Los incidentes de filtración de credenciales se duplican a medida que aumenta la sofisticación de los hackers
Acompaña a Dan Woods (vicepresidente del Centro de Inteligencia de Shape Security en F5) y a Sander Vinberg (divulgador de amenazas de F5 Labs) mientras analizan el nuevo informe de F5 Labs sobre el relleno de credenciales junto con John Wagnon y Jason Rahm, de DevCentral.
Para obtener más información, consulta el informe completo 2021 Credential Stuffing Report y mira una versión ampliada del debate de DevCentral Connects aquí. A continuación también encontrarás un resumen de las principales conclusiones del informe.
El número anual de incidentes de filtración de credenciales casi se duplicó entre 2016 y 2020, según el último informe sobre relleno de credenciales de F5 Labs.
La iniciativa de investigación más exhaustiva de este tipo registró una disminución del 46 % en el volumen de credenciales filtradas durante el mismo periodo. El tamaño medio de las filtraciones también se redujo, pasando de 63 millones de registros en 2016 a 17 millones el año pasado. Por su parte, la mediana del tamaño de las filtraciones en 2020 (2 millones de registros) aumentó un 234 % con respecto a 2019 y fue la más alta desde 2016 (2,75 millones).
El relleno de credenciales, que consiste en explotar grandes volúmenes de combinaciones comprometidas de nombre de usuario o correo electrónico y contraseña, es un problema mundial cada vez mayor. Como ejemplo indicativo, una notificación dirigida al sector privado emitida por el FBI el año pasado advirtió de que esta amenaza fue responsable del mayor porcentaje de incidentes de seguridad sufridos por el sector financiero estadounidense entre 2017 y 2020 (41 %).
«Los atacantes llevan años recopilando miles de millones de credenciales», afirmó Sara Boddy, directora sénior de Comunidades de F5 (F5 Labs y DevCentral). «Las filtraciones de credenciales son como los vertidos de petróleo: una vez que se producen, son muy difíciles de limpiar, ya que los consumidores desprevenidos no cambian sus credenciales y las empresas aún no han adoptado de forma generalizada soluciones contra el relleno de credenciales. No resulta sorprendente que, durante este periodo de investigación, observáramos que el relleno de credenciales desplazaba a los ataques HTTP como principal tipo de ataque. Este tipo de ataque tiene repercusiones a largo plazo en la seguridad de las aplicaciones y no va a desaparecer a corto plazo. Si le preocupa sufrir un ataque informático, lo más probable es que se produzca mediante el relleno de credenciales».
A la luz de los hallazgos, Sander Vinberg, divulgador de investigación sobre amenazas en F5 Labs y coautor del informe, instó a las organizaciones a mantenerse alerta.
«Aunque resulta interesante que el volumen total y la cantidad de credenciales filtradas disminuyeran en 2020, desde luego aún no deberíamos celebrarlo», advirtió. «Los ataques de acceso —incluidos el relleno de credenciales y el phishing— son ahora la principal causa de las brechas de seguridad. Es muy poco probable que los equipos de seguridad estén ganando la batalla contra la exfiltración de datos y el fraude, por lo que parece que estamos viendo cómo un mercado antes caótico se estabiliza a medida que alcanza una mayor madurez».
Almacenamiento deficiente de contraseñas y creciente sofisticación de los atacantes
A pesar del creciente consenso sobre las mejores prácticas del sector, una de las principales conclusiones del informe es que el almacenamiento inadecuado de contraseñas sigue siendo un problema recurrente.
Aunque la mayoría de las organizaciones no revelan los algoritmos de hash de contraseñas, F5 pudo estudiar 90 incidentes concretos para hacerse una idea de las causas más probables de las filtraciones de credenciales.
Durante los últimos tres años, el 42,6 % de las filtraciones de credenciales no contaba con ningún tipo de protección y las contraseñas se almacenaban en texto sin formato. A continuación se situaba el 20 % de las credenciales, que utilizaban el algoritmo de hash de contraseñas SHA-1 sin «sal» (es decir, sin un valor único que pueda añadirse al final de la contraseña para generar un valor hash diferente). El algoritmo bcrypt con «sal» ocupaba el tercer lugar, con un 16,7 %. Sorprendentemente, el ampliamente desacreditado algoritmo de hash MD5 representaba una pequeña proporción de las credenciales filtradas, incluso cuando los hashes incluían «sal» (0,4 %). Desde hace décadas, MD5 se considera débil y una mala práctica, tanto si se utiliza «sal» como si no.
Otra observación destacable del informe es que los atacantes utilizan cada vez más técnicas de «fuzzing» para aumentar las probabilidades de éxito al explotar credenciales. El fuzzing es el proceso de detectar vulnerabilidades de seguridad en el código de análisis de entradas mediante pruebas repetidas del analizador con entradas modificadas. F5 descubrió que la mayoría de los ataques de fuzzing se produjeron antes de que las credenciales comprometidas se hicieran públicas, lo que sugiere que esta práctica es más habitual entre los atacantes sofisticados.
