Cuando se introdujo por primera vez la autenticación de dos factores, revolucionó la seguridad de los dispositivos y ayudó a que el robo de identidad fuera mucho más difícil, a costa de pequeños inconvenientes añadidos a los inicios de sesión.
Pero no es perfecto, ni ha resuelto todos nuestros problemas de piratería y robo de datos. Algunas noticias recientes han proporcionado más contexto sobre cómo los piratas informáticos han estado eludiendo la autenticación de dos factores y erosionando parte de nuestra confianza en ella.
¿Qué es exactamente la autenticación de dos factores?
La autenticación de dos factores agrega una capa adicional de seguridad al proceso de inicio de sesión para dispositivos y servicios. Anteriormente, los inicios de sesión tenían un solo factor de autenticación: por lo general, una contraseña o un inicio de sesión biométrico como un escaneo de huellas dactilares o Face ID, ocasionalmente con la adición de preguntas de seguridad. Eso proporcionó algo de seguridad, pero estuvo lejos de ser perfecto, especialmente con contraseñas débiles o contraseñas autocompletadas (o si las bases de datos de inicio de sesión son pirateadas y esa información comienza a aparecer en la web oscura).
La autenticación de dos factores aborda estos problemas al agregar un segundo factor, otra cosa que una persona debe hacer para garantizar que realmente es ella y que tiene autoridad para acceder. Por lo general, eso significa que se le envía un código a través de otro canal, como recibir un mensaje de texto o un correo electrónico del servicio, que luego debe ingresar.
Algunos usan códigos sensibles al tiempo (TOTP, contraseña de un solo uso basada en el tiempo) y otros usan códigos únicos asociados con un dispositivo específico (HOTP, contraseña de un solo uso basada en HMAC). Ciertas versiones comerciales pueden incluso usar claves físicas adicionales que debe tener a mano.
La función de seguridad se ha vuelto tan común que probablemente esté acostumbrado a ver mensajes como «Le enviamos un correo electrónico con un código seguro para ingresar, verifique su filtro de correo no deseado si no lo ha recibido». Es más común para dispositivos nuevos y, si bien toma un poco de tiempo, es un gran salto en seguridad en comparación con los métodos de un factor. Pero hay algunos defectos.
Eso suena bastante seguro. ¿Cuál es el problema?
Recientemente salió un informe de la compañía de seguridad cibernética Sophos que detalla una nueva y sorprendente forma en que los piratas informáticos se saltan la autenticación de dos factores: las cookies. Los malos actores han sido «robo de cookies», lo que les da acceso a prácticamente cualquier tipo de navegador, servicio web, cuenta de correo electrónico o incluso archivo.
¿Cómo consiguen estos ciberdelincuentes estas cookies? Bueno, Sophos señala que la botnet Emotet es una de esas piezas de malware que roban cookies y se dirigen a los datos en los navegadores Google Chrome. Las personas también pueden comprar cookies robadas a través de mercados clandestinos, lo que se hizo famoso en el caso reciente de EA en el que los detalles de inicio de sesión terminaron en un mercado llamado Génesis. El resultado fueron 780 gigabytes de datos robados que se utilizaron para intentar extorsionar a la empresa.
Si bien ese es un caso de alto perfil, el método subyacente está disponible y muestra que la autenticación de dos factores está lejos de ser una bala de plata. Más allá del robo de cookies, hay una serie de otros problemas que se han identificado a lo largo de los años:
- Si un pirata informático se ha apoderado de su nombre de usuario o contraseña para un servicio, es posible que tenga acceso a su correo electrónico (especialmente si usa la misma contraseña) o número de teléfono. Esto es especialmente problemático para la autenticación de dos factores basada en SMS/texto, porque los números de teléfono son fáciles de encontrar y se pueden usar para copiar su teléfono (entre otros trucos) y recibir el código enviado por mensaje de texto. Requiere más trabajo, pero un hacker decidido todavía tiene un camino claro a seguir.
