La Oficina de Inspección y Exámenes de Cumplimiento de la SEC advierte sobre un aumento repentino en el pirateo de Credential Stuffing

Recientemente, la división de exámenes de la Comisión de Bolsa y Valores emitió una alerta de riesgo (la “Alerta”) donde llevó a cabo varias investigaciones de ciberseguridad dirigidas. La agencia ahora está preocupada por cómo ha habido un aumento en un tipo específico de pirateo conocido como «relleno de credenciales».

Este ciberataque implica el uso de credenciales robadas para iniciar sesión en sistemas basados ​​en la web y emitir la transferencia no autorizada de fondos de clientes.

En este artículo, entraremos en más detalles sobre el relleno de credenciales y discutiremos formas de ayudarlo a detectar y prevenir este tipo de ataque.

¿Qué queremos decir con “ataques de relleno de credenciales”?

El relleno de credenciales involucra a piratas informáticos maliciosos que obtienen credenciales de usuario a través de infracciones y luego usan los datos comprometidos para obtener acceso a un sistema. Es un método de ciberataque muy eficaz que utiliza bots de automatización y escalado.

Los ciberdelincuentes se aprovechan del hecho de que los usuarios tienden a utilizar los mismos nombres de usuario y contraseñas en varios servicios. Esta suposición es correcta hasta cierto punto. Según las estadísticas, aproximadamente 0.1-0.2% de las credenciales de incumplimiento puede conducir a un inicio de sesión exitoso cuando se intenta desde otro servicio.

A lo largo de los años, la comunidad de seguridad ha sido testigo de la aparición de varios bots sofisticados que pueden intentar múltiples inicios de sesión simultáneamente, cada uno con su origen en otras direcciones IP. El hecho de que puedan romper medidas de seguridad sencillas, como prohibir la entrada desde direcciones IP que tienen demasiados inicios de sesión fallidos, lo convierte en una amenaza importante para nosotros.

También es por eso que adoptar un enfoque de múltiples capas se ha convertido en una necesidad cuando se trata de garantizar la seguridad del software y mantener seguros los datos críticos. Por ejemplo, puede invertir en herramientas de seguridad DAST o ejecutar sus aplicaciones en un servidor web con la propósito de localizar cualquier vulnerabilidad mientras se ejecuta la aplicación. La disponibilidad de bases de datos masivas de credenciales de violación es otra vulnerabilidad que debe considerar.

¿Cómo funcionan los ciberataques de relleno de credenciales?

El relleno de credenciales tiene un patrón muy similar a un ataque de fuerza bruta, pero también hay varias diferencias clave.

Si bien es probable que este último tenga éxito cuando los usuarios eligen contraseñas fáciles de adivinar, el primero es mucho más sofisticado ya que aprovecha que los usuarios comparten contraseñas, incluso cuando son seguras, entre servicios, lo que lleva a un compromiso.

Para llevar a cabo ataques de relleno de credenciales a gran escala, el pirata informático malicioso utiliza un bot que puede falsificar diferentes direcciones IP e ingresar automáticamente en múltiples cuentas de usuario en paralelo.

Realizan un seguimiento mediante la ejecución de un proceso automatizado para verificar si las credenciales de usuario comprometidas funcionan en varios sitios web en paralelo. Esto, a su vez, les permite eliminar la necesidad de iniciar sesión en un solo dispositivo varias veces.

Por cada inicio de sesión exitoso, el ciberdelincuente puede obtener acceso a información personal, información de tarjetas de crédito y otros datos útiles de las cuentas pirateadas. Además, pueden conservar la información personal para usarla en el futuro (comúnmente para lanzar ataques de phishing más elaborados) o llevar a cabo otras actividades no autorizadas a través del dispositivo comprometido.

La forma más efectiva de frenar los esfuerzos de los malos actores es adoptar un enfoque de precaución. Las plataformas en línea que requieren una contraseña deben realizar controles de seguridad de rutina para identificar y corregir vulnerabilidades, como en el caso de Zoom.

Señales de advertencia para detectar ataques de Credential Stuffing

Credential Stuffing se considera “la mayor colección de playas” donde los ciberdelincuentes recopilan cientos de millones de registros robados y los comparten de forma gratuita en foros de hackers.

Esta es precisamente la razón por la que debe estar atento a las señales de advertencia lo antes posible. Algunos de estos incluyen lo siguiente:

• Realice un seguimiento de los cambios notables en el tráfico del sitio, especialmente los múltiples intentos de inicio de sesión en varias cuentas dentro de un período de tiempo limitado.
• Averigüe si ha habido un aumento significativo en el tráfico del sitio y tome nota de cualquier tiempo de inactividad registrado causado por ello.
• Analice cuidadosamente los casos de uso cuando vea una tasa de fallas de inicio de sesión más alta de lo habitual.

