¿Qué es el password spraying? Prevención y ejemplos

Aprenda a identificar y defenderse de los ataques de pulverización de contraseñas. Esta guía proporciona pasos esenciales para la detección, técnicas de mitigación y estrategias de prevención para mejorar su ciberseguridad.

El ámbito digital moderno expone a las organizaciones a ataques cibernéticos que pueden penetrar en su sistema y exponer información confidencial. Una de estas amenazas es el password spraying, mediante el cual los hackers irrumpen en los sistemas utilizando este método. A diferencia de la fuerza bruta tradicional, que utiliza repetidos intentos de muchas contraseñas en una sola cuenta, el password spraying utiliza unas pocas contraseñas que apuntan a numerosas cuentas. Esto hace que los atacantes pasen desapercibidos para los sistemas de seguridad diseñados para detectar múltiples intentos fallidos en una sola cuenta. Para muchos ciberdelincuentes, aprovechar la tendencia de los usuarios a utilizar contraseñas débiles también puede resultar relativamente fácil.

Comprender el password spraying es fundamental para las organizaciones que buscan formas de reforzar su ciberseguridad. Las organizaciones que adoptan políticas de contraseñas seguras y promueven la educación de los usuarios en prácticas seguras de contraseñas pueden ayudar a mitigar los riesgos de estos ataques.

El peligro del password spraying ha aumentado debido al uso frecuente de contraseñas comunes. Según nuestro Informe sobre prácticas de contraseñas en EE. UU. de 2022, el 56 % de los encuestados admitió reutilizar contraseñas en varias o en todas sus cuentas.

Este artículo ofrece una guía completa para comprender el password spraying, explicando cómo funciona, su impacto en las empresas y los clientes y, lo que es más importante, cómo detectar, defenderse y mitigar este tipo de ataques.

¿Qué es el password spraying?

El password spraying es un ataque de fuerza bruta, pero es bastante diferente de la otra forma descrita anteriormente. En el password spraying, los atacantes se dirigen a varias cuentas con un par de contraseñas muy comunes, en su mayoría contraseñas predeterminadas como "123456", "password" o "qwerty". Esta técnica ayuda a los atacantes a evitar ser detectados, ya que no superan el número permitido de intentos de inicio de sesión por cuenta, lo que podría provocar el bloqueo de la cuenta o una alerta de seguridad. El rociado de contraseñas aprovecha el hecho de que la mayoría de los usuarios tienen contraseñas débiles, lo que puede proporcionar al atacante un mayor conjunto de objetivos potenciales.

¿Por qué se considera el rociado de contraseñas un ataque de fuerza bruta?

El password spraying se clasifica entre los ataques de fuerza bruta, ya que intenta comprometer varias cuentas mediante la adivinación de contraseñas. Sin embargo, el enfoque utilizado es diferente al de un ataque de fuerza bruta tradicional. Por ejemplo, los ataques de fuerza bruta suelen dirigirse a una sola cuenta y se introducen varias contraseñas hasta dar con la correcta.

Por otro lado, el password spraying tiene un enfoque más amplio, ya que utiliza varias contraseñas comunes para muchas cuentas. En este sentido, este método no solo evita la detección por parte de los sistemas de seguridad que supervisan los intentos fallidos repetidos de descifrar una cuenta concreta, sino que también aumenta las posibilidades de descifrar al menos una cuenta. Dada su dependencia de contraseñas débiles, el rociado de contraseñas ofrece una variante aún más silenciosa y escalable de los ataques de fuerza bruta.

Cómo funcionan los ataques de rociado de contraseñas

Los ataques de rociado de contraseñas son metódicos, sigilosos y, por lo tanto, difíciles de detectar; cada vez son más utilizados por los ciberdelincuentes. A menudo, estos ataques siguen un patrón de pasos estratégicos en los que se aprovechan los comportamientos habituales de los usuarios y las debilidades en la gestión de contraseñas.

