El eslabón más débil de la autenticación multifactorial (MFA): la recuperación de cuentas es la nueva vía de ataque

Los equi­pos de se­gu­ri­dad han di­fi­cul­ta­do el robo de cuen­tas me­dian­te la im­ple­men­ta­ción de la au­ten­ti­ca­ción mul­ti­fac­tor (MFA), ade­más de con­tro­les con­di­cio­na­les y de con­fian­za en los dis­po­si­ti­vos. De­bi­do a que estas ba­rre­ras ele­van los obs­tácu­los para los de­lin­cuen­tes, los ata­can­tes bus­can vías al­ter­nas, en­fo­cán­do­se par­ti­cu­lar­men­te en los me­ca­nis­mos de re­cu­pe­ra­ción de cuen­tas en lugar de ata­car la MFA de forma di­rec­ta.

Ante si­tua­cio­nes co­ti­dia­nas como la pér­di­da de dis­po­si­ti­vos, cam­bios de nú­me­ros te­le­fó­ni­cos o el ol­vi­do de cre­den­cia­les, los em­plea­dos re­cu­rren al ser­vi­cio de asis­ten­cia téc­ni­ca (ser­vi­ce desk) para res­ta­ble­cer sus ac­ce­sos. De­pen­dien­do de los pri­vi­le­gios del usua­rio, los agen­tes pue­den bo­rrar mé­to­dos de au­ten­ti­ca­ción exis­ten­tes, emi­tir cre­den­cia­les tem­po­ra­les o re­gis­trar nue­vos fac­to­res, con­vir­tien­do este so­por­te ne­ce­sa­rio en una zona de­li­ca­da de ges­tión de iden­ti­dad que puede ser ex­plo­ta­da si la ve­ri­fi­ca­ción pre­via es débil.

Un ejem­plo de esta vul­ne­ra­bi­li­dad son las tác­ti­cas del grupo Scat­te­red Spi­der, re­por­ta­das por agen­cias como CISA y el FBI, que se hacen pasar por em­plea­dos para con­ven­cer al per­so­nal de so­por­te téc­ni­co de res­ta­ble­cer con­tra­se­ñas y trans­fe­rir la MFA a dis­po­si­ti­vos con­tro­la­dos por los ata­can­tes. Casos como el ata­que a Marks & Spen­cer de­mues­tran que estas su­plan­ta­cio­nes a tra­vés de ter­ce­ros pue­den de­ri­var en in­ci­den­tes gra­ves que com­pro­me­ten múl­ti­ples cuen­tas y redes em­pre­sa­ria­les com­ple­tas.

Para ce­rrar esta bre­cha, se re­quie­re que la ve­ri­fi­ca­ción de iden­ti­dad forme parte cen­tral de los flu­jos de tra­ba­jo del ser­vi­cio de asis­ten­cia téc­ni­ca, exi­gién­do­le al usua­rio que de­mues­tre de forma se­gu­ra su iden­ti­dad en lugar de de­pen­der de pre­gun­tas fá­ci­les de ma­ni­pu­lar me­dian­te la in­ge­nie­ría so­cial. He­rra­mien­tas como Spe­cops Se­cu­re Ser­vi­ce Desk in­te­gran la ve­ri­fi­ca­ción di­rec­ta­men­te antes de per­mi­tir ac­cio­nes de alto ries­go como el des­blo­queo de cuen­tas o el res­ta­ble­ci­mien­to de con­tra­se­ñas.