Por: Melanie Maynes, gerente de mercadotecnia de producto para Microsoft Security.
Cada día, hay más de 300 millones de intentos de registro fraudulento a nuestros servicios de nube. Los ciberataques no disminuyen, y vale la pena comentar que muchos ataques han sido exitosos sin el uso de tecnología avanzada. Todo lo que se necesita es una credencial comprometida o una aplicación legada para causar una brecha de datos. Esto subraya cuán crítico es garantizar la seguridad de la contraseña y una fuerte autenticación. Conozcan más sobre vulnerabilidades comunes y la sencilla acción que pueden realizar para proteger sus cuentas de ataques.
Vulnerabilidades comunes
En un documento reciente del SANS Software Security Institute, las vulnerabilidades más comunes incluyen:
- Email comercial comprometido, cuando un atacante obtiene acceso a una cuenta corporativa de email, como a través de phishing o spoofing, y la utiliza para explotar el sistema y robar dinero. Las cuentas que están protegidas con sólo una contraseña son blancos fáciles.
- Los protocolos legados pueden crear una vulnerabilidad mayor debido a que aplicaciones que utilizan protocolos básicos, como SMTP, no fueron diseñados para manejar Autenticación Multi Factor (MFA, por sus siglas en inglés). Entonces, incluso si requieren MFA para la mayoría de los casos de uso, los atacantes buscarán oportunidades para utilizar navegadores o aplicaciones de email obsoletas para forzar el uso de protocolos menos seguros.
- Reutilización de contraseña, donde entran en juego ataques de rociado de contraseña y relleno de credenciales. Las contraseñas comunes y las credenciales comprometidas por atacantes en brechas públicas son utilizadas contra cuentas corporativas para intentar obtener acceso. Si se considera que más del 73 por ciento de las contraseñas son duplicadas, esta ha sido una estrategia exitosa para muchos atacantes y es fácil de llevar a cabo.
Lo que pueden hacer para proteger a su compañía
Pueden ayudar a prevenir algunos de esos ataques al prohibir el uso de malas contraseñas, bloquear la autenticación legada, y entrenar a los empleados sobre phishing. Sin embargo, una de las mejores cosas que pueden hacer es sólo activar la MFA. Al brindar una barrera y capa extra de seguridad que hace mucho más difícil el paso para los atacantes, MFA puede bloquear más del 99.9 por ciento de los ataques que buscan comprometer una cuenta. Con MFA, saber o descifrar la contraseña no será suficiente para obtener acceso. Para conocer más, lean Your Pa$$word doesn´t matter.
MFA es mucho más sencillo de lo que creen
De acuerdo con el SANS Software Security Institute hay dos obstáculos primarios para adoptar hoy implementaciones MFA:
- El concepto erróneo de que MFA requiere dispositivos externos de hardware.
- La preocupación sobre una disrupción potencial del usuario o la preocupación de lo que se podría romper.
Matt Bromiley instructor de forense digital y de respuesta ante incidentes en SANS, comenta, “No necesita ser un enfoque tipo todo o nada. Hay diferentes enfoques que su organización podría utilizar para limitar la disrupción mientras se mueven hacia un estado de autenticación más avanzado”. Esto incluye un enfoque basado en rol o por aplicación – se comienza con un pequeño grupo y a partir de ahí se puede expandir. Bret Arsenault comparte sus consejos sobre realizar la transición a un modelo sin contraseña en Preparing your enterprise to eliminate passwords.
Dar el salto y dejar atrás las contraseñas
Protocolos de la industria como WebAuthn y CTAP2, ratificados en 2018, han permitido eliminar por completo las contraseñas. Estos estándares, conocidos de manera colectiva como el estándar FIDO2, garantizan que las credenciales del usuario están protegidas de extremo a extremo y fortalecen toda la cadena de seguridad. El uso de biométricos se ha vuelto más popular, en especial en dispositivos móviles y laptops, así que es una tecnología conocida para muchos usuarios y una que a menudo se prefiere sobre las contraseñas de todos modos. Las tecnologías de autenticación sin contraseña no solo son más convenientes para la gente, también son mucho más difíciles y costosas de comprometer por parte de los hackers. Conozcan más sobre las soluciones de autenticación sin contraseña de Microsoft en una variedad de factores de forma para satisfacer las necesidades de los usuarios.
Convenzan a su jefe
Descarguen el documento de SANS Bye Passwords: New Ways to Authenticate para conocer más sobre consejos para las compañías que están listas para dar el siguiente paso para proteger mejor sus entornos de riesgos de contraseñas. Recuerden, hablar es sencillo, ¡Las acciones generan resultados!
