Muchas empresas siguen dependiendo de contraseñas en las etapas tradicionales del ciclo de vida de la identidad, lo que las expone a ciberataques. Estos ataques son omnipresentes, cada vez más sofisticados y se basan en técnicas de robo de credenciales, como el phishing, que ahora es una de las principales amenazas para las organizaciones.
En la actualidad, las contraseñas son uno de los principales vectores de amenaza para comprometer la seguridad en línea, y representan más del 80 % de todas las infracciones debido a credenciales comprometidas. Además, con el aumento de los ciberataques impulsados por IA, las empresas se enfrentan a amenazas persistentes de ataques de phishing que se dirigen específicamente a los procesos de registro, autenticación y recuperación de cuentas de los empleados.
¿Por qué proteger a cada usuario individualmente?
Si bien las empresas buscan reforzar sus defensas cibernéticas mediante la implementación de la autenticación multifactor (MFA), aún enfrentan ataques de phishing, un desafío importante que requiere un enfoque de ciberseguridad proactivo. Si bien la MFA es mejor que una simple contraseña, No todas las formas de MFA son igualesDe hecho, la autenticación tradicional, que se basa en SMS o aplicaciones móviles, por ejemplo, es fácilmente eludible y poco efectiva. Además, genera cansancio entre los usuarios debido a las múltiples ocasiones en las que deben autenticarse e ingresar códigos que cambian continuamente.
Muchas organizaciones están tomando conciencia de estas vulnerabilidades y están considerando implementar una MFA resistente al phishing para fortalecer su postura de seguridad general. Además, este tipo de MFA libera a los usuarios de tener que tomar decisiones y, por lo tanto, evita el riesgo de compartir accidentalmente sus credenciales durante un intento de ataque. Las soluciones MFA resistentes al phishing, como las claves de seguridad de hardware, son eficaces para frustrar a los atacantes cuando intentan interceptar las credenciales de los usuarios o engañarlos para que las revelen.Para ello, las claves requieren que cada parte proporcione una prueba de su identidad y comunique su intención de iniciar la autenticación a través de una acción deliberada.
La gran cantidad de ataques de phishing dirigidos a empresas, que incluyen tácticas como la ingeniería social a través de llamadas falsas al servicio de asistencia técnica, no solo tienen como objetivo secuestrar los procesos de registro de usuarios, sino también los procesos de autenticación y recuperación de cuentas en caso de pérdida o robo del dispositivo. Ante estos