¿Qué es el fraude de apropiación de cuentas (ATO)?

La apropiación de cuentas (ATO) es el ataque más frecuente y costoso contra instituciones financieras, comercios electrónicos y otros servicios digitales en línea. Mediante bots automatizados y otros métodos de ciberdelincuencia, los delincuentes utilizan credenciales robadas para acceder a las cuentas de los usuarios y controlarlas con el fin de obtener beneficios económicos o cometer fraude. Las consecuencias del fraude por apropiación de cuentas son reales: según el Estudio de Javelin de 2022 sobre el fraude de identidad, el 22 % de los adultos estadounidenses ha sido víctima de ATO.

Cómo funciona: técnicas de fraude mediante apropiación de cuentas

El fraude por apropiación de cuentas es la culminación de una serie de actividades ciberdelictivas que suelen comenzar con el robo o la vulneración de credenciales, lo que da lugar a ataques de relleno de credenciales, que pueden acabar con la apropiación de las cuentas en línea de un cliente. Una vez que toma el control, el delincuente puede vaciar los fondos de la cuenta, monetizar el valor almacenado y utilizarla para cometer otros fraudes.

La forma más básica de relleno de credenciales consiste en ataques de fuerza bruta ejecutados por bots, que introducen combinaciones aleatorias de caracteres en formularios de inicio de sesión hasta que los atacantes encuentran una que coincide con las credenciales de una cuenta.

¿Cómo se roban las credenciales?

Los ataques de relleno de credenciales más avanzados comienzan con pares válidos de nombre de usuario y contraseña que han sido robados o comprometidos durante filtraciones de datos. Las credenciales robadas se pueden comprar fácilmente en mercados de la web oscura (según Cyber Security Hub, solo en 2022 quedaron expuestos 22.000 millones de registros de datos).

Las credenciales también pueden robarse mediante diversos ciberataques y otras técnicas de ciberdelincuencia, entre las que se incluyen:

• Ataques de phishing, un tipo de técnica de ingeniería social en la que los delincuentes utilizan correos electrónicos, mensajes de texto o mensajes en redes sociales para engañar a las personas y conseguir que revelen información privada, como credenciales de inicio de sesión, datos de cuentas bancarias, números de la Seguridad Social u otros datos confidenciales.
• El registro de pulsaciones de teclas, Magecart, el skimming y otras formas de malware del lado del cliente, mediante los cuales los ciberdelincuentes roban credenciales inyectando scripts maliciosos en formularios de pago online. Cuando la víctima introduce sus credenciales y los datos de su tarjeta de crédito, el script transmite los datos al atacante, que puede utilizarlos para cometer fraudes o venderlos a otros delincuentes.
• Ataques de intermediario (MitM), en los que los atacantes interceptan mensajes o transacciones de datos situándose como intermediarios entre dos partes legítimas que intercambian datos. Esto permite al atacante «espiar» la transferencia de información y datos entre ambas partes y obtener credenciales de inicio de sesión u otra información personal.

Una vez que los ciberdelincuentes han acumulado un conjunto de credenciales válidas, pueden iniciar el proceso de relleno de credenciales, a menudo a gran escala. Dado que alrededor de dos tercios de los consumidores reutilizan los mismos nombres de usuario y contraseñas en varios sitios web, los ciberdelincuentes y sus ejércitos de bots automatizados pueden aprovechar fácilmente estas credenciales recicladas: una proporción significativa de las credenciales comprometidas también permitirá acceder a cuentas de otros sitios. Una vez que los atacantes toman el control de las cuentas, pueden cambiar las credenciales para impedir el acceso al titular legítimo, vaciar los activos y utilizar las cuentas para cometer otros actos fraudulentos.

Consecuencias del fraude por apropiación de cuentas

Se prevé que las pérdidas por fraude digital derivadas de ataques como la apropiación de cuentas (ATO) superen los 343.000 millones de dólares en todo el mundo entre 2023 y 2027, según informes publicados en American Banker.

El secuestro de cuentas también tiene consecuencias que van más allá del ámbito financiero. La marca y la reputación de una organización también pueden verse perjudicadas, lo que puede provocar la pérdida de oportunidades de negocio y publicidad negativa debido a una percepción de debilidad en la seguridad. La marca puede sufrir daños a largo plazo y recuperar una reputación positiva puede llevar años.

