AUTENTICACIÓN SIN CONTRASEÑAS. ¿ESTAMOS PREPARADOS PARA ABANDONARLAS POR COMPLETO?

Desde hace algún tiempo se viene barajando la posibilidad de abandonar las contraseñas como principal método de autenticación en nuestras cuentas y dispositivos. Si bien nos han acompañado durante décadas, en los últimos años se ha demostrado que no suponen muchos impedimentos para que un atacante consiga su objetivo.

Cuando las contraseñas ya no cumplen su cometido

Teniendo en cuenta que muchos usuarios siguen utilizando contraseñas fácilmente predecibles y que incluso las reutilizan en múltiples sitios online, no deberíamos extrañarnos de que los delincuentes sigan obteniendo acceso a todo tipo de cuentas y servicios, ya sea porque roban estas credenciales a los usuarios o directamente a las empresas encargadas de custodiarlas.

Es por eso que empresas como Microsoft han empezado a apostar por un mundo sin contraseñas o, al menos, no como las conocíamos hasta ahora. Esto facilitaría mucho la vida tanto a usuarios como a responsables de equipos de seguridad y, a pesar de que una de las compañías de software más importantes abogue por este mundo sin contraseñas, aun son pocas las empresas que se atreven a dar este paso.

Se calcula que, actualmente, cada usuario tiene que recordar decenas de contraseñas tanto de cuentas personales como corporativas. Esto es algo que dificulta su generación y gestión y, aunque existan soluciones como para gestionarlas incluso incluidas en soluciones de seguridad, muchos usuarios optan por el camino fácil, generando contraseñas predecibles y reutilizándolas.

Desde el punto de vista de la ciberseguridad, el problema de las contraseñas se encuentra ampliamente documentado y son un objetivo principal de los atacantes que cada vez les resulta más fácil de robar o averiguar. Una vez obtenidas, los atacantes pueden hacerse pasar por usuarios legítimos para enviar correos maliciosos, sortear las defensas de una red corporativa y conseguir persistencia en estas redes durante varias semanas o incluso meses, lo que les permite preparar ataques con un mayor impacto.

Beneficios y problemas para la implantación de la autenticación sin contraseñas

El cambio a un sistema de autenticación sin contraseñas supone un salto grande para la mayoría de empresas, ya sea utilizando una app que utilice sistemas biométricos, una llave de seguridad o un código de un solo uso. En el caso de que una empresa adopte esta estrategia podrían mejorar aspectos como:

  • Una mejora en la experiencia de usuario: haciendo el acceso a cuentas y servicios más fáciles y sin la necesidad de que los usuarios tengan que recordar sus contraseñas.
  • Mejoras en la seguridad: al no haber contraseñas que robar, las empresas se pueden olvidar de una de las principales puertas de entrada y que son responsables del la mayoría de brechas de seguridad durante los últimos meses. Como mínimo se está consiguiendo que los atacantes se tengan que esforzar más para conseguir su objetivo.
  • Reducción de costes y daño reputacional: Al reducir la probabilidad de ser víctimas de amenazas relacionadas con el robo de contraseñas y de filtraciones de información, también se reducen los costes asociados con el reseteo de contraseñas e investigación de incidentes.

Sin embargo, la autenticación sin contraseñas no es la panacea que podríamos pensar y aun existen desafíos a los que debemos enfrentarnos.