1. Reconocimiento inicial: En casi todos los incidentes, el atacante recopila primero una lista de nombres de usuario o direcciones de correo electrónico válidos. Estos pueden obtenerse mediante ataques de phishing, en los que el atacante engaña a una persona para que revele sus credenciales, o utilizando datos filtrados de violaciones anteriores. La información disponible públicamente en las redes sociales y otros sitios web también proporciona suficientes nombres de usuario para que un atacante pueda actuar.
2. Elección de contraseñas comunes: Los hackers eligen unas cuantas contraseñas comunes o poco seguras que se utilizan en diferentes organizaciones. Algunas de ellas son muy fáciles de adivinar, como "123456", "contraseña", variaciones del nombre de la empresa, etc. La razón detrás de esto es que la mayoría de los usuarios no siguen las mejores prácticas a la hora de crear contraseñas, por lo que a los hackers les resulta fácil obtener acceso no autorizado.
3. Intentos de inicio de sesión: Ahora que los atacantes tienen la lista de nombres de usuario y contraseñas comunes, comienzan los intentos de inicio de sesión en las cuentas involucradas. Lo hacen de tal manera que la cuenta solo tenga unas pocas posibilidades de contraseñas. Eso significa que no alertarán ni romperán ningún bloqueo o mecanismo de detección con el que están programados la mayoría de los sistemas y que anticipan intentos repetidos de inicio de sesión exitosos en una cuenta.
4. Obtención de acceso: Una de las contraseñas sustituidas debe funcionar para acceder a la cuenta de destino. El acceso conseguido puede utilizarse para seguir explotando la cuenta, incluyendo el robo de datos confidenciales, cambios de ubicación dentro de la red o la elevación de privilegios para asumir otras cuentas o sistemas. Dentro del ataque es posible un espectro de actividades maliciosas que van desde la simple exfiltración de datos hasta el despliegue de malware.

Señales comunes de un ataque de pulverización de contraseñas

Dado que la pulverización de contraseñas es sigilosa y selectiva, es bastante difícil darse cuenta de que se está produciendo un ataque de este tipo. Sin embargo, hay algunos signos claros que son indicadores importantes de que se está produciendo un ataque de este tipo.

1. Múltiples intentos fallidos de inicio de sesión en varias cuentas: Una de las señales más definitorias de un ataque de pulverización de contraseñas es la aparición de múltiples intentos fallidos de inicio de sesión en varias cuentas procedentes de la misma fuente de IP o de una ubicación geográfica determinada. Si su organización está observando un gran número de inicios de sesión fallidos procedentes de una única fuente, eso podría ser una señal de que un atacante está probando sistemáticamente un conjunto limitado de contraseñas en muchas cuentas.
2. Patrones de acceso inusuales: El segundo es la aparición de patrones de acceso inusuales dentro de su red. Si se accede a las cuentas a horas intempestivas, es decir, en momentos en los que los propietarios habituales de la cuenta no están presentes o no se espera que estén en una ubicación geográfica extraña, podría ser un indicio de intentos no autorizados de violar esas cuentas. Estos patrones suelen revelar que los atacantes intentan aprovechar las contraseñas débiles en momentos en los que el nivel de actividad de las cuentas de usuario es bajo.
3. Aumento de las solicitudes de autenticación: Los picos repentinos de solicitudes de autenticación en un breve periodo de tiempo son otra señal de alarma. El aumento de los intentos de inicio de sesión, especialmente desde la misma fuente en los registros del sistema, podría indicar que un atacante está intentando, con intentos continuos, violar varias cuentas utilizando técnicas de pulverización de contraseñas.

Impacto del password spraying

A diferencia de los ataques tradicionales de fuerza bruta, que se dirigen solo a una cuenta, el atacante basará su acción en la tendencia común de los usuarios a utilizar contraseñas débiles o de uso frecuente, lo que facilita el acceso no autorizado a las cuentas. Las repercusiones de los ataques de pulverización de contraseñas exitosos en las organizaciones y las personas pueden ser graves. Conocerlos es fundamental para diseñar medidas de seguridad sólidas que puedan ayudar a reducir los riesgos.

