La privacidad de los datos requiere protección contra el relleno de credenciales

Jim Downey

El 27 de junio de 2022, la Asamblea Global de Privacidad (GPA), una asociación que reúne a más de 130 autoridades reguladoras y organismos encargados de hacer cumplir la normativa en materia de protección de datos y privacidad, publicó las primeras directrices intergubernamentales sobre el relleno de credenciales en las que se afirma que el relleno de credenciales supone un riesgo para los datos personales a escala mundial y que las leyes de protección de datos exigen que las organizaciones adopten medidas para protegerse frente a esta práctica.

F5 se enorgullece de haber participado en la elaboración de las directrices y agradece el reconocimiento de la GPA. F5 lleva mucho tiempo siendo consciente de la amenaza que supone el relleno de credenciales. Fue Sumit Agarwal, de F5, quien acuñó el término «relleno de credenciales» mientras ejercía como subsecretario adjunto de Defensa en el Pentágono, una idea que condujo a la fundación en 2011 de Shape Security (ahora parte de F5), empresa líder en gestión de bots. En la actualidad, F5 sigue protegiendo frente al relleno de credenciales y las amenazas asociadas a los mayores bancos, comercios electrónicos, aerolíneas, proveedores de servicios de hostelería y empresas de redes sociales del mundo.

Las nuevas directrices, publicadas por el Grupo de Trabajo de Cooperación Internacional en Materia de Aplicación de la Ley (IEWG), un grupo de trabajo permanente de la GPA, documentan cómo se lleva a cabo el relleno de credenciales, explican los factores económicos que impulsan su prevalencia entre los atacantes, destacan por qué constituye una preocupación mundial y debe incorporarse a la legislación sobre privacidad de datos, y describen varios métodos para mitigar el relleno de credenciales.

Las directrices de la GPA se basan en varias advertencias recientes de organismos gubernamentales. El 5 de enero de 2022, la Fiscalía General del Estado de Nueva York publicó una Guía para empresas sobre el aumento descontrolado de los ataques de relleno de credenciales y la necesidad de que las empresas adopten medidas preventivas. El 15 de septiembre de 2020, la Comisión de Bolsa y Valores publicó una Alerta de riesgos sobre el drástico aumento de los ataques de relleno de credenciales contra asesores de inversión, corredores y agentes registrados en la SEC. El 10 de septiembre de 2020, la Oficina Federal de Investigación de Estados Unidos emitió una Notificación al sector privado en la que advertía de una oleada de ataques de relleno de credenciales contra instituciones financieras estadounidenses que afectaron a más de 50.000 cuentas y que supusieron para las empresas un coste medio anual de 6 millones de dólares solo en concepto de notificación y subsanación. Estos incidentes siguen afectando a los responsables de privacidad, como demuestra el reciente artículo de CPO que documenta un ataque masivo de relleno de credenciales contra General Motors.

El relleno de credenciales es un ciberdelito en el que los delincuentes prueban credenciales robadas en sitios web para apoderarse de cuentas. Estos ataques se llevan a cabo a gran escala mediante herramientas automatizadas conocidas como bots. Se trata de un ciberdelito extremadamente eficaz y con un alto retorno de la inversión porque: 1) las credenciales robadas están fácilmente disponibles; 2) hasta el 60 % de las personas reutiliza sus contraseñas en distintas cuentas (según el FBI); y 3) muchas organizaciones recurren a métodos de mitigación ineficaces, como los CAPTCHA y las listas de bloqueo de direcciones IP.

La cantidad de credenciales robadas es abrumadora. Solo en 2020 se robaron 1.860 millones de credenciales, según el informe de F5 Labs de 2021 sobre el relleno de credencialest. Las directrices de la GPA señalan que las filtraciones masivas, como la de Yahoo de 2013, han expuesto miles de millones de credenciales. Los atacantes pueden aprovechar estas credenciales robadas durante años antes de que las filtraciones se hagan públicas.

«...Una investigación del sector privado detectó 55.000 millones de ataques de relleno de credenciales en la industria de los videojuegos entre noviembre de 2017 y marzo de 2019, lo que equivale a más de 3.000 millones de ataques al mes y más de 107 millones de ataques al día. Otra investigación detectó 193.000 millones de ataques de relleno de credenciales en todo el mundo durante 2020, lo que equivale a más de 16.000 millones de ataques al mes y más de 500 millones de ataques al día».

Las directrices de la GPA también señalan que las víctimas de estas vulneraciones de la privacidad pueden sufrir daños que van más allá de las pérdidas económicas, incluidos daños a su reputación provocados por la desinformación o por la difusión de declaraciones falsas sobre una persona mediante el uso de su cuenta comprometida. Es fácil imaginar cómo estas vulneraciones de la privacidad podrían arruinar vidas.

Lo más importante es que las directrices concluyen que las organizaciones deberían considerar las medidas de protección contra el relleno de credenciales como una de las medidas de seguridad «adecuadas» exigidas por las leyes de privacidad de datos, y citan disposiciones específicas del RGPD de la UE y de la Regla de Salvaguardias de la Comisión Federal de Comercio de Estados Unidos.

«Dada la evidente amenaza que los ataques de relleno de credenciales suponen para los datos personales (especialmente para las organizaciones con cuentas de usuario a las que se puede acceder en línea), así como el tratamiento o acceso no autorizados que podrían derivarse de ellos, la aplicación de medidas para proteger los datos personales frente a dichos ataques será, por lo general, obligatoria, al menos de forma implícita, en virtud de la legislación sobre protección de datos y privacidad».

