Las credenciales comprometidas se producen cuando personas no autorizadas han robado sus datos de inicio de sesión o han accedido a ellos. Normalmente, las credenciales comprometidas incluyen nombres de usuario, contraseñas, preguntas de seguridad y otros detalles confidenciales utilizados para verificar la identidad de un usuario y obtener acceso a cuentas y sistemas.

Los riesgos asociados con las credenciales comprometidas son graves. Las credenciales de inicio de sesión pueden usarse indebidamente para hacerse pasar por usuarios legítimos, obtener acceso no autorizado a cuentas y datos confidenciales, utilizarlos para movimiento lateral ataques, instalar malware, robar fondos y más. Las credenciales comprometidas son uno de los vectores de ataque más comunes en las violaciones de datos.

Causas comunes de credenciales comprometidas

Hay algunas formas comunes en las que las credenciales se ven comprometidas:

• Ataques de phishing: los correos electrónicos de phishing que contienen enlaces o archivos adjuntos maliciosos se utilizan para engañar a los usuarios para que ingresen sus datos de inicio de sesión en sitios falsos que capturan su información.
• Malware de registro de teclas: el malware instalado en el dispositivo de un usuario rastrea y registra las teclas presionadas, capturando nombres de usuario, contraseñas y otros datos confidenciales.
• Violaciones de datos: cuando se viola un servicio, las credenciales de usuario y otra información personal a menudo se ven comprometidas y robadas. Luego, los atacantes utilizarán las credenciales robadas para acceder a otras cuentas y sistemas.
• Reutilización de contraseñas: cuando un usuario usa la misma contraseña en muchas de sus cuentas y se produce una infracción en la que las credenciales de este usuario se vieron comprometidas, puede resultar en que todas las demás cuentas que usan esa contraseña también se vean comprometidas.
• Ingeniería social: ingenieros sociales cualificados manipulan la psicología humana para convencer a los objetivos de que compartan credenciales de inicio de sesión confidenciales, ya sea en persona, por teléfono o en línea.

En resumen, las credenciales comprometidas representan una amenaza grave y tanto las personas como las organizaciones deben tomar medidas proactivas para prevenir y mitigar los riesgos asociados con los datos de inicio de sesión robados. Con credenciales comprometidas, el acceso no autorizado suele estar disponible con solo iniciar sesión.

Cómo se ven comprometidas las credenciales

Las credenciales son robadas o comprometidas de varias maneras comunes:

• Ataques de phishing: Los correos electrónicos de phishing engañan a los usuarios para que introduzcan sus credenciales de inicio de sesión en sitios web falsificados. Luego se roban las credenciales. El phishing es una de las principales causas de credenciales comprometidas.
• Violaciones de datos: Cuando las empresas experimentan violaciones de datos que exponen los datos de los clientes, con frecuencia se roban las credenciales de inicio de sesión. Luego, las credenciales pueden venderse en la web oscura y usarse para acceder a otras cuentas.
• Contraseñas débiles: Las contraseñas fáciles de adivinar o reutilizadas hacen que las cuentas sean un blanco fácil. Una vez que una contraseña se ha visto comprometida en un sitio, los atacantes intentarán usar la misma contraseña en otros sitios web populares.
• malware de registro de teclas: Se puede utilizar malware como los registradores de teclas para robar pulsaciones de teclas y capturar credenciales de inicio de sesión. Los datos robados luego se transmiten a los atacantes.
• Ingeniería social: Ingenieros sociales cualificados manipulan la psicología humana para convencer a los objetivos de que compartan credenciales de inicio de sesión confidenciales, ya sea en persona, por teléfono o digitalmente.

Algunos ejemplos bien conocidos de credenciales comprometidas incluyen:

