Cuantificación de la amenaza a la identidad: una quinta parte de las solicitudes de autenticación son maliciosas

Una investigación de F5 Labs revela que el 19,4 % de las solicitudes de autenticación probablemente se deban a ataques de relleno de credenciales;

Las medidas de mitigación reducen la prevalencia en más de dos tercios, pero aumentan la sofisticación de los ataques posteriores;

El 75 % de las credenciales robadas procede de orígenes desconocidos.

SEATTLE – Las identidades digitales se han convertido en un campo de batalla para la ciberseguridad, y una nueva investigación de F5 Labs ha revelado que una quinta parte de las solicitudes de autenticación procede de sistemas automatizados maliciosos.

El Informe sobre amenazas a la identidad de 2023: Los que no se pueden parchear analizó 320 000 millones de transacciones de datos realizadas en los sistemas de 159 organizaciones entre marzo de 2022 y abril de 2023.

Cuando no se aplicaban medidas de mitigación, la tasa media de automatización —un claro indicador del relleno de credenciales— era del 19,4 %. Esta tasa se reducía en más de dos tercios, hasta el 6 %, cuando se mitigaba de forma proactiva el tráfico malicioso.

Los ataques de relleno de credenciales consisten en que actores maliciosos utilizan nombres de usuario y contraseñas robados de un sistema para vulnerar otros. Las herramientas automatizadas son fundamentales en este tipo de ataques, ya que permiten a los atacantes maximizar el número de intentos que realizan.

«Las identidades digitales llevan mucho tiempo siendo una prioridad para los atacantes, y la amenaza crece a medida que aumenta la prevalencia de las identidades no humanas», afirmó Sander Vinberg, evangelista de investigación de amenazas de F5 Labs. «Nuestra investigación muestra hasta qué punto están siendo atacadas las identidades digitales y la importancia de contar con medidas de mitigación eficaces. Cabe destacar que detectamos un patrón constante: el uso de automatización maliciosa descendía de inmediato a un nivel inferior cuando se implementaban medidas de protección, ya que los atacantes tendían a desistir y buscar objetivos más fáciles».

Mitigación: antes y después

Una parte fundamental del estudio analizó el impacto de las medidas de mitigación en los ataques de relleno de credenciales. Estas medidas tendían a modificar el comportamiento de los atacantes y a reducir el uso de la automatización maliciosa.

F5 Labs descubrió que, sin medidas de mitigación, los ataques eran más frecuentes contra los endpoints móviles que contra los web. Tras introducir dichas medidas, los ataques contra endpoints móviles disminuyeron en mayor medida y una mayor proporción de los ataques posteriores se produjo a través de endpoints web.

Las medidas de mitigación también influyeron en el grado de sofisticación de los ataques.

En los endpoints de autenticación sin protección, el 64,5 % del tráfico malicioso correspondía a ataques clasificados como «básicos», es decir, que no intentaban imitar el comportamiento humano ni contrarrestar la protección contra bots. Tras aplicar medidas de mitigación, el porcentaje de estos ataques se redujo significativamente hasta el 44 %.

En cambio, los ataques «intermedios» —que realizan ciertos intentos de manipular las soluciones antibots— aumentaron del 12 % al 27 % tras la implementación de las medidas de mitigación. Los ataques avanzados, que utilizan herramientas capaces de imitar fielmente la navegación de un usuario humano (incluidos los movimientos del ratón, las pulsaciones de teclas y las dimensiones de la pantalla), aumentaron del 20 % al 23 %.

«Nuestro análisis muestra que muchos atacantes simplemente pasan a otro objetivo cuando se implementan medidas de protección», afirmó Vinberg. «Los atacantes que siguen teniendo como objetivo un sistema con medidas de mitigación ya implantadas están claramente más decididos y son más sofisticados, y utilizan herramientas que les permiten reproducir fielmente el comportamiento humano o se esfuerzan más por ocultar sus actividades.

«Por ejemplo, observamos un ataque que emuló 513.000 interacciones de usuario únicas en 516.000 solicitudes y reutilizó características identificables en menos del 1 % de los casos. En los ataques más sofisticados, a veces es necesario realizar una observación manual para identificar comportamientos maliciosos y crear una nueva firma».

Aumentan los desafíos para los defensores

F5 Labs también examinó la cadena de suministro de credenciales comprometidas. Resulta preocupante que los equipos de defensa parezcan tener mucha menos visibilidad de la que creían. Hasta el 75 % de las credenciales utilizadas durante los ataques no se habían identificado previamente como comprometidas.

