auge de Kerberos, que es más seguro, NTLM a menudo se mantiene habilitado por compatibilidad con versiones anteriores. Esto crea una ventana de oportunidad para los atacantes. Pueden forzar a los sistemas a degradar su protocolo de autenticación a NTLM, dejándolos vulnerables a PtH.
Según CISA, los actores de amenazas suelen usar técnicas como Pass the Hash después de obtener acceso inicial para escalar privilegios y moverse lateralmente dentro de una red. Es una parte fundamental del manual moderno del atacante.
Bueno, basta de pesimismo. No estás indefenso ante PtH. Cerrar este vector de ataque requiere una estrategia de defensa por capas. No se trata de una sola solución, sino de hacer que sea mucho, mucho más difícil para un atacante lograrlo.
Estos son algunos pasos clave que puedes tomar:
Principio de privilegio mínimo (PoLP): Esta es tu defensa número uno. Asegúrate de que los usuarios solo tengan el acceso que realmente necesitan para hacer su trabajo. El hash de un usuario estándar vale mucho menos para un atacante que el de un administrador de dominio. No dejes que los usuarios inicien sesión en estaciones de trabajo con cuentas de administrador para tareas diarias.
Habilita Credential Guard: En Windows 10/11 Empresarial y Windows Server 2016 en adelante, Credential Guard usa seguridad basada en virtualización para aislar el proceso LSASS. Esto evita de forma efectiva que herramientas como Mimikatz accedan y extraigan hashes de contraseñas de la memoria.
Restringe los derechos de administrador local: Un atacante que compromete una cuenta de usuario estándar no puede extraer hashes de la memoria. Limita quién tiene derechos de administrador local en toda tu flota de estaciones de trabajo.
Usa la autenticación multifactor (MFA): Aunque no bloquea directamente PtH una vez robado el hash, la MFA dificulta mucho más el compromiso inicial. Si no logran ese primer punto de apoyo persistente, no pueden empezar a buscar hashes.
Segmentación de redes: Divide tu red en zonas más pequeñas y aisladas. Esto contiene el radio de impacto de un ataque. Si un atacante compromete una máquina del departamento de marketing, la segmentación puede impedirle "pasar el hash" hacia las redes de ingeniería o finanzas.
Monitorea el movimiento lateral: Usa soluciones de seguridad diseñadas específicamente para detectar movimiento lateral sospechoso. Huntress, por ejemplo, monitorea las herramientas y técnicas (TTPs) asociadas con PtH y otros métodos de robo de credenciales, y te avisa cuando un atacante intenta moverse.
Pass the Hash (PtH) es un ataque en el que un actor de amenazas roba una contraseña con hash y la usa para acceder a otros sistemas de una red. Los actores de amenazas malintencionados no necesitan la contraseña real, solo su huella digital (el hash). La técnica se basa en robar hashes de la memoria del sistema (LSASS) en una máquina comprometida.
Es un método principal de movimiento lateral, que permite a los atacantes pasar de un sistema a otro hasta lograr su objetivo. La defensa es un esfuerzo por capas: implementa el principio de privilegio mínimo, habilita Credential Guard, restringe los derechos de administrador y monitorea tu red en busca de actividad sospechosa.
Detener Pass the Hash no se trata de encontrar una bala mágica. Se trata de una buena higiene de seguridad y de tener la visibilidad para detectar a un atacante antes de que se sienta cómodo en tu entorno. El Huntress Security Platform ayuda a tu empresa a volverse resiliente ante las ciberamenazas.
Recursos adicionales
Aprende los pasos de la gestión de vulnerabilidades, cómo evaluar y priorizar riesgos, las mejores herramientas y consejos para un sólido ciclo de vida de la gestión de vulnerabilidades.
Aprende cómo funciona el malware sin archivos, por qué es tan efectivo, y las estrategias esenciales para detectar y prevenir estos ciberataques basados en memoria.
Aprende los fundamentos de la seguridad en la nube de AWS (cloud), el modelo de responsabilidad compartida, funciones clave como el cifrado y IAM, además de las mejores prácticas para profesionales de ciberseguridad.