Detección de filtraciones
En el Informe de 2018 sobre el relleno de credenciales, F5 señaló que un vertido de credenciales tardaba una media de 15 meses en hacerse público. Esta situación ha mejorado en los últimos tres años. El tiempo medio de detección de los incidentes, cuando se conocen tanto la fecha del incidente como la fecha de su descubrimiento, es ahora de unos once meses. Sin embargo, esta cifra está sesgada por unos pocos incidentes que tardaron tres años o más en detectarse. La mediana del tiempo de detección de los incidentes es de 120 días. Es importante señalar que los vertidos suelen detectarse en la web oscura antes de que las organizaciones revelen una brecha de seguridad.
La web oscura, en el punto de mira
El anuncio de una filtración suele coincidir con la aparición de credenciales en foros de la web oscura. Para el Informe sobre el relleno de credenciales de 2020, F5 analizó específicamente el periodo crucial entre el robo de las credenciales y su publicación en la web oscura.
Los investigadores llevaron a cabo un análisis histórico utilizando una muestra de casi 9.000 millones de credenciales procedentes de miles de filtraciones de datos independientes, denominada «Collection X». Las credenciales se publicaron en foros de la web oscura a principios de enero de 2019.
F5 comparó las credenciales de Collection X con los nombres de usuario empleados en ataques de relleno de credenciales contra un grupo de clientes durante los seis meses anteriores y posteriores a la fecha del anuncio (la primera vez que una filtración de credenciales se hace pública). Se estudiaron cuatro clientes de la lista Fortune 500 —dos bancos, un minorista y una empresa de alimentación y bebidas—, que sumaban 72.000 millones de transacciones de inicio de sesión a lo largo de 21 meses. Mediante la tecnología de Shape Security, los investigadores pudieron «rastrear» las credenciales robadas desde su sustracción hasta su venta y uso.
A lo largo de 12 meses, se utilizaron 2.900 millones de credenciales diferentes tanto en transacciones legítimas como en ataques contra los cuatro sitios web. Casi un tercio de las credenciales (900 millones) se vieron comprometidas. Las credenciales robadas aparecieron con mayor frecuencia en transacciones legítimas realizadas por personas en los bancos (en el 35 % y el 25 % de los casos, respectivamente). El 10 % de los ataques se dirigió al sector minorista, mientras que alrededor del 5 % se centró en el sector de la alimentación y las bebidas.
Cinco fases del uso indebido de credenciales
Según el estudio, el informe sobre el relleno de credenciales identificó cinco fases diferenciadas del uso indebido de credenciales:
- Lento y discreto: Las credenciales comprometidas se utilizaron de forma encubierta hasta un mes antes de que se hiciera un anuncio público. De media, cada credencial se utilizaba entre 15 y 20 veces al día en ataques contra los cuatro sitios web.
- El aumento progresivo: Durante los 30 días anteriores al anuncio público, F5 detectó que las credenciales circulaban por la web oscura. Más atacantes obtuvieron acceso a ellas, por lo que el número de ataques diarios aumentó de forma constante.
- El ataque relámpago: Cuando las credenciales se hicieron públicas, los «script kiddies» y otros aficionados empezaron a utilizarlas en los sitios web más importantes. La primera semana fue especialmente intensa, y cada cuenta recibió una media de más de 130 ataques al día.
- El descenso/nuevo equilibrio: Tras el primer mes, F5 identificó un nuevo equilibrio de unos 28 ataques diarios por nombre de usuario. Curiosamente, el nuevo equilibrio es superior al statu quo original de 15 ataques durante la fase «lenta y silenciosa». Esto se debe a que un subconjunto de atacantes novatos sigue teniendo como objetivo empresas de alto valor con credenciales «obsoletas».
- Reencarnación: Tras llevar a cabo ataques de relleno de credenciales contra diversos sitios web, un grupo de ciberdelincuentes se dedicó a reempaquetar credenciales válidas para prolongar su vida útil.
Minimizar la amenaza
«El relleno de credenciales seguirá siendo una amenaza mientras exijamos a los usuarios que inicien sesión en cuentas en línea», añadió Boddy. «Los atacantes seguirán adaptando sus ataques a las técnicas de protección contra el fraude, lo que genera una gran necesidad y una oportunidad para implantar controles adaptativos basados en IA contra el relleno de credenciales y el fraude. Es imposible detectar al instante el 100 % de los ataques. Lo que sí es posible es hacer que los ataques resulten tan costosos que los estafadores desistan. Si hay algo que se cumple tanto en el mundo de los ciberdelincuentes como en el de los empresarios, es que el tiempo es oro».
Para conocer más perspectivas sobre inteligencia de amenazas y ciberseguridad, visite https://www.f5.com/labs.