Las directrices de la GPA recomiendan que las organizaciones consideren múltiples medidas de mitigación para protegerse contra el relleno de credenciales:

• Compra como invitado, que elimina la necesidad de utilizar credenciales
• Políticas de contraseñas robustas para minimizar el riesgo de reutilización
• Alternativas a las contraseñas, como el inicio de sesión único (SSO)
• Autenticación multifactor (MFA)
• Contraseñas secundarias y PIN
• Huella digital del dispositivo
• Nombres de usuario impredecibles
• Identificación de contraseñas filtradas
• Limitación de frecuencia
• Página y procesos de inicio de sesión (inicio de sesión en varios pasos)
• Supervisión/detección de cuentas
• Comprobaciones adicionales para redes de anonimato (como TOR)
• CAPTCHAs
• WAFs
• Listas de bloqueo y de permitidos de direcciones IP
• Planes de respuesta ante incidentes y notificaciones a los usuarios

Sin duda, se trata de técnicas válidas que han contribuido a mitigar los ataques de relleno de credenciales. Al evaluar qué enfoques se adaptarían mejor a su organización, F5, que lleva muchos años innovando en este ámbito, recomienda considerar técnicas que mitiguen eficazmente los bots en tiempo real sin añadir fricción a la experiencia del usuario ni requerir un rediseño de la aplicación.

Aunque las contraseñas secundarias y los PIN, los nombres de usuario impredecibles y las páginas de inicio de sesión con varios pasos ofrecen una mayor protección, lo hacen a costa de añadir fricción a la experiencia del usuario. Las empresas que quieran mejorar la conversión de clientes y reducir el abandono del carrito de compra deberán evitar poner obstáculos entre el cliente y la compra. La compra como invitado también puede ayudar, pero impide que las organizaciones ofrezcan una experiencia personalizada y específica. La autenticación multifactor (MFA), aunque es eficaz, también añade fricción a la experiencia del usuario y ha sido objeto de numerosos ataques por parte de los ciberdelincuentes.

Del mismo modo, los CAPTCHA añaden fricción y ofrecen una protección menos eficaz de lo que mucha gente cree. Los servicios de resolución de CAPTCHA, que utilizan aprendizaje automático y granjas de clics, permiten a los bots eludirlos a bajo coste. (Lee las aventuras de Dan Woods en «Historias de un solucionador humano de CAPTCHA»).

Las organizaciones que han trabajado con F5 han descubierto que las listas de bloqueo de direcciones IP y las reglas estáticas de WAF son demasiado difíciles de mantener. Los servicios de proxy permiten a los bots utilizar millones de direcciones IP residenciales válidas. Mientras tanto, los bots se adaptan en cuestión de horas cada vez que son bloqueados. Estos enfoques obligan a los equipos de seguridad a participar en un juego interminable del gato y el ratón que no pueden ganar.

Del mismo modo, la supervisión y detección de actividades en las cuentas, los planes de respuesta ante incidentes y las notificaciones a los usuarios son medidas importantes que deben formar parte de un programa de gestión de bots, pero estas protecciones se aplican a posteriori. Afortunadamente, existen técnicas para impedir desde el principio que los delincuentes se apoderen de las cuentas.

F5 colabora con organizaciones decididas a protegerse a sí mismas y a sus clientes frente a los usos fraudulentos derivados del relleno de credenciales, al tiempo que ofrecen excelentes experiencias digitales que satisfacen a los clientes y les permiten destacar en el competitivo mercado actual. F5 se ha ganado la fidelidad de sus clientes al ofrecer protección contra bots con la máxima eficacia disponible y sin generar fricción para el usuario. La tecnología se basa en años de investigación y desarrollo de señales nativas de JavaScript y dispositivos móviles que abarcan los entornos de los dispositivos y las características de comportamiento de los bots. Además de la detección en tiempo real basada en estas señales, F5 Distributed Cloud Bot Defense incluye un servicio de análisis mediante aprendizaje automático que detecta y contrarresta rápidamente la adaptación de los bots. Para garantizar la eficacia a largo plazo, el código de recopilación de señales se somete a una técnica avanzada de ofuscación que impide la ingeniería inversa y la manipulación de las señales.

F5 cree que la ciberseguridad debe centrarse en las personas, y los ataques de relleno de credenciales —que defraudan a las organizaciones y causan estragos en la vida de las personas— representan exactamente el tipo de problema que nos dedicamos a resolver. Como señala Dan Woods, director global de Inteligencia de F5, en Fast Company, hasta ahora estos ataques han recibido muy poca atención. Afortunadamente, la GPA y varias agencias de protección de datos están poniendo en primer plano los riesgos para la privacidad individual.

«El ataque a Colonial puso de manifiesto una clara desconexión entre la percepción pública y el discurso de los medios sobre la ciberseguridad. Causar pequeñas molestias a millones de personas: titulares internacionales. Arruinar a miles de familias robándoles los ahorros de toda una vida mediante estafas independientes: silencio absoluto».

En esta era digital, en la que gran parte de nuestra vida se almacena en forma de datos en Internet, dependemos de que las organizaciones se tomen la privacidad de los datos con la máxima seriedad, algo que ponen de relieve las leyes de privacidad cada vez más estrictas promulgadas por gobiernos de todo el mundo. La legislación sobre privacidad de datos, como el RGPD, exige que las organizaciones adopten todas las medidas adecuadas para proteger la privacidad. A la luz de lo que sabemos actualmente sobre el relleno de credenciales, estas directrices de la GPA dejan claro que la protección contra esta práctica debe formar parte de las medidas adecuadas de cualquier organización.

Para obtener más información sobre el retorno de la inversión de la protección contra bots, consulte el informe Total Economic Impact de Forrester. Obtenga más información y programe una conversación con un experto en bots de F5 en f5.com/bot-defense.

Sobre el autor

Jim Downey

Más artículos de Jim Downey