• Violaciones de datos: Tras la implementación exitosa de estos ataques, lo que suele ocurrir son grandes violaciones de datos. Los atacantes comienzan a creer que los números de la seguridad social y los datos financieros de los usuarios son de su propiedad, ya que pueden robar identidades o venderlas en la web oscura. Para las organizaciones, la compromisión de los datos comerciales y la propiedad intelectual puede dar lugar a desventajas competitivas y a la pérdida de la confianza de los clientes.
• Pérdidas financieras: Las violaciones de datos en una organización conllevan unos costes financieros muy elevados. Los costes de respuesta incluyen la investigación forense y la restauración del sistema, que pueden ser muy caros. Los costes legales en forma de demandas por parte de los clientes afectados pueden suponer un gran desangramiento financiero para la empresa. Las multas reglamentarias impuestas por el incumplimiento de leyes como el RGPD o la CCPA solo añaden más inestabilidad financiera.
• Daño a la reputación: Un ataque de pulverización de contraseñas tendría, sin duda, un fuerte impacto en la reputación, ya que puede provocar una pérdida de confianza de los clientes que puede tardar muchos años en recuperarse. La publicidad negativa también podría dañar la imagen de marca de la organización y alejar a los clientes potenciales; además, podrían romperse las asociaciones debido a que las partes interesadas reevalúen su relación con una entidad que ha sufrido una violación.
• Impacto psicológico en las personas: Las personas cuya información se ve comprometida pueden experimentar ansiedad y angustia emocional, especialmente en lo que respecta a su seguridad financiera. Esto puede provocar una pérdida de confianza en los servicios en línea y un proceso desalentador de recuperación tras el robo de identidad, lo que hace que las víctimas se sientan vulnerables y violadas mucho tiempo después del ataque.

Cómo afecta el password spraying a las empresas

Los principales efectos de un ataque de pulverización de contraseñas serán críticos y van más allá de la seguridad inmediata, afectando a la longevidad de la organización. Las empresas deben comprender bien estos impactos para poder diseñar las mejores medidas de seguridad para proteger sus valiosos activos.

1. Pérdida de propiedad intelectual: Quizás la consecuencia más drástica del ataque de pulverización de contraseñas sea la pérdida de propiedad intelectual. Una vez que se obtiene acceso no autorizado a través de este ataque, toda la información comercial confidencial, las tecnologías patentadas y los secretos comerciales pueden ser fácilmente robados por el autor. Esa propiedad intelectual suele ser la ventaja competitiva de una empresa. La pérdida puede provocar pérdidas económicas cuando se compromete la información patentada, ya que los competidores descubren cómo replicar productos o servicios sin invertir en más investigación y desarrollo. Además, la pérdida de información patentada puede dañar la posición de mercado de una empresa y también puede degradar su reputación entre los clientes y socios.
2. Interrupción del sistema: Una vez que los atacantes han obtenido acceso a la red de una empresa mediante el rociado de contraseñas, escalan privilegios y comienzan a causar estragos dentro de los sistemas. La escalada puede provocar graves interrupciones en las operaciones, como el apagado de sistemas o servicios. Además, se lanzan nuevos ataques, como el ransomware, que impiden a las organizaciones acceder a sus datos y les obligan a pagar para recuperarlos. Estas perturbaciones pueden paralizar por completo toda una empresa, lo que erosiona la productividad, los ingresos y la confianza de los clientes. La rehabilitación también puede requerir enormes recuperaciones que restan tiempo a las funciones habituales de la empresa.
3. Infracciones de cumplimiento normativo: Los ataques de pulverización de contraseñas se consideran infracciones graves de cumplimiento normativo, especialmente en los sectores regulados. La violación de datos de este tipo de ataques expone información confidencial, como datos de clientes, registros de empleados y datos comerciales privados. Los organismos reguladores han promulgado leyes estrictas de protección de datos, como el Reglamento General de Protección de Datos, la HIPAA, etc. Por lo tanto, si una empresa no protege esta información de la manera adecuada, se enfrenta a sanciones y multas severas. Aparte de las repercusiones económicas, la empresa sufre una pérdida de confianza por parte de los clientes y daños a su reputación.

Cómo afectan a sus clientes los ataques de pulverización de contraseñas

Los ataques de pulverización de contraseñas pueden tener graves repercusiones para los clientes, especialmente cuando se comprometen sus cuentas. A medida que los atacantes obtienen acceso, las consecuencias van más allá de la pérdida económica inmediata y se extienden a importantes repercusiones emocionales y psicológicas. Los clientes se enfrentan no solo al riesgo de robo económico, sino también a la posibilidad de sufrir un robo de identidad a largo plazo. Además, la ruptura de la confianza puede provocar un deterioro de la relación con la empresa, lo que afecta a la fidelidad y la retención de los clientes.