  • La seguridad al 100% no está asegurada: Aquellos que utilicen el SMS para obtener los códigos de verificación están expuestos a los ataques de SIM Swapping. Además, si los atacantes consiguen comprometer los dispositivos que se encargan de generan estos códigos, también serán capaz de obtenerlos.
  • La biometría no es infalible: En el caso de que los usuarios utilicen una característica física que no se puede cambiar, la seguridad de las cuentas puede verse comprometida en el caso de que un atacante consiga acceder a esta información biométrica. De hecho, ya hay técnicas que se están desarrollando e incluso utilizando para sortear la tecnologías de reconocimiento facial y de la voz.
  • Costes de la implementación: Dependiendo de los mecanismos de autenticación elegidos para sustituir a las contraseñas, los costes pueden variar sustancialmente. En el caso de usar tokens físicos el coste puede dispararse pero, en el lado opuesto, las aplicaciones instaladas en dispositivos móviles pueden hacer que este coste sea mucho más manejable.
  • Resistencia por parte de los usuarios: Si las contraseñas han sobrevivido durante tanto tiempo, a pesar de sus problemas, ha sido en buena parte debido a que los usuarios saben instintivamente como utilizarlas. Imponer un cambio tan importante puede ser más fácil en un entorno de gran empresa, donde los usuarios no tienen más remedio que seguir las reglas pero en entornos de pequeña y mediana empresa este cambio puede costar más de lo deseado por lo que se deben implementar aqeullos que sean menos molestos y más intuitivos.

Conclusión

Con el aumento del uso de servicios online y el teletrabajo provocados por la situación sanitaria actual, se ha puesto de manifiesto la necesidad de contar con mecanismos de autenticación más robustos si se quiere mitigar el impacto que tienen los ciberataques en empresas de todos los tamañas. El abandono de las contraseñas puede ser posible empezando por utilizar el smartphone como centro de esta nueva estrategia, aunque solo con el tiempo comprobaremos si esto se produce de forma generalizada.

Enlace a la noticia: https://blogs.protegerse.com/2021/11/08/autenticacion-sin-contrasenas-estamos-preparados-para-abandonarlas-por-completo/

Protege tu router mientras teletrabajas

Proteger tu router WIFI es esencial para mejorar la seguridad!

✅ COMPROBAR que solo estén conectados los dispositivos que usted conozcas.
✅ VERIFICAR la direcciones IP al conectarse.
✅ CAMBIAR el nombre a la red WIFI.
✅ APAGAR el router si sales de viaje o estas mucho tiempo fuera de casa.

Siempre tened en cuenta seguir unas pautas de seguridad como por ejemplo: de que dirección vienen los
correos electrónicos, de donde descargáis según que documentos o aplicaciones y por ultimo y mas importante
, utilizar el sentido común y estar alerta para evitar caer en cualquier ataque.

Nueva campaña de PHISHING que suplanta la identidad de PayPal

Se ha detectado una nueva campaña de correos electrónicos que intentan suplantar a la empresa intermediaria de pagos PayPal.

El correo avisa al usuario de que su cuenta ha sido bloqueada y solicita actualizar información. En el cuerpo del mensaje se facilita un enlace para poder acceder a una página falsa de acceso a su cuenta de PayPal, a través de la cual se solicitan las credenciales de usuario y los datos personales y bancarios vinculados a la cuenta.

Si has recibido un correo de estas características, has accedido al enlace y facilitado tus credenciales, tus datos personales y bancarios, contacta lo antes posible con PayPal y tu entidad bancaria para informarles de lo sucedido. Además, debes cambiar inmediatamente tu contraseña de acceso al servicio. Evita ser víctima de fraudes tipo phishing siguiendo nuestras recomendaciones:

  1. No abras correos de usuarios desconocidos o que no hayas solicitado, elimínalos directamente.
  2. No contestes en ningún caso a estos correos, ni envíes información personal.
  3. Ten precaución al pinchar en enlaces y descargar ficheros adjuntos en correos, en SMS, mensajes en WhatsApp o en redes sociales, aunque sean de contactos conocidos.
  4. Ten siempre actualizado el sistema operativo y el antivirus.
  5. En caso de duda, consulta directamente con la empresa o servicio implicado o con terceras partes de confianza como pueden ser las Fuerzas y Cuerpos de Seguridad del Estado (FCSE) o la Oficina de Seguridad del Internauta (OSI).

Por otro lado, ten siempre en cuenta los consejos que facilita, en este caso PayPal, en la sección de seguridad de su web.

MUY IMPORTANTE: Si recibes un correo con estas características, no facilites ningún dato, no hagas clic en los enlaces, ni descargues adjuntos. En el caso de que te surjan dudas, contacta directamente con Paypal en spoof@paypal.es para asegurarse de la veracidad de la información.

