La autenticación multifactorial se está convirtiendo en un requisito imprescindible para la ciberseguridad:las aseguradoras cibernéticas la exigen, los responsables de seguridad de las empresas tienen previsto aumentar el gasto en ella y, aunque la autenticación multifactorial puede resultar molesta para los usuarios, la mayoría reconoce que ayuda a proteger sus cuentas. De hecho, Microsoft afirma que el método de verificación en dos pasos puede bloquear más del 99.9 % de los intentos de ataque, y Google sitúa la tasa de éxito en entre el 76 % y el 100 %.
Entonces, ¿qué es lo que no le puede gustar?
Pues bien, al igual que ocurre con la mayoría de las medidas de seguridad, los piratas informáticos están encontrando cada vez más formas ingeniosas de eludir la autenticación multifactorial (MFA).
«Los piratas informáticos siempre se adaptarán, y todavía no estoy convencido de que la autenticación multifactorial (MFA) —ni siquiera a largo plazo— vaya a ser la panacea que la mayoría de la gente cree que será», afirma Roger Grimes, analista de ciberdefensa de KnowBe4, empresa que ofrece formación sobre concienciación en seguridad . «El MFA se presenta como una solución muy, muy segura que resolverá los problemas de piratería informática de todo el mundo... y eso, sencillamente, no es cierto».
Para que quede claro, expertos como Grimes afirman que la autenticación multifactorial (MFA) —que requiere el nombre de usuario y la contraseña, además de un código o clave temporal enviada al dispositivo del usuario— sigue siendo uno de los métodos de verificación más eficaces y debería formar parte de cualquier estrategia de seguridad de terminales . Además, las nuevas formas de autenticación multifactorial (MFA), basadas en un marco denominado « FIDO2» ( ), utilizan credenciales de inicio de sesión criptográficas para minimizar el riesgo de , phishing, , robo de contraseñas y ataques de repetición. Además, este marco permite utilizar innovaciones como lectores de huellas dactilares, cámaras y llaves de seguridad como parte del proceso.
Sin embargo, la mayoría de las organizaciones siguen recurriendo a métodos anticuados basados en SMS —es decir, el servicio de mensajes cortos o mensajes de texto— y son precisamente estos sistemas los que los piratas informáticos han estado atacando con cada vez más éxito.
Lo están haciendo de varias maneras, entre ellas: mediante ingeniería social; aprovechando fallos en el sistema de envío de códigos de un solo uso a los usuarios; y utilizando cuentas inactivas de Microsoft para acceder a redes públicas y privadas.
Cómo el MFA sucumbe a la ingeniería social
Una de las tácticas más habituales se conoce como «ataque de fatiga de la autenticación multifactorial» (MFA), .. También conocido como «ataque MFA», este método consiste en que un atacante inunde el dispositivo de un usuario final con repetidas solicitudes para que apruebe un intento de inicio de sesión. Básicamente, consiste en pillar a alguien desprevenido o engañarle para que crea que debe aprobar una solicitud de autenticación.
«Los empleados deben tratar las solicitudes de autenticación MFA con un mayor nivel de recelo [como si] alguien llamara a la puerta de su casa y les pidiera los datos de su tarjeta de crédito.»Chris Prewitt, responsable de seguridad de la información (CISO), Inversion6
El pasado mes de septiembre, el infame grupo de hackers Lapsus$ utilizó el «bombardeo de autenticación multifactorial» para infiltrarse en la aplicación de transporte compartido Uber. Uber ha informado de que los ciberdelincuentes obtuvieron las credenciales de una VPN de un contratista externo —probablemente las adquirieron en la dark web— y, a continuación, intentaron en repetidas ocasiones iniciar sesión en la cuenta de Uber del usuario. En cada ocasión, el contratista recibía una solicitud de autorización de inicio de sesión mediante autenticación de dos factores, lo que inicialmente bloqueaba el acceso. Sin embargo, finalmente, el contratista aceptó una de ellas y el atacante pudo iniciar sesión, según ha informado Uber. A partir de ahí, el atacante accedió a otras cuentas de empleados y obtuvo acceso con privilegios elevados a varias herramientas, entre ellas G-Suite y Slack.