1. Información personal robada: Se pueden obtener números de tarjetas de crédito, direcciones y números de la seguridad social robados. Todo ese tipo de información personal se utilizará posteriormente para el robo de identidad, compras fraudulentas o la apertura de cuentas no autorizadas, y luego aparecerá de forma permanente en la web oscura.
2. Apropiación de cuentas: Cuando un pirata informático obtiene el control de la cuenta de un cliente, pueden producirse diversas actividades fraudulentas. Esto puede incluir transacciones no autorizadas, cambios en las contraseñas de las cuentas y otros servicios relacionados con las cuentas. Las repercusiones pueden ser graves. La víctima puede sufrir enormes pérdidas económicas y tener que pasar por un tedioso proceso para recuperar el control de las cuentas.
3. Pérdida de confianza: Los clientes pueden perder la confianza en la empresa afectada por una violación de datos. La confianza puede ser un catalizador fundamental para la longevidad de las relaciones y, una vez perdida, es difícil recuperarla. Probablemente se producirá una grave pérdida de fidelidad por parte de los clientes. Los clientes afectados por una violación de datos son más propensos a cambiarse a empresas competidoras que ellos perciben como seguras.
4. Angustia emocional: Un ataque de pulverización de contraseñas es mucho más angustiante desde el punto de vista psicológico, ya que la víctima se encuentra en un estado de miedo por el robo de identidad y la pérdida de dinero, lo que le provoca estrés y ansiedad y afecta a su bienestar general. Este trauma emocional tiene implicaciones para toda la vida, ya que los usuarios se vuelven aprensivos a la hora de utilizar servicios en línea o compartir información personal en el futuro.

Cómo detectar ataques de pulverización de contraseñas

La detección de ataques de pulverización de contraseñas es un paso crucial para la protección de las cuentas de los clientes y la información confidencial dentro de las organizaciones. La supervisión y el análisis proactivos de la actividad de inicio de sesión pueden ayudar a identificar comportamientos maliciosos antes de que causen daños. Dependiendo de las estrategias de detección específicas, las empresas pueden mejorar su postura de seguridad y responder rápidamente a las amenazas emergentes.

1. Supervisar los fallos de inicio de sesión: Una buena organización debe supervisar y analizar los fallos de inicio de sesión basándose en varias cuentas. Los intentos repetidos escritos con las mismas contraseñas pueden indicar la presencia de un agente malicioso que está intentando acceder sistemáticamente a las cuentas. Esto permite a las organizaciones tomar medidas inmediatas, lo que puede abortar una posible violación en un momento delicado.
2. Analizar patrones geográficos: Esto estaría relacionado con los intentos de inicio de sesión desde lugares desconocidos o geográficamente no relacionados, con el fin de verificar los inicios de sesión no autorizados. Un ejemplo podría ser cuando se inicia un intento de inicio de sesión desde un país en el que no se sabe que la organización realice actividades comerciales; lo más probable es que se trate de un ataque de pulverización de contraseñas. Con este análisis de estos patrones, las empresas pueden señalar actividades sospechosas y hacer un seguimiento.
3. Establecer umbrales de bloqueo de cuentas: Un conjunto de políticas bloquea las cuentas después de un cierto número de intentos fallidos de inicio de sesión y puede ayudar a prevenir los ataques de pulverización de contraseñas. Además, la organización impedirá que el atacante continúe con sus intentos y será consciente de la posibilidad de una amenaza para la seguridad. Por ejemplo, si las cuentas se han bloqueado en un breve periodo de tiempo, es posible que se trate de un ataque coordinado.
4. Utilizar la autenticación multifactor (MFA): Además de no detectar directamente los intentos de ataque de contraseñas por pulverización, minimiza en gran medida las posibilidades de acceso no autorizado. Aunque el atacante adivine la contraseña correcta, seguirá necesitando otra forma de autenticación para su cuenta. Esta capa adicional de seguridad puede disuadir a los atacantes y evitar la apropiación de las cuentas de los clientes.

¿Cómo prevenir el password spraying?

El enfoque para la defensa contra los ataques de pulverización de contraseñas es proactivo y tiene múltiples capas, lo que mejora los mecanismos de autenticación y refuerza la seguridad total. Las organizaciones pueden inmunizarse mejor contra este tipo de ataques mediante políticas y sistemas de supervisión sólidos.