- Las aplicaciones separadas para la autenticación de dos factores, como Google Auth o Duo, son mucho más seguras, pero las tasas de adopción son muy bajas. Las personas tienden a no querer descargar otra aplicación solo por motivos de seguridad para un solo servicio, y a las organizaciones les resulta mucho más fácil simplemente preguntar «¿Correo electrónico o mensaje de texto?» en lugar de exigir a los clientes que descarguen una aplicación de terceros. En otras palabras, en realidad no se utilizan los mejores tipos de autenticación de dos factores.
- A veces, las contraseñas son demasiado fáciles de restablecer. Los ladrones de identidad pueden recopilar suficiente información sobre una cuenta para llamar al servicio de atención al cliente o encontrar otras formas de solicitar una nueva contraseña. Esto a menudo elude cualquier autenticación de dos factores involucrada y, cuando funciona, permite a los ladrones acceder directamente a la cuenta.
- Las formas más débiles de autenticación de dos factores ofrecen poca protección contra los estados-nación. Los gobiernos tienen herramientas que pueden contrarrestar fácilmente la autenticación de dos factores, incluido el monitoreo de mensajes SMS, coaccionar a los operadores inalámbricos o interceptar códigos de autenticación de otras maneras. Esas no son buenas noticias para aquellos que quieren formas de mantener sus datos privados de regímenes más totalitarios.
- Muchos esquemas de robo de datos eluden por completo la autenticación de dos factores y se enfocan en engañar a los humanos. Solo mire todos los intentos de phishing que pretenden ser de bancos, agencias gubernamentales, proveedores de Internet, etc., solicitando información importante de la cuenta. Estos mensajes de phishing pueden parecer muy reales y pueden implicar algo como: «Necesitamos su código de autenticación de nuestra parte para que también podamos confirmar que usted es el titular de la cuenta», u otros trucos para obtener códigos.
¿Debería seguir usando la autenticación de dos factores?
Absolutamente. De hecho, debe revisar sus servicios y dispositivos y habilitar la autenticación de dos factores donde esté disponible. Ofrece una seguridad significativamente mejor contra problemas como el robo de identidad que un simple nombre de usuario y contraseña.
Incluso la autenticación de dos factores basada en SMS es mucho mejor que ninguna. De hecho, el Instituto Nacional de Estándares y Tecnología una vez recomendó no usar SMS en la autenticación de dos factores, pero luego revirtió eso al año siguiente porque, a pesar de las fallas, aún valía la pena tenerlo.
Cuando sea posible, elija un método de autenticación que no esté conectado a los mensajes de texto y tendrá una mejor forma de seguridad. Además, mantenga sus contraseñas seguras y use un administrador de contraseñas para generarlas para los inicios de sesión si puede.
¿Cómo se puede mejorar la autenticación de dos factores?
Alejarse de la autenticación basada en SMS es el gran proyecto actual. Es posible que la autenticación de dos factores pase a un puñado de aplicaciones de terceros como Duo, que eliminan muchas de las debilidades asociadas con el proceso. Y más campos de alto riesgo pasarán a MFA, o autenticación de múltiples factores, que agrega un tercer requisito, como una huella digital o preguntas de seguridad adicionales.
Pero la mejor manera de eliminar los problemas con la autenticación de dos factores es introducir un aspecto físico basado en hardware. Las empresas y las agencias gubernamentales ya están comenzando a exigir eso para ciertos niveles de acceso. En un futuro cercano, existe una buena posibilidad de que todos tengamos tarjetas de autenticación personalizadas en nuestras billeteras, listas para deslizar en nuestros dispositivos al iniciar sesión en los servicios. Puede sonar extraño ahora, pero con el fuerte aumento de los ataques de ciberseguridad, podría terminar siendo la solución más elegante.
Recomendaciones de los editores