• Incumplimiento de RockYou2024: este incidente implicó la filtración de la asombrosa cantidad de 10 mil millones de credenciales, lo que lo convierte en uno de los volcados de contraseñas más grandes de la historia. Aunque el gran volumen de datos es alarmante, los expertos han señalado que muchos de ellos podrían no ser útiles inmediatamente para los atacantes debido a la presencia de información desactualizada o irrelevante. Sin embargo, la violación sirve como un claro recordatorio de los peligros de la reutilización de contraseñas y la necesidad de contar con políticas sólidas. autenticación prácticas, incluida la autenticación multifactor (Revisión diaria de seguridad).
• Violación de cuentas ejecutivas de Microsoft: a principios de 2024, un actor de amenazas alineado con Rusia logró violar las cuentas de correo electrónico corporativas de Microsoft, incluidas las de los equipos de alta dirección y ciberseguridad. Esta infracción se facilitó al explotar una cuenta heredada que carecía de autenticación multifactor. Los atacantes pudieron filtrar comunicaciones confidenciales por correo electrónico entre Microsoft y varias agencias federales de EE. UU. (CRN).
• Okta Violación de datos: en octubre de 2023, Okta, un proveedor líder de servicios de identidad, reveló que un actor de amenazas había accedido a su sistema de atención al cliente utilizando credenciales robadas. El ataque permitió el acceso no autorizado a los casos de atención al cliente, lo que subraya los riesgos asociados con las credenciales comprometidas incluso en sistemas diseñados para administrar y proteger las identidades de los usuarios.
• En 2019, la empresa de pruebas de ADN 23andMe anunció que se había accedido a algunos datos de clientes, incluida la información de inicio de sesión, debido a una violación de seguridad.
• En 2018, Nintendo Network de Nintendo sufrió una vulneración que comprometió más de 300,000 cuentas. Las credenciales de inicio de sesión fueron robadas y utilizadas para realizar compras fraudulentas.
• En 2016, una filtración de datos en PayPal expuso más de 1.6 millones de registros de clientes, incluidas credenciales de inicio de sesión, nombres, direcciones de correo electrónico y más.

Las credenciales comprometidas son una amenaza grave y proteger las cuentas requiere vigilancia frente al phishing, contraseñas únicas y seguras, autenticación de múltiples factores y monitorear las cuentas periódicamente para detectar signos de fraude. Con cuidado y conciencia, los riesgos se pueden reducir.

Los peligros de las credenciales comprometidas

Las credenciales comprometidas plantean graves riesgos para organizaciones e individuos. Una vez que se han robado las credenciales de inicio de sesión, los atacantes pueden acceder a datos y sistemas confidenciales, lo que permite una variedad de actividades maliciosas.

Según Informe de investigaciones de violación de datos de Verizon 2020, más del 80% de las infracciones relacionadas con la piratería aprovecharon contraseñas robadas y/o débiles. Los impactos de estos ataques basados ​​en credenciales incluyen:

• Violaciones de datos: con acceso a cuentas y sistemas, los atacantes pueden robar datos confidenciales como información de clientes, registros de empleados y propiedad intelectual, utilizando relleno de credenciales ataques.
• Finanzas Pérdida: Los actores maliciosos pueden transferir fondos, realizar compras no autorizadas o cometer fraudes de pago utilizando acceso a cuentas robadas.
• Daño a la reputación: las filtraciones de datos y la apropiación de cuentas pueden dañar la confianza del cliente y la reputación de la marca.
• Adopción de cuentas: los atacantes pueden secuestrar cuentas en línea para spam, fraude y otras actividades maliciosas. Las cuentas de redes sociales comprometidas suelen ser objeto de abuso para difundir malware y desinformación.

Si bien las personas deben utilizar contraseñas únicas y complejas y habilitar la autenticación multifactor siempre que sea posible, las organizaciones también deben implementar políticas de acceso y controles de seguridad sólidos. Los cambios frecuentes de contraseña, el monitoreo de cuentas y la educación de los empleados pueden ayudar a reducir los riesgos asociados con las credenciales comprometidas.

Detección de credenciales comprometidas

Para detectar credenciales comprometidas, las organizaciones emplean sistemas User Entity and Behavioral Analytics (UEBA) que monitorean la actividad y el comportamiento de los usuarios para identificar anomalías.

Las soluciones UEBA analizan datos de registro de múltiples fuentes, como dispositivos de red, sistemas operativos y aplicaciones, para crear una base de referencia de la actividad normal del usuario. Cualquier desviación de los patrones establecidos puede indicar cuentas o credenciales comprometidas.

Las plataformas de gestión de eventos e información de seguridad (SIEM) también ayudan a detectando credenciales comprometidas agregando y analizando registros de seguridad de varios sistemas en toda la organización. Las herramientas SIEM utilizan correlación de registros y análisis para identificar intentos de inicio de sesión sospechosos, cambios de ubicación y escaladas de privilegios que pueden apuntar a cuentas comprometidas.

Monitoreo continuo de cuentas de usuario y los eventos de autenticación son cruciales para la detección temprana de credenciales comprometidas.