1. Aplicar políticas de contraseñas seguras: Esto obliga al usuario a crear una contraseña compleja que contenga letras mayúsculas y minúsculas, números y símbolos. De este modo, a los atacantes les resulta más difícil adivinar las contraseñas, lo que reduce la probabilidad de que este tipo de ataque de pulverización de contraseñas tenga éxito. Además, educar a los usuarios sobre la necesidad de mantener credenciales diferentes para todas las cuentas refuerza aún más la seguridad.
2. Implemente la autenticación multifactorial (MFA): Utilice una segunda capa que puede ser un código de verificación por SMS, una aplicación de autenticación o el reconocimiento biométrico. Si un atacante adivina las contraseñas correctas, la MFA dificultaría mucho más el acceso a las partes no autorizadas.
3. Cambie las contraseñas con regularidad: Se debe animar a los usuarios a cambiar sus contraseñas con regularidad, especialmente después de una brecha de seguridad o de intentos sospechosos. Cuanto más frecuentemente cambie una organización sus contraseñas, menos oportunidades tendrá un atacante y menos casos de cuentas comprometidas se producirán.
4. Supervisar las actividades de inicio de sesión inusuales: Esto se refiere a la identificación de intentos de inicio de sesión anormales basados en patrones de actividad sospechosa con el uso de herramientas como intentos fallidos repetidos de inicio de sesión procedentes de la misma dirección IP o inicios de sesión procedentes de regiones geográficas desconocidas. Esto suele llevar a las organizaciones a marcar la actividad y a tomar medidas proactivas contra la amenaza.
5. Utilizar listas blancas de IP: El permiso de inicio de sesión puede restringirse permitiendo que solo se produzcan inicios de sesión desde direcciones IP o ubicaciones geográficas conocidas o de confianza. De este modo, solo los usuarios autorizados pueden acceder a las cuentas confidenciales introducidas por el usuario. A los piratas informáticos les resultaría muy difícil intentar cualquier tipo de entrada, ya que solo podrían acceder a los sistemas permitidos.

Ataques de pulverización de contraseñas en el mundo real (ejemplos)

Los ataques de pulverización de contraseñas han afectado a algunas organizaciones de alto perfil, lo que demuestra el daño que pueden causar a las empresas y a sus clientes. Como se muestra en los ejemplos siguientes, incluso las grandes empresas de renombre son víctimas potenciales de este tipo de infracciones, con consecuencias desastrosas, como violaciones de datos, pérdidas económicas o daños a la reputación. A continuación se presentan dos ejemplos en los que los atacantes utilizaron con éxito el password spraying o técnicas muy similares:

• Dunkin’ Donuts (2018)

En 2018 se produjo un ataque de relleno de credenciales contra Dunkin' Donuts. Los hackers utilizaron credenciales robadas en otras violaciones de seguridad para acceder a las cuentas de los clientes de Dunkin' Donuts. A continuación, realizaron compras no autorizadas y sustrajeron los puntos de fidelidad de las cuentas de los clientes. Esto podría haber causado no solo pérdidas económicas a los clientes afectados, sino también graves daños a la marca. Dunkin'Donuts tuvo que llevar a cabo importantes procesos de reparación que implicaron notificar a los clientes, restablecer contraseñas y aumentar la seguridad. El coste de la respuesta en términos del incidente en sí y de la pérdida de la confianza de los clientes resultó ser una pesada carga para la empresa.

• Citrix (2019)

Citrix, una empresa líder en software, se vio comprometida por un ataque de pulverización de contraseñas en 2019. Este ataque proporcionó a los atacantes acceso a la red interna de Citrix, donde accedieron a la información personal y confidencial de más de 76 000 personas. Los datos comprometidos en la violación incluían números de la Seguridad Social, datos financieros y otros datos corporativos confidenciales. El incidente fue destacado por los organismos reguladores, y Citrix tuvo que gastar una gran cantidad en honorarios de abogados, en respuesta a la violación, y para controlar los daños. Esto puso de relieve las vulnerabilidades de los ataques de pulverización de contraseñas y sirvió para mostrar la necesidad de contar con mecanismos de ciberseguridad más sólidos para proteger las redes internas de las empresas contra este tipo de ataques.