Las organizaciones también pueden perder la confianza y la fidelidad de sus clientes, lo que puede provocar la ruptura de las relaciones comerciales. Es comprensible que los clientes se sientan descontentos si las medidas de seguridad inadecuadas de una empresa dan lugar al secuestro de cuentas y a costosas actividades fraudulentas.

Las organizaciones también pueden enfrentarse a consecuencias legales y en materia de cumplimiento normativo si no protegen los datos de los consumidores. Leyes y normas como el Reglamento General de Protección de Datos (RGPD) de la UE, la Ley de Privacidad del Consumidor de California (CCPA) y el Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago (PCI-DSS) están diseñadas para garantizar la privacidad de los datos de los consumidores e imponer cuantiosas sanciones económicas en caso de filtraciones de datos. Entre ellas se incluyen los ataques de apropiación de cuentas (ATO) que exponen datos privados a bots.

Detección del fraude por apropiación de cuentas

Es importante supervisar las cuentas y la actividad de los usuarios para detectar indicios de apropiación de cuentas (ATO).

• Preste atención a cambios inesperados en la actividad de la cuenta. Estos cambios pueden incluir transacciones nuevas o no autorizadas, retiradas de grandes cantidades, picos de tráfico aleatorios y esporádicos, o solicitudes para cambiar la contraseña, la dirección o el beneficiario del pago. Estas actividades anómalas pueden indicar que la cuenta está siendo atacada. En estos casos, compruebe la cuenta para averiguar si también ha cambiado algún dato del usuario, como la contraseña o el número de teléfono, lo que podría indicar que la cuenta ha sido secuestrada.
• Presta atención a los intentos de inicio de sesión no reconocidos. Una serie de intentos fallidos de inicio de sesión puede indicar que un ciberdelincuente está intentando acceder a una cuenta mediante técnicas de relleno de credenciales. Presta especial atención si los intentos de inicio de sesión proceden de una ubicación inusual o se producen a una hora del día en la que la cuenta suele estar inactiva.
• Presta atención a los dispositivos nuevos o no reconocidos que accedan a una cuenta. La actividad procedente de dispositivos nuevos o desconocidos puede indicar que una cuenta se ha visto comprometida o que un estafador está intentando iniciar sesión con credenciales robadas. Del mismo modo, que varios dispositivos inicien sesión en una misma cuenta también puede indicar que esta está siendo atacada por delincuentes.
• Correos electrónicos o mensajes de texto sospechosos. Un aumento de los correos electrónicos de phishing y otros mensajes puede indicar que los usuarios están siendo el objetivo de estafadores. Recuerde a los clientes que nunca deben hacer clic en archivos adjuntos ni en enlaces activos incluidos en un mensaje digital de un remitente desconocido, ni facilitar nombres de usuario, contraseñas o información personal o financiera a nadie por teléfono o por Internet. Las empresas legítimas no solicitan información de la cuenta por correo electrónico ni por mensaje de texto.

Prevención del fraude por apropiación de cuentas

Un enfoque proactivo para prevenir la apropiación de cuentas implica múltiples niveles de protección y diversas estrategias. Entre ellos se incluyen metodologías basadas en buenas prácticas, un enfoque centrado en la formación de los usuarios, la supervisión de la infraestructura en tiempo real y medidas de autenticación sólidas.

Formación y concienciación de los usuarios

Una de las formas más eficaces de evitar la apropiación de cuentas es mediante programas educativos que enseñen a los usuarios a identificar los riesgos y protegerse frente a ellos. Los ataques de apropiación de cuentas (ATO) suelen comenzar con el phishing, cuando un ciberdelincuente intenta engañar a los usuarios para que revelen las credenciales de sus cuentas o hagan clic en enlaces maliciosos. Los correos electrónicos y mensajes de texto de phishing pueden resultar muy convincentes, especialmente cuando incluyen datos personales que los delincuentes pueden recopilar de las redes sociales. Asegúrese también de que los usuarios comprendan la importancia de adoptar buenas prácticas en el uso de contraseñas y exija el uso de protocolos de contraseñas seguras.