Adaptativo y autenticación basada en riesgos Los métodos proporcionan capas adicionales de seguridad que ayudan a identificar el acceso no autorizado. Requerir autenticación multifactor, especialmente para cuentas privilegiadas, hace que sea más difícil para los atacantes explotar las contraseñas comprometidas. La supervisión de intentos de inicio de sesión fallidos excesivos, signos de ataques de fuerza bruta y otras campañas de relleno de credenciales también ayuda a detectar cuentas comprometidas antes de que se utilicen indebidamente.

Prevención de ataques a credenciales comprometidas

Para evitar ataques a credenciales comprometidas, las organizaciones deben implementar políticas y controles de seguridad estrictos.

Autenticación multifactor (MFA) agrega una capa adicional de protección para las cuentas de usuario, las identidades no humanas y los sistemas. Exigir factores como contraseñas de un solo uso, claves de seguridad o datos biométricos además de las contraseñas hace que las cuentas sean más difíciles de vulnerar.

No permitir contraseñas previamente expuestas evita que los usuarios seleccionen contraseñas que los atacantes ya conocen. Al utilizar listas negras de contraseñas comprometidas, las organizaciones pueden impedir que los empleados elijan contraseñas fáciles de adivinar o reutilizar.

La monitorización continua de credenciales expuestas en la web oscura y el descifrado de contraseñas permiten una respuesta rápida. La supervisión de volcados de contraseñas y datos de violaciones permite a los equipos de seguridad identificar cuentas comprometidas, forzar restablecimientos de contraseñas y habilitar MFA.

La realización periódica de simulaciones de phishing y capacitación en concientización sobre seguridad ayuda a educar a los empleados sobre cómo reconocer y evitar correos electrónicos de phishing y sitios web maliciosos destinados a robar credenciales de inicio de sesión. Explicar los riesgos de compartir demasiado en las redes sociales y reutilizar contraseñas entre cuentas genera buenos hábitos de seguridad y una cultura de vigilancia.

El uso de CAPTCHA, o pruebas automatizadas que los humanos pueden pasar pero las computadoras no, agrega una capa adicional de autenticación para inicios de sesión y acceso a cuentas. Los CAPTCHA evitan que bots y scripts automatizados intenten acceder a sistemas utilizando conjuntos de credenciales robadas obtenidas de violaciones de datos.

Promulgar y hacer cumplir políticas de contraseñas seguras que requieren contraseñas largas y complejas que se cambian con frecuencia es una de las mejores maneras de hacer que las credenciales comprometidas sean más difíciles de obtener y usar.

Estrategias de mitigación para credenciales comprometidas

Una vez que se han identificado las credenciales comprometidas, existen varias estrategias de mitigación que se pueden emplear para reducir el riesgo.

Restablecimiento de contraseña

La forma más eficaz de mitigar las credenciales comprometidas es restablecer inmediatamente las contraseñas de los usuarios. Restablecer las contraseñas de las cuentas afectadas evita que los atacantes accedan a los sistemas y a los datos utilizando información de inicio de sesión robada.

Habilitar autenticación multifactor

Habilitar MFA agrega una capa adicional de protección para las cuentas de usuario. MFA requiere no sólo una contraseña sino también otro método de autenticación, como un código de seguridad enviado al dispositivo móvil del usuario. Incluso si un atacante obtiene la contraseña de un usuario, también necesitará verificar su identidad en el teléfono móvil del usuario para iniciar sesión.

Supervisar cuentas en busca de actividad sospechosa

Monitorear de cerca las cuentas comprometidas en busca de signos de inicios de sesión o actividad sospechosas puede ayudar a detectar accesos no autorizados. Los equipos de seguridad deben verificar los horarios de inicio de sesión, las ubicaciones y las direcciones IP de la cuenta para detectar anomalías que puedan indicar que un atacante está utilizando credenciales robadas para acceder a la cuenta. Detectar rápidamente el acceso no autorizado puede ayudar a limitar el daño causado por las credenciales comprometidas.

Proporcionar formación adicional

Las credenciales comprometidas suelen ser el resultado de contraseñas débiles o reutilizadas, phishing u otros ataques de ingeniería social. Proporcionar concientización sobre seguridad y capacitación educativa con regularidad ayuda a educar a los usuarios sobre las mejores prácticas de contraseñas, identificación de phishing y otros temas para ayudar a reducir el riesgo de compromiso. Se ha demostrado que la capacitación adicional y las campañas de phishing simuladas mejoran significativamente la postura de seguridad con el tiempo.