Aunque el atacante logró publicar mensajes en el canal de Slack de toda la empresa, Uber afirmó que no creía que los atacantes hubieran accedido a datos personales de los clientes ni hubieran realizado modificaciones en el código fuente.
En una encuesta reciente de « » y «Beyond Identity» (), el 62 % de los usuarios afirmó haber sufrido un «bombardeo de autenticación multifactorial» (MFA), y casi uno de cada 10 nunca recuperó el acceso a una cuenta que había sido bloqueada tras estos ataques. Según el informe, los cinco tipos de cuentas de MFA más afectados por esta táctica fueron las bancarias (62 %), Facebook (45 %), Instagram (39 %), las de criptomonedas (36 %) y Twitter (34 %).
3 formas de contrarrestar los ataques de «fatiga de la autenticación multifactorial»
Para reducir la probabilidad de que se produzca un ataque MFA con éxito, los expertos recomiendan seguir una serie de pasos:
1. Endurezca los parámetros de la autenticación multifactorial (MFA): BeyondTrust recomienda optimizar la configuración de sus procesos de autenticación MFA mediante las siguientes medidas: reducir el intervalo de tiempo entre las autenticaciones de cada factor; limitar el número de intentos de acceso fallidos permitidos durante un periodo de tiempo determinado; añadir requisitos de geolocalización o biométricos; aumentar el número de factores necesarios para el acceso; y señalar los intentos de inicio de sesión excesivos para que los revise un analista de seguridad. Otros expertos sugieren limitar o desactivar las notificaciones push de las solicitudes de autenticación multifactorial (MFA).
2. Forme a su personal: Chris Prewitt, director de seguridad de la información (CISO) de Inversion6, recomienda impartir formación continua a su personal para garantizar que conozcan el ataque de «fatiga de la autenticación multifactorial» (MFA) y sepan cómo actuar ante él.
«Los empleados deben abordar las solicitudes de autenticación mediante autenticación multifactorial (MFA) con un mayor grado de recelo», afirma. «Si alguien llamara a la puerta y le pidiera los datos de su tarjeta de crédito, la mayoría de las personas no se los facilitarían». «Sin embargo, en Internet parece que estamos un poco más dispuestos a hacer clic en cosas y a compartir información que no deberíamos, y eso tiene que cambiar».
3. Aplicar el principio del privilegio mínimo: Otro paso consiste en restringir los derechos de acceso de las personas, las cuentas y los equipos únicamente a lo que necesite cada usuario. De este modo, los ataques de agotamiento de la autenticación multifactorial (MFA) tienen dificultades para obtener un acceso generalizado a las cuentas o a los datos. Básicamente, se les detiene cerca de sus puntos de entrada.
Ataques MFA que aprovechan las vulnerabilidades de los SMS
Otra forma en que los piratas informáticos pueden eludir la autenticación multifactorial (MFA) consiste en burlar el propio método del código de un solo uso enviado por SMS.
«. Ninguna medida de seguridad, si se aplica de forma inadecuada, es la solución.»John Pescatore, director de tendencias emergentes en materia de seguridad del Instituto SANS
La mayoría de los expertos coinciden en que basar el segundo factor de la autenticación multifactorial (MFA) en la autenticación por SMS no es tan seguro, ya que los piratas informáticos son bastante hábiles a la hora de utilizar técnicas de suplantación de identidad y phishing para interceptar y leer los mensajes SMS. Además, recurren a una estafa de ingeniería social denominada « » (cambio de tarjeta SIM), mediante la cual obtienen información personal sobre usted, se ponen en contacto con su operador de telefonía móvil, le cuentan una historia falsa sobre la pérdida o el robo de un teléfono y le convencen para que transfiera su antiguo número a un nuevo teléfono que ellos controlan. Una vez hecho esto, pueden interceptar mensajes SMS, incluidos los códigos de autenticación de dos factores. Existe incluso una técnica denominada «smishing por SMS», que consiste en un ataque de phishing lanzado a través de mensajes de texto.