Conclusión

El ataque de rociado de contraseñas es un tipo de agresión grave y en aumento en el mundo digital actual, en el que tanto las personas como las organizaciones son objeto de estos ataques. Para combatirlo de forma eficaz, es necesario comprender de manera integral cómo funcionan realmente estos ataques y contar con estrategias sólidas de detección, mitigación y prevención del password spraying. Para que las empresas reduzcan drásticamente el riesgo de sucumbir a estos ataques, deberán implementar políticas de contraseñas sólidas, supervisar la actividad de inicio de sesión para identificar patrones sospechosos de forma regular e implementar autenticación multifactorial (MFA).

Las soluciones de seguridad avanzadas, ya sea la supervisión del comportamiento basada en la inteligencia artificial o los marcos Zero Trust, ayudarían al sistema a añadir una capa de defensa para detectar y responder a las amenazas en tiempo real. Las organizaciones que adoptan medidas de seguridad proactivas garantizan la protección de sus datos confidenciales y cuentas de usuario frente a posibles vulneraciones. La vigilancia y las actualizaciones continuas de las prácticas de seguridad ayudan a evitar el ataque de contraseñas en un entorno de amenazas que se actualiza periódicamente y, por lo tanto, protegen los activos digitales.

"

FAQs

¿Qué es un ataque de rociado de contraseñas?

El ataque de rociado de contraseñas es una forma de ataque de fuerza bruta, en el que los atacantes intentan obtener acceso no autorizado utilizando unas pocas contraseñas comunes en muchas cuentas, en lugar de hacer múltiples conjeturas en una sola cuenta. Esto minimiza las posibilidades de ser detectado, ya que evita en gran medida el bloqueo de cuentas.

¿Cuáles son los indicadores clave de un ataque de pulverización de contraseñas?

Los indicadores clave de un ataque de pulverización de contraseñas incluyen múltiples intentos fallidos de inicio de sesión desde la misma dirección IP, patrones de acceso inusuales (por ejemplo, inicios de sesión desde ubicaciones geográficas que no son habituales para la organización) y un aumento de las solicitudes de autenticación en un breve periodo de tiempo. Esto podría indicar que se está lanzando un ataque, y su supervisión puede ayudar a detectar posibles ataques de forma temprana.

¿Cuáles son los tres tipos principales de ataques de contraseñas?

Los tres tipos principales de ataques a contraseñas son:

• Ataques de fuerza bruta: Los atacantes prueban todas las combinaciones de contraseñas hasta que dan con la contraseña correcta de una cuenta específica.
• Rociado de contraseñas: Un ataque de rociado de contraseñas se realiza utilizando unas pocas contraseñas comunes en numerosas cuentas. Este tipo de ataque rara vez se detecta.
• Ataques de phishing: Los ciberdelincuentes convencen a los usuarios para que les faciliten sus contraseñas enviándoles correos electrónicos falsos o dirigiéndolos a sitios web que parecen legítimos.

¿Cuál es la diferencia entre el ataque de fuerza bruta y el ataque de rociado de contraseñas?

La principal diferencia radica en su enfoque: los ataques de fuerza bruta consisten en probar numerosas contraseñas en una sola cuenta hasta tener éxito, mientras que el rociado de contraseñas intenta un pequeño número de contraseñas de uso común en muchas cuentas para encontrar una coincidencia, lo que suele ser más discreto y difícil de detectar.

¿Qué sectores son los más afectados por el rociado de contraseñas?

Los sectores con una gran población de usuarios y datos confidenciales, como las finanzas, la sanidad y las administraciones públicas, suelen ser los más atacados. Estos sectores suelen disponer de abundante información que puede ser explotada, lo que los convierte en el objetivo más atractivo para los ciberdelincuentes.

¿Cómo se mitiga el ataque de rociado de contraseñas?

Para mitigar los ataques de pulverización de contraseñas, las organizaciones deben:

• Implementar políticas de contraseñas seguras que exijan contraseñas complejas y únicas.
• Implementar la autenticación multifactorial (MFA), que añade una capa adicional de seguridad.
• Realizar un seguimiento de la actividad de inicio de sesión para detectar patrones sospechosos o intentos fallidos consecutivos.
• Restringir el número de intentos fallidos de inicio de sesión antes de suspender la cuenta.
• Implementar una lista blanca de direcciones IP para acceder a las cuentas solo desde fuentes conocidas y fiables.