También recomendamos utilizar la detección de bots para detener los ejércitos de bots enviados por piratas informáticos malintencionados. Verá, si bien las señales de advertencia anteriores son un buen lugar para comenzar, no es 100% infalible. Sin embargo, cuando tienes un tecnología de detección sofisticada que pueden detectar fácilmente malware en nuevos dispositivos, aumentan sus posibilidades de evitar ataques cibernéticos.

Mejores prácticas para prevenir ataques de Credential Stuffing

La buena noticia en todo este caos es que puede evitar los ataques de relleno de credenciales, siempre que esté al tanto de las señales de alerta.

Aquí hay algunas formas prácticas de mantener su empresa y los datos de sus clientes completamente seguros:

Establecer una contraseña segura

Afortunadamente, las personas están más abiertas que antes a practicar una buena higiene cibernética, como usar una VPN para continuar navegando de forma segura y anónima o evitar correos electrónicos no deseados. A pesar de esto, sus hábitos de contraseña de usuario aún necesitan muchas mejoras.

Comience por establecer reglas estrictas de complejidad de contraseñas para todos los campos de entrada de contraseñas. El uso de un administrador de contraseñas es vital, ya que se sincronizará en todos los dispositivos que tenga. Elija una contraseña segura que permitirle acceder al administrador de contraseñas. Pide a tus usuarios que incorporen caracteres especiales y números. Además, ve por longitudes más largas.

Además, si las contraseñas de algún usuario se parecen a las de una violación de datos, puede pedirles que creen nuevas contraseñas para evitar problemas en el futuro. También puede enviarles consejos útiles sobre cómo crear contraseñas más seguras al enviar correos electrónicos.

Configurar la autenticación multifactor

La autenticación multifactor, también conocida como autenticación de dos factores, debe habilitarse en cada cuenta, por lo que debe tomar la iniciativa necesaria para que esta función esté disponible para los usuarios. Hacer esto agregará otra capa de seguridad, lo que dificultará que los ciberdelincuentes penetren en el sistema.

Integre la seguridad en el diseño del sitio web a través de CAPTCHA

Captcha es una excelente manera de diferenciar a sus usuarios reales de los bots, por lo que puede proporcionar la mejor defensa contra los ataques de sufrimiento de credenciales.

Dicho esto, también debemos señalar que la resolución de CAPTCHA también se puede automatizar. Muchas empresas pagan a las personas para que resuelvan CAPTCHA haciendo clic en las imágenes de los semáforos.

Para evitar ser víctima de la resolución automática de CAPTCHA, puede usar reCAPTCHA en su lugar. Está disponible en tres versiones:

• Un cuadro «invisible», que se muestra solo para usuarios sospechosos.
• Una casilla de verificación «No soy un robot».
• Una versión “V3“ que puede evaluar a los usuarios en función de su comportamiento y reputación.

Configure un inicio de sesión sin contraseña, si es posible

Una vez que los piratas informáticos malintencionados penetran con éxito en su sistema, pueden negar el acceso a sus clientes, impidiéndoles usar sus propios recursos. Dado que la base completa del relleno de credenciales radica en obtener información a través de vulnerabilidades de contraseña, ¿por qué no eliminarlas por completo?

Puedes usar autenticación sin contraseña que es una forma mucho más segura de autenticar a los usuarios, para garantizar un acceso más limitado a sus cuentas.

Implementar la autenticación basada en riesgos (RBA)

RBA calcula un informe de riesgo de acuerdo con un conjunto predefinido de reglas, que puede estar relacionado con cualquier cosa: un dispositivo de inicio de sesión, detalles de identidad del usuario, velocidad geográfica o geolocalización, reputación de IP, sensibilidad de datos, características personales, etc.

Este tipo de autenticación puede ser útil para frenar escenarios de alto riesgo al permitir que sus clientes usen seguridad de contraseña personalizable.

Resumiendo: siempre es mejor prevenir

Los ciberdelincuentes siempre encuentran formas creativas de comprometer sus datos y usarlos para su beneficio personal, ya sea disfrazando un ataque de malware como actualizaciones sobre la enfermedad del coronavirus del presidente Trump o lanzando nuevas estrategias para evitar la detección. El relleno de credenciales es solo otra variación en la lista.

Incluso si ha estado a salvo del ciberataque hasta ahora, debe tomar las medidas necesarias para proteger su sitio web buscando señales de advertencia. Trate de evitar el uso de dispositivos que dependan de la conectividad residencial e implemente las actualizaciones de políticas necesarias para crear conciencia sobre este nuevo tipo de riesgo.