Cada vez más servicios hacen uso de la “Autenticación Multifactorial” o MFA (Multi-Factor Authentication) por sus siglas en inglés, y en muchos casos este tipo de autenticación se está convirtiendo en obligatoria, por ejemplo, en las instituciones bancarias, al ser considerado el mecanismo de seguridad más eficaz hasta el momento.

Desafortunadamente, como es el caso con cualquier tecnología, no es un mecanismo 100% inviolable, así como la tecnología evoluciona, también lo hacen los atacantes y piratas informáticos y si bien estos ataques logran, al final, sobrepasar las defensas colocadas y completar un fraude, no debemos olvidar que en muchos casos el punto que explotan no es como tal tecnológico, sino más bien la interacción humana aprovechando la falta de atención o interés con la que en ocasiones realizamos nuestras tareas.

Un tipo de phishing* denominado autenticación-de-intermediario (authentication-in-the-middle) es la última forma en la que los piratas están burlando estos mecanismos de autenticación, este tipo de “ataque” consiste en lo siguiente:

• El usuario es engañado para navegar a una página (a través de un correo electrónico, mensaje de Whatsapp o mecanismo similar) disfrazada para verse muy similar a la página de algún servicio real, por ejemplo, bancos, servicios de telefonía, etc. Cualquiera que sea el objetivo de interés en el ataque.
• En esta página se le pide al usuario que introduzca sus credenciales, una vez que esto sucede los atacantes toman están credenciales (vía código) y lo envían al portal real del servicio en cuestión.
• El portal real contesta solicitando la clave del multifactor de autenticación, ya sea un número, contraseña o confirmación de acceso al portal vía una app en su teléfono móvil.
• Esta misma solicitud se le presenta al usuario para que capture su código, número o contraseña del multifactor, el cual es enviado al atacante dándole el acceso al portal real al tiempo que presenta un mensaje de error o código equivocado al usuario real, enviándolo a la página real del servicio en cuestión.

Una vez que los atacantes están dentro del portal pueden realizar cambios a valores como números o cuentas de recuperación, agregar usuarios autorizados, etc. Sin que el usuario final se de cuenta inicialmente para, posteriormente, realizar cualquier tipo de transacción y hasta bloquear el acceso a las cuentas al usuario propietario de las mismas tomando completo control del servicio. Por esta razón muchas plataformas solicitan nuevamente una contraseña o NIP para realizar cualquier cambio de configuración o de usuarios.

Pero entonces, ¿Cómo me puedo proteger de este tipo de ataque?

1. El conocimiento es poder. Teniendo ya una idea de como funcionan estos ataques podemos estar atentos a cualquier señal que nos pueda alertar del mismo. No debemos asumir que un resultado de una búsqueda en Google es automáticamente válida o real y siempre debemos revisar y atender a cualquier señal sospechosa como logos viejos en las páginas, ligas muy largas o procesos que cambian sin previo aviso.
2. Utiliza siempre Software de seguridad. Siempre es necesario tener antivirus de última generación instalado, lo cual ayuda a prevenir la navegación a ciertos sitios vulnerables. Es una buena práctica complementar este antivirus con software antimalware (existen algunos ofrecimientos que ya incluyen antimalware como parte de la suite, como Panda o Kaspersky) que se preocupa más en vigilar este tipo de actividad y páginas de atacantes conocidos.
3. Uso de gestores de contraseñas. Los productos de bóvedas de contraseñas que rellenan automáticamente los campos de contraseñas no pueden ser tan fácilmente engañados por un sitio que este diseñado para verse como el auténtico, ya que estos verifican dominios, direcciones IP, etc. Y por lo tanto no rellenarían un campo en un sitio falso, funcionando como una alerta directa al usuario que algo no está bien en el sitio que está vigilando.
4. Siempre estar alerta. El primer paso para que este ataque funcione es llegar al sitio del atacante a través de un correo u otro mecanismo, por lo tanto, siempre debemos estar alertas al recibir correos o mensajes y validar su origen (banco, servicio, etc.), así como no hacer clic en las ligas que están en los correos sino introducir directamente la dirección del servicio que queremos revisar o utilizar los bookmarks que ya tengamos almacenados.
5. Considerar las últimas tecnologías. Estar atentos y considerar las últimas tecnologías desarrolladas para proteger al usuario, por ejemplo, cada vez más sitios soportan los nuevos PassKeys, estos no son vulnerables al tipo de ataque descrito aquí y con el paso del tiempo se convertirán en un estándar de seguridad para cualquier servicio en internet.

Lo aquí platicado de ninguna forma quiere sugerir que no utilicemos la autenticación multifactorial, al contrario, debemos utilizarla en todo servicio que lo permita para estar más seguros, pero como mencionamos al principio la forma en que los piratas y atacantes están buscando apoderarse de nuestra información siempre está evolucionando por esta misma razón nosotros también debemos estar siempre alertas y pendientes de las nuevas formas en las que podemos protegernos para evitar algún día vernos envueltos en un desafortunado incidente a manos de estos atacantes.

Recuerda siempre el consejo número 1, el conocimiento es poder.

Fecha de última actualización: 23/mayo/2024