Grimes señala que algunas soluciones de autenticación multifactorial (MFA) han mejorado a la hora de contrarrestar los intentos de phishing o smishing, y afirma que «todos deberían utilizar la autenticación multifactorial resistente al phishing siempre que sea posible para proteger los datos y sistemas valiosos». Sin embargo, advierte: «En el mejor de los casos, incluso un buen sistema de autenticación multifactorial (MFA) solo detiene, como mucho, entre el 30 % y el 50 % de los ataques actuales».
Por su parte, Microsoft y otros líderes del sector instan a las empresas a dejar de utilizar la autenticación multifactorial (MFA) basada en el teléfono, que califican como «el método de MFA menos seguro de los disponibles en la actualidad», y a utilizar, en su lugar, llaves de seguridad o aplicaciones de autenticación. Microsoft incluso anunció sus planes para mejorar la autenticación de dos factores en Windows 11 mediante la incorporación de un número al código del segundo factor enviado desde su aplicación Microsoft Authenticator. La función aún se encuentra en fase de pruebas. Del mismo modo, Twitter ha notificado a aquellos usuarios que no estén suscritos a su servicio de pago Twitter Blue que dejará de enviar mensajes de texto con códigos de inicio de sesión a partir del March 20. La empresa animó a los usuarios que no pagan a utilizar aplicaciones de autenticación gratuitas o métodos basados en claves de seguridad.
«Creo que se trata de un gran paso en la dirección correcta», afirma Prewitt. «El servicio SMS lleva mucho tiempo siendo objeto de ataques».
¿Utilizar la autenticación multifactorial (MFA) para atacar la autenticación multifactorial (MFA)? Conozca la apropiación de cuentas inactivas
Una de las formas más sutiles en que los piratas informáticos pueden eludir la autenticación multifactorial (MFA) consiste en hacerse con el control de cuentas inactivas de Microsoft. Mandiant, una empresa de ciberseguridad, afirma que ha observado recientemente una tendencia en la que los piratas informáticos, entre ellos el grupo de espionaje ruso APT29, se aprovechan del proceso de autoinscripción para la autenticación multifactorial (MFA) en Azure Active Directory y otras plataformas.
En un caso concreto, al parecer, APT29 llevó a cabo un ataque de adivinación de contraseñas contra una lista de buzones de correo que habían obtenido de alguna manera. Consiguieron adivinar la contraseña de una cuenta que se había creado, pero que nunca se había utilizado. Según Mandiant, debido a que la cuenta estaba inactiva, Azure AD solicitó a APT29 que se registrara en la autenticación de dos factores (MFA) y, una vez hecho esto, el grupo de hackers pudo acceder a la infraestructura de VPN que utilizaba Azure AD para la autenticación y la autenticación de dos factores.
Para hacer frente a este tipo de ataques, Mandiant recomienda asegurarse de que todas las cuentas activas cuenten con al menos un dispositivo de autenticación multifactorial (MFA) registrado y colaborar con el proveedor de su plataforma para añadir verificaciones adicionales al proceso de registro de la autenticación multifactorial.
John Pescatore, director de tendencias emergentes en seguridad del Instituto SANS, afirma que la mayoría de los ataques de elusión de la autenticación multifactorial (MFA) como estos tienen una cosa en común: se basan en procesos mal implementados, en lugar de comprometer directamente la solución de MFA.
«La falta de seguridad, cuando se gestiona mal, no es la solución», afirma. «Sin embargo, unos controles de seguridad sólidos, como la autenticación multifactorial (MFA), la gestión de privilegios, el control de aplicaciones y la aplicación rápida de parches , junto con las pruebas de penetración realizadas por personal cualificado, han permitido a muchas empresas evitar daños graves derivados de ciberataques, sin que ello afecte a su actividad empresarial».