Además, los equipos de defensa tienen que responder a amenazas contra la identidad diseñadas para eludir las medidas de mitigación. Por ejemplo, las organizaciones pueden intentar detectar los ataques de relleno de credenciales buscando una tasa de éxito anormalmente baja en las solicitudes de autenticación. El estudio reveló que los atacantes se adaptaron a esta medida mediante cuentas «canario», a las que pueden acceder continuamente para aumentar de forma artificial la tasa de éxito global. En un caso, una campaña de relleno de credenciales inició sesión en la misma cuenta canario 37 millones de veces en una sola semana con este fin.

En el caso de los ataques de phishing, otra área clave del análisis de F5 Labs, se observaron una vez más indicios claros de que se estaban intensificando los esfuerzos para eludir las contramedidas. En particular, el creciente uso de la autenticación multifactor está impulsando el auge del phishing mediante proxy inverso, en el que los atacantes crean páginas de inicio de sesión falsas que incitan a los usuarios a introducir sus credenciales.

Además, los atacantes recurren cada vez más a funciones para eludir la detección, como AntiRed. Se trata de una herramienta de JavaScript diseñada para sortear los sistemas de análisis de phishing integrados en los navegadores, como Google Safe Browsing (que muestra al usuario un mensaje de alerta rojo cuando detecta un sitio potencialmente peligroso).

Nuevas amenazas en el horizonte

En un contexto de entornos en constante evolución, F5 Labs también observó cómo está surgiendo una nueva generación de amenazas.

A modo de ejemplo, en agosto de 2022 se detectó en la web oscura un anuncio que promocionaba un sistema de phishing por voz que utilizaría inteligencia artificial para automatizar las llamadas de phishing. La creciente sofisticación y la reducción de los costes de la IA harán que, con el tiempo, este tipo de métodos sean cada vez más habituales y eficaces.

«De cara al futuro, los proveedores de identidad deberían utilizar una solución antibots para mitigar la automatización maliciosa, como el relleno de credenciales. Incluso las soluciones antibots más sencillas pueden neutralizar la mayor parte de los ataques de relleno de credenciales poco sofisticados», añadió Vinberg.

«Las organizaciones pueden reforzar aún más sus defensas mediante el uso de soluciones de autenticación multifactor basadas en criptografía, como las que utilizan los protocolos WebAuthn o FIDO2. En última instancia, no existe una solución infalible para combatir los ataques basados en la identidad. Los responsables de la defensa deben supervisar y detectar los ataques, cuantificar la tasa de error de sus sistemas de detección y adaptarse en consecuencia. Cuanto más estudiemos estos ataques y su naturaleza en constante evolución, mejor podremos gestionar el riesgo que plantean las vulnerabilidades inherentes a cualquier sistema al que los usuarios deban demostrar su identidad para acceder».

Acerca de F5

F5 es una empresa de servicios de aplicaciones multinube y seguridad comprometida con hacer realidad un mundo digital mejor. F5 colabora con las organizaciones más grandes y avanzadas del mundo para proteger y optimizar todas las aplicaciones y API, estén donde estén: en las instalaciones, en la nube o en el extremo de la red. F5 permite a las organizaciones ofrecer a sus clientes experiencias digitales excepcionales y seguras, y anticiparse continuamente a las amenazas. Para obtener más información, visite f5.com. (NASDAQ: FFIV)

También puede seguir a @F5 en Twitter o visitarnos en LinkedIn y Facebook para obtener más información sobre F5, sus socios y sus tecnologías. F5 es una marca comercial, marca de servicio o nombre comercial de F5, Inc. en EE. UU. y otros países. Todos los demás nombres de productos y empresas mencionados en este documento pueden ser marcas comerciales de sus respectivos propietarios.

###

Este comunicado de prensa puede contener declaraciones prospectivas relativas a acontecimientos futuros o al rendimiento financiero futuro que conllevan riesgos e incertidumbres. Estas declaraciones pueden identificarse por el uso de términos como «puede», «hará», «debería», «espera», «planea», «prevé», «considera», «estima», «predice», «potencial» o «continuar», así como por las formas negativas de dichos términos u otros términos comparables. Estas declaraciones son únicamente predicciones y los resultados reales podrían diferir sustancialmente de los previstos en ellas debido a diversos factores, incluidos los identificados en la documentación presentada por la empresa ante la SEC.