En Informe de Verizon sobre investigaciones de filtraciones de datos 2024 descubrió que el 80% de las infracciones se producen por el robo de credenciales. Por ello 61% de las organizaciones quieren prescindir de las contraseñas en 2025.
Por muy malas que sean las contraseñas robadas -y son realmente malas-, no son el único problema. Los ciberdelincuentes han industrializado los ataques:
- El malware como servicio (MaaS) se ha disparado un 4,000%, por Outseer, que también descubrió que el tráfico bancario móvil representa ahora el 85% de las transacciones bancarias digitales, lo que convierte a los servicios financieros en un objetivo prioritario.
- Las amenazas a la identidad impulsadas por la IA van en aumento. En Japón, Los atacantes están utilizando deepfakes e ingeniería social para hacerse pasar por hablantes nativos de japonés y engañar a los servicios de asistencia para que restablezcan las credenciales.
- El kit de phishing Darcula ofrece una nueva versión del phishing como servicio (PhaaS) que permite a los ciberdelincuentes "simplemente copiar y pegar cualquier URL en la interfaz... y la plataforma escupirá un kit de phishing completo", según Lectura oscura.
Y a pesar de que la adopción de la autenticación multifactor (MFA) está aumentando en todos los sectores, los ataques no están disminuyendo. En palabras de Ant Allan, de Gartner: "La AMF es una forma de pensar cada vez más anticuada. Lo importante es cómo pueden combinarse las credenciales con el reconocimiento, la afirmación y las señales de riesgo para proporcionar suficiente confianza en una afirmación de identidad."
Se suponía que el AMF iba a detener los ataques. ¿Qué está ocurriendo?
Las recientes infracciones demuestran que la tradicional AMF por sí sola no detiene a los atacantes:
- MGM Resorts informó $100 millones en daños y perjuicios después de que unos atacantes utilizaran credenciales de Okta robadas para burlar el MFA mediante ingeniería social, causando una de las mayores interrupciones cibernéticas de la historia de la hostelería.
- Los piratas informáticos aprovecharon API inseguras para saltarse los controles de autenticación en la S. Departamento del Tesoro.
- Un fallo en Microsoft Azure MFA causó una vulnerabilidad de elusión de autenticación que dejó "millones de cuentas susceptibles de acceso no autorizado", por Revista Infosecurity.
¿Cuál es la respuesta? La autenticación moderna.
Autenticación moderna no necesita contraseña por defecto, es consciente de los riesgos y se adapta continuamente. Integra la información sobre el usuario y el acceso, el contexto y las señales de riesgo para autenticar a los usuarios de forma dinámica, no solo al iniciar sesión, sino durante toda ella.
A diferencia de la AMF heredada y tradicional, la autenticación moderna está diseñada para alcanzar el nivel óptimo de madurez de Confianza Cero definido por NIST. La autenticación moderna debe cumplir estos criterios:
- Mayor seguridad sin contraseñas-eliminar los secretos compartidos de los que se aprovechan los atacantes
- Validación continua de la identidad-aprovechamiento de las señales de riesgo, el contexto del dispositivo y el análisis del comportamiento
- Funciona en todas partes, para todos-Ya sea en las instalaciones, en la nube o híbrida, la autenticación moderna debe proteger a todos los usuarios, todos los dispositivos y todos los entornos.
1. Seguro de extremo a extremo:
La resistencia al phishing no es suficiente. Una solución de autenticación moderna debe ser resistente al malware, al fraude, a los ataques de fuerza bruta, a las técnicas de desvío y a las interrupciones del servicio, todo lo cual ha contribuido a las recientes brechas.
Consideraciones clave:
- ¿Su método de autenticación protege contra el secuestro de sesión y el robo de testigos de sesión?
- ¿Puede evitar el bombardeo de solicitudes de AMF y el relleno de credenciales?
- ¿Es resistente en caso de apagón, o su organización se quedará bloqueada?
2. Sin contraseña de extremo a extremo
La AMF tradicional sigue basándose en contraseñas: en la mayoría de los casos, la AMF tradicional sigue recurriendo a un método basado en contraseñas para la configuración, la recuperación de credenciales u otras etapas del ciclo de vida de la identidad. Los usuarios tienden a introducir contraseñas en primer lugar para iniciar un desafío MFA, para inscribirse en MFA desde el principio y para restablecer MFA si es necesario. Esto es un problema, porque amenazas como el malware, el rociado de contraseñas y el bombardeo de la MFA pueden seguir explotando la contraseña raíz más profunda.
Sin contraseña debería significar exactamente eso. Un enfoque de autenticación moderno debería eliminar las contraseñas por completo y debería incluir:
- Llave maestra de hardware y/o móvil para todos los usuarios
- Autenticación moderna para servidores, mainframes e infraestructuras informáticas
- Múltiples opciones sin contraseña para el inicio de sesión en Windows y macOS
- OTP sin contraseña para todo lo demás.
Así que pregúntese: ¿su solución de autenticación elimina realmente las contraseñas o se limita a superponerles una capa de seguridad?
3. Funciona en todas partes y para todos
Las empresas operan en entornos en la nube, híbridos y locales. Cualquier estrategia de autenticación que no sea independiente de la infraestructura crea brechas de seguridad.
Preguntas:
- ¿Su solución de autenticación funciona en todas las plataformas (Windows, macOS, Linux, móvil, servidores locales)? ¿Y las aplicaciones heredadas?
- ¿Es resistente? ¿Puede soportar la conmutación por error híbrida y el acceso sin conexión en situaciones críticas?
- ¿Se adapta a todos los usuarios, incluidos empleados, contratistas y administradores con privilegios?
El futuro de la autenticación no es sólo una AMF resistente a la suplantación de identidad. Se trata de una autenticación sin contraseña, resistente y segura durante todo el ciclo de vida de la identidad.
Las organizaciones con operaciones de misión crítica necesitan soluciones que las protejan frente a las amenazas basadas en IA, las falsificaciones profundas y las técnicas de elusión de credenciales, que permanezcan disponibles a pesar de las interrupciones de terceros y que mantengan las políticas de autenticación durante todo el ciclo de vida de la identidad. En resumen, necesitan una autenticación moderna sin contraseña.
¿Está listo para replantearse su estrategia de autenticación? Es hora de adoptar un enfoque moderno e integral.