El correo electrónico fraudulento se envía desde una cuenta de correo electrónico que no pertenece a los dominios de PayPal (“@paypal.es” o “@e.paypal.es”). Hasta el momento se han detectado correos fraudulentos provenientes de “PayPal ”, con el asunto “Tu cuenta ha sido bloqueada” o similares.@e-coin.io>

El contenido del correo corresponde a un aviso informado de que tu cuenta de PayPal ha sido bloqueada por falta de información, utilizando su logo y una estructura parecida a un correo de PayPal.

En el cuerpo del mensaje se facilita un enlace para poder enviar la supuesta petición de actualización de datos.

Llama la atención que dicho correo contiene 4 enlaces más (Centro de ayuda | Centro de resolución | Centro de Seguridad | Ayuda y contacto) que también redirigen a la página fraudulenta.

Si pinchas en uno de estos enlaces, este redirige a la web falsa, que simula ser el servicio original en cuanto a estética y estructura del portal web, donde te solicitarán tus credenciales.

Si introduces tus credenciales y haces clic en «Iniciar sesión», se cargará otro formulario en el cual te pedirán todos los datos de tu tarjeta de crédito.

Tras introducir los datos de la tarjeta y pulsar en el botón «Acuerdo & Continuar», te solicitará que verifiques tu tarjeta bancaria con tu fecha de nacimiento, una contraseña y un número de teléfono.

*Fuente Información: INCIBE – OSI Oficina de Seguridad del Internauta

Nueva campaña de Phishing que te roba tus datos con archivos falsos de WeTranfers

Se ha detectado una nueva campaña de phishing a través del envío de archivos falsos de WeTransfer para robar las claves de los usuarios. Prestad atención a las características de esta nueva campaña, revisad con cuidado vuestra bandeja de entrada y no lo más importante no caigais en la trampa.

El phishing está a la orden del día y continúa siendo una de las estrategias preferidas por los ciberdelincuentes para robar las contraseñas de las víctimas. En esta ocasión ha sido descubierta una nueva campaña dirigida a los usuarios de WeTransfer, el popular servicio en la nube que permite enviar y recibir archivos de gran tamaño de manera gratuita.

De acuerdo con el informe de ESET, los atacantes envían a las víctimas un correo electrónico que indica que el destinatario ha recibido dos archivos vía WeTransfer. El mensaje simula los emails que envía el servicio para compartir archivos, e incluye los nombres de los ficheros, el peso y la fecha de eliminación de la plataforma, así como un botón para proceder a su descarga.

El remitente es el indicativo más claro de que nos encontramos ante un correo electrónico falso, ya que en lugar de ser el habitual (noreply @wetransfer.com), se trata de una dirección correspondiente a un dominio de correo desconocido. 

En caso de hacer clic en el botón para descargar los supuestos archivos de WeTransfer, en lugar de ir a la web legítima el enlace dirige a la víctima a una página falsa que imita el diseño del servicio oficial. Si te fijas en la barra de direcciones, verás que el dominio no es el oficial, sino un dominio de Chile. 

Una vez en la página falsa, el sistema solicita que se introduzcáis los credenciales de WeTransfer para descargar los archivos, otro factor que tiene que hacer que la víctima desconfíe, ya que el servicio nunca solicita claves de ningún tipo para efectuar la descarga.

En caso de introducir vuestras credenciales, caerán en manos de los atacantes y serás redirigido a una página que indica que la descarga de los archivos ha expirado. Por lo tanto, el único objetivo de esta campaña es robar contraseñas, ya que no se lleva a cabo la descarga de ficheros infectados con malware. 

Si habeís recibido este correo falso de WeTransfer y habéis caído en la trampa, cambiad vuestra contraseña cuanto antes y avisad al servicio de lo que te ha sucedido. Además, si cometéis el error de utilizar las mismas claves para acceder a otras cuentas y perfiles, también es recomendable que las modifiquéis.

Fuente: ESET, ComputerHoy