¿Resuelve la MFA la amenaza del secuestro de cuentas?

Jim Downey

Para los delincuentes que intentan cometer fraudes de apropiación de cuentas mediante el relleno de credenciales, la autenticación multifactor (MFA) supone un obstáculo adicional. Sin embargo, los atacantes han descubierto formas de eludirla, lo que significa que, por sí sola, la MFA no elimina la amenaza de apropiación de cuentas. Las empresas deben adoptar medidas adicionales para reforzar la seguridad de la MFA, como la mitigación de bots y la supervisión del riesgo contextual.

A pesar de sus puntos débiles, la MFA supone un importante avance, ya que la autenticación basada únicamente en contraseñas ha demostrado claramente ser ineficaz. Los seres humanos sencillamente no podemos recordar largas cadenas de caracteres, por lo que recurrimos a atajos: elegimos contraseñas sencillas y predecibles y las reutilizamos en distintas aplicaciones, prácticas que han provocado numerosas brechas de seguridad.

Sin embargo, ante el fracaso de las contraseñas y la adopción de la MFA, hemos observado un aumento de los ataques contra la MFA, como los siguientes:

Proxies de phishing en tiempo real

En un ataque de proxy de phishing en tiempo real (RTPP), los estafadores utilizan mensajes de phishing para engañar a los usuarios y hacer que visiten un sitio controlado por el atacante que parece de confianza, incitándolos a introducir sus credenciales y aprobar la solicitud de autenticación de segundo factor, ya sea mediante un mensaje SMS o una notificación push. El RTPP reenvía las credenciales a la aplicación objetivo y obtiene acceso. Para ver una demostración del ataque, consulte este vídeo del hacker y consultor de seguridad Kevin Mitnick. Para obtener más información sobre el auge de los proxies de phishing en tiempo real, consulte el Informe sobre phishing y fraude de F5 Labs.

Bombardeo de MFA

En los ataques de «bombardeo de MFA», el atacante engaña a la víctima para que le proporcione su código de autenticación enviándole múltiples solicitudes fraudulentas del código. Esta técnica resulta especialmente eficaz contra las aplicaciones de autenticación que utilizan notificaciones push porque el usuario puede detener fácilmente la avalancha de solicitudes con solo pulsar un botón. En ocasiones, los atacantes combinan el bombardeo de MFA con técnicas de ingeniería social para inducir a los usuarios a aceptar la notificación push y concederles acceso.

Suplantación biométrica

Los atacantes han llegado incluso a eludir la autenticación biométrica. Al fin y al cabo, dejamos nuestras huellas dactilares por todas partes, en casi todas las superficies lisas que tocamos, donde pueden recogerse y reproducirse utilizando desde una impresora 3D hasta ingredientes de ositos de gominola. Los investigadores de seguridad también han demostrado que es posible suplantar el reconocimiento facial y de voz, así como el escaneo del iris. Aunque los proveedores han desarrollado técnicas contra la suplantación, como las pruebas de detección de vida para identificar intentos de elusión, cualquier dispositivo biométrico podría volverse vulnerable a medida que los atacantes perfeccionan sus técnicas.

Intercambio de SIM

Intercambio de SIM consiste en que los estafadores aprovechan la capacidad de los proveedores de servicios para transferir un número de teléfono a otro dispositivo. El estafador recopila información personal sobre la víctima y, mediante técnicas de ingeniería social, convence a un agente de soporte para que transfiera el número de teléfono de la víctima a la tarjeta SIM del estafador. Al controlar el servicio telefónico de la víctima, el estafador recibe los mensajes de texto destinados al usuario, lo que le permite interceptar contraseñas de un solo uso (OTP) y eludir la autenticación multifactor (MFA).

Refuerzo de la seguridad de la MFA

Dado que la MFA supone una mejora significativa con respecto a la autenticación basada únicamente en contraseñas, ha llegado para quedarse, por lo que los profesionales de la ciberseguridad deben abordar sus vulnerabilidades.

Una buena forma de empezar es mitigar los bots. Aprovechando la reutilización de contraseñas, los atacantes emplean bots para probar credenciales robadas en formularios de inicio de sesión, una técnica que OWASP define como «relleno de credenciales» y que les permite superar el primer factor de la MFA. Los atacantes también utilizan bots en ataques RTPP para reenviar las OTP al sitio objetivo antes de que caduquen. Del mismo modo, el bombardeo de MFA es un ataque automatizado que depende de bots. Mediante una solución eficaz de gestión de bots, un equipo de seguridad puede privar a los atacantes de una herramienta esencial en la que se apoyan para aplicar técnicas de elusión de la MFA a gran escala.

Otra forma de mitigar las vulnerabilidades de la MFA consiste en tener en cuenta el riesgo contextual. Este puede determinarse a partir de la dirección IP del usuario, su proveedor de servicios de Internet, su ubicación, la hora del día, el dispositivo, las funciones a las que accede y su comportamiento. Todos estos factores pueden utilizarse para calcular una puntuación de riesgo a medida que el usuario navega por una aplicación. Cuanto mayor sea la puntuación, más estrictos serán los requisitos de autenticación, lo que podría llegar a provocar la desactivación de la cuenta.

Próximos pasos

Sin duda veremos más proclamas sobre la muerte de las contraseñas, junto con más afirmaciones exageradas de que las nuevas técnicas de MFA harán que la autenticación sea segura de una vez por todas. Sin embargo, los atacantes decididos seguirán encontrando formas de eludir las nuevas implementaciones, por lo que deberá continuar analizando y mitigando las vulnerabilidades de la MFA. Para consultar un análisis más detallado de por qué la MFA es solo un primer paso para evitar la apropiación de cuentas, consulte el nuevo informe técnico de F5. Al colaborar con F5, puede proteger la MFA y, al mismo tiempo, optimizar la experiencia del cliente. Obtenga más información sobre F5 Distributed Cloud Services y regístrese para hablar con nuestro equipo.

Sobre el autor

Jim Downey

Más artículos de Jim Downey