Aumento en los ataques de phishing capaces de esquivar autenticación multi factor

• 

Gmail, de Google, es una de los principales servicios que usan este método de inicio de sesión

Especialistas en seguridad en redes del Instituto Internacional de Seguridad Cibernética aseguran que los actores maliciosos han estado depurando sus métodos para desplegar campañas de phishing hasta el punto en el que son capaces de esquivar la autenticación multi factor.

“Se ha registrado un incremento considerable en el número de ataques de phishing capaces de esquivar la autenticación de dos factores (2FA)”, comentan los expertos.

Esta variante de phishing funciona engañando a la víctima para que revele su contraseña y un código de un sólo uso que protege su cuenta de correo electrónico. Este código de un uso es muy difícil de conseguir para los hackers, pues se envía al número de teléfono vinculado a la cuenta de correo y expira menos de un minuto después.

Hace algunos meses, Amnistía Internacional detectó a un grupo de hackers que consiguieron eludir la autenticación de dos factores usando una herramienta de phishing automático capaz de extraer las claves e ingresarlas en la plataforma legítima. Posteriormente, un experto en seguridad en redes lanzó un conjunto de herramientas de código abierto que funcionaba de modo similar.

Debido a que este código de un sólo uso es enviado mediante un SMS, cualquier técnica para interceptar estos menajes será útil para completar el ataque. Por lo tanto, la autenticación de dos factores es vulnerable principalmente a los ataques contra el sistema SMS.

Google, que emplea este sistema de autenticación para su servicio de correo Gmail, se encuentra desplegando una campaña de prevención de hacking, principalmente a través del bloqueo de inicios de sesión desde ubicaciones desconocidas. La compañía también ha alertado a los usuarios sobre posibles correos con enlaces o archivos adjuntos maliciosos.

Acorde a especialistas en seguridad en redes, la mejor forma de prevenir esta clase de ataques es con soluciones de hardware, como las llaves USB de seguridad. Estas herramientas eliminan la necesidad de recibir una clave por SMS, pues el hardware mismo funciona como segunda vía de autenticación.

Por política de Google, por ejemplo, todos sus empleados llevan una de estas llaves de seguridad y, aunque su precio no es el más económico, los expertos en ciberseguridad reafirman que, por el momento, esta es la mejor forma de prevenir ataques de phishing.

Las noticias sobre estas variantes de phishing son un recordatorio para cualquier usuario sobre lo primordial que es revisar lo que entra a su correo electrónico. Los operadores de estas campañas siempre tratarán de hacerse pasar por servicios legítimos, como plataformas de streaming o cuentas en aplicaciones desarrolladas por terceros; es responsabilidad de cada usuario distinguir entre el contenido legítimo y el malicioso y saber actuar en caso de encontrar un intento de phishing.