Medidas de autenticación robustas

La autenticación reforzada exige que los usuarios proporcionen dos o más factores de verificación, además de un nombre de usuario y una contraseña, durante un intento de inicio de sesión. Existen varios métodos de autenticación reforzada.

• Autenticación de dos factores (2FA) es un método de seguridad para la gestión de identidades y accesos que requiere dos factores de verificación para confirmar la identidad de una persona y permitirle acceder a recursos y datos. En la práctica, suele consistir en introducir en un dispositivo conocido, como un teléfono inteligente o el navegador de un ordenador doméstico, un código de acceso de un solo uso recibido por correo electrónico o mensaje de texto.
• Autenticación multifactor (MFA)es similar a la 2FA, salvo que se deben proporcionar al menos tres factores de verificación para iniciar sesión correctamente. En la mayoría de los casos, esto implica recibir un código de un solo uso en un dispositivo conocido y proporcionar algún dato biométrico, como una huella dactilar, un escaneo de retina o el reconocimiento de voz. Cabe señalar que, aunque tanto la 2FA como la MFA siguen siendo herramientas valiosas para mejorar la seguridad de las cuentas en línea, ya no son suficientes como última línea de defensa contra los ataques de apropiación de cuentas (ATO), ya que los delincuentes pueden eludirlas fácilmente y empeoran la experiencia de usuario.
• Autenticación basada en riesgos es un método de gestión de acceso que adapta los requisitos del proceso de autenticación al nivel de riesgo que presenta el intento de inicio de sesión. Por ejemplo, iniciar sesión únicamente para consultar el saldo de una cuenta requeriría un proceso de autenticación menos restrictivo que hacerlo para cambiar contraseñas o transferir fondos a una cuenta nueva. En esencia, a medida que aumenta el nivel de riesgo, el proceso de autenticación se vuelve más estricto y exige factores y controles adicionales.

Supervisión y auditoría de cuentas

Tanto los consumidores como las empresas deben supervisar y auditar periódicamente sus cuentas para detectar actividades sospechosas. En el caso de los consumidores, esto incluye acceder con regularidad a sus cuentas financieras y a otras cuentas con valor almacenado (incluidos los programas de fidelización y las tarjetas regalo) para controlar los saldos y la actividad de las cuentas.

Las empresas y organizaciones pueden utilizar diversas tecnologías para automatizar la supervisión y auditoría continuas de las cuentas, incluidos sistemas de seguimiento de cuentas que emplean aprendizaje automático y detección basada en IA para ayudar a prevenir el fraude mediante la identificación de actividades anómalas que no se corresponden con el comportamiento habitual del usuario.

Firewall de aplicaciones web (WAF)

Un WAF protege las aplicaciones web filtrando, supervisando y bloqueando cualquier tráfico HTTP/S malicioso dirigido a la aplicación web, e impide que salgan de ella datos no autorizados. Para ello, aplica un conjunto de políticas que ayudan a determinar qué tráfico es malicioso y cuál es seguro. Un WAF actúa como intermediario para proteger el servidor de la aplicación web frente a clientes potencialmente maliciosos.

Aunque no están diseñadas específicamente para detectar actividades de apropiación de cuentas (ATO), las políticas de los cortafuegos de aplicaciones web (WAF) pueden configurarse para ayudar a identificar y bloquear este tipo de ataques. Los WAF también pueden ayudar a identificar la actividad de bots maliciosos, que suele preceder a los ataques de relleno de credenciales por fuerza bruta.

Añadir detección y mitigación de bots a las redes

Los ejércitos de bots permiten a los delincuentes ampliar sus ataques, eludir los controles de autenticación multifactor (MFA) y cometer fraudes. Gracias a la automatización, los bots pueden desplegarse de forma masiva para llevar a cabo la tarea que se les haya asignado, ya sea el relleno de credenciales o los ataques de phishing. Las soluciones de detección de bots ofrecen visibilidad sobre actividades maliciosas como la creación de cuentas falsas, el acaparamiento de existencias, el scraping y la captura digital de credenciales. Estas soluciones también pueden generar alertas sobre ataques del lado del cliente, como el secuestro de formularios, la captura digital de datos, Magecart y otras vulnerabilidades de JavaScript en el navegador.

Respuesta ante el fraude por apropiación de cuentas

Debido a la gran cantidad de credenciales robadas y comprometidas disponibles en la web oscura, es cada vez más probable que las organizaciones sufran un ciberataque tarde o temprano. Es fundamental que las organizaciones preparen con antelación respuestas y procesos sólidos para hacer frente al impacto de un ciberataque tanto en la institución como en sus clientes.

Plan de respuesta ante incidentes

Un plan de respuesta ante incidentes define las medidas concretas, los recursos disponibles y las estrategias de comunicación que se pondrán en marcha cuando se detecte una amenaza. Asimismo, debe establecer los protocolos para responder al incidente e identificar al equipo de respuesta que haya recibido la formación necesaria para ejecutar el plan.

Notificación y asistencia al cliente

Es fundamental que el equipo de respuesta ante incidentes notifique directamente a los clientes afectados y les explique lo sucedido, les informe de las medidas que se están tomando para protegerlos y les inste a cambiar la contraseña comprometida si la utilizan en otras cuentas. Mantener el contacto con los clientes afectados es importante para recuperar su confianza.

Investigación y corrección

Tras detectar un ataque, es fundamental evaluar y contener el incidente, así como determinar su naturaleza y alcance y los sistemas afectados. Una vez identificado el punto de acceso, la organización debe impedir el acceso no autorizado del atacante a las cuentas afectadas y corregir las vulnerabilidades de las cuentas comprometidas para garantizar que no puedan volver a utilizarse con fines maliciosos. Como parte de la revisión del proceso de recuperación tras el fraude, se debe analizar cómo evitar que un ataque de este tipo vuelva a producirse.

Comunicación y transparencia

Es importante comunicar las brechas y los ataques de seguridad con transparencia, ya que los organismos reguladores, los medios de comunicación o los consumidores pueden percibir la retención de información como un intento de ocultación, lo que puede agravar considerablemente el impacto económico del ataque.

Resumen

Hoy en día, cualquier organización que emita o acepte pagos digitales es un objetivo de ataques de apropiación de cuentas (ATO), y la amenaza de sufrir un ataque no deja de crecer. Esto sitúa a los comercios en línea, las entidades financieras y las empresas de servicios ante una paradoja: Al adaptarse a la preferencia de los clientes por servicios y aplicaciones en línea más cómodos, se exponen a un mayor riesgo de fraude y otras formas de ciberdelincuencia. Una vez comprometida una cuenta, un estafador puede vaciar sus fondos, robar bienes o servicios, o acceder a la información de pago para utilizarla en otros sitios, lo que provoca la pérdida de clientes y merma los ingresos.

Los controles convencionales de autenticación de dos factores (2FA) y autenticación multifactor (MFA) ya no bastan para detener a los ciberdelincuentes que lanzan ataques de apropiación de cuentas (ATO) cada vez más sofisticados. Para prevenir la ATO, se requiere un enfoque integral de la seguridad y la prevención del fraude que evalúe la intención, agilice las experiencias digitales y frene la apropiación de cuentas mediante la identificación de patrones de fraude y transacciones de riesgo antes de que se produzcan.

Cómo puede ayudar F5

Las soluciones de seguridad y prevención del fraude de F5 ofrecen la protección más completa del sector frente a la apropiación de cuentas en una única plataforma. Mediante tecnologías avanzadas, como el modelado de inteligencia sobre amenazas y el aprendizaje automático, para detectar las técnicas de los atacantes, Distributed Cloud Bot Defense implementa las contramedidas adecuadas en tiempo real para combatir con la máxima eficacia el fraude impulsado por bots y la apropiación de cuentas. Distributed Cloud Authentication Intelligence reconoce a los usuarios legítimos durante todo el recorrido del cliente, y Distributed Cloud Client-Side Defense proporciona información en tiempo real sobre los ataques de skimming digital en el lado del cliente.

Junto con la rápida eliminación del fraude posterior al inicio de sesión mediante Distributed Cloud Account Protection, la plataforma de seguridad y prevención del fraude F5 Distributed Cloud ofrece un enfoque integral que evalúa la intención, agiliza las experiencias digitales y detiene los intentos de apropiación de cuentas que, de otro modo, provocarían fraude, pérdida de ingresos y una menor fidelidad de los clientes.