Caso real: Cómo frenamos una oleada de spam y ataques de fuerza bruta en formularios corporativos

1. El Escenario: Cuando los bots secuestran tu buzón de ventas

Uno de nuestros clientes nos contactó de urgencia: su equipo comercial recibía más de 800 correos de spam diarios procedentes de sus propios formularios web. Los atacantes estaban usando scripts automatizados para inyectar enlaces de phishing y validar listas de direcciones de correo electrónico ajenas a través de los acuses de recibo automáticos.

El problema no era solo la molestia: el proveedor de correo SMTP corporativo amenazaba con suspender el servicio por superar las cuotas horarias de envío y el servidor Nginx experimentaba picos de consumo de CPU por ejecuciones concurrentes de PHP-FPM.

2. El Diagnóstico Técnico

Tras auditar los registros de acceso en /var/log/nginx/access.log, identificamos el patrón:

• Peticiones POST directas al endpoint del formulario omitiendo la carga previa de la vista HTML.
• Direcciones IP rotativas originadas en redes residenciales infectadas y proxies TOR.
• User-Agents genéricos obsoletos intentando inyecciones masivas cada 3 segundos.

3. La Solución en 3 Capas (Sin arruinar la experiencia del usuario)

La tentación común de instalar un Google reCAPTCHA clásico de puzzles visuales habría hundido la conversión comercial de clientes legítimos. En su lugar, desplegamos una defensa en capas:

Capa 1: Filtrado Perimetral con Cloudflare WAF

Configuramos reglas de firewall perimetrales para bloquear tráfico desde ASNs de hosting maliciosos conocidos y activamos el desafío invisible de JavaScript gestionado por Cloudflare en endpoints sensibles.

Capa 2: Rate Limiting estricto a nivel de Nginx

Aislamos las peticiones dirigidas a rutas transaccionales mediante directivas limit_req_zone para impedir ráfagas de más de 3 peticiones por minuto por IP:

limit_req_zone $binary_remote_addr zone=contact_limit:10m rate=2r/m;

location /contacto/enviar {
    limit_req zone=contact_limit burst=3 nodelay;
    try_files $uri $uri/ /index.php?$query_string;
}

Capa 3: Honeypot dinámico y validación de firma en Laravel

Añadimos campos trampa invisibles por CSS y comprobación de tiempo mínimo de cumplimentación (un humano tarda al menos 4 segundos en rellenar un formulario; un bot envía el POST en 200 ms). Si la petición llega antes de 3 segundos, se descarta silenciosamente con respuesta HTTP 200 sin despachar correos ni consumir base de datos.

4. El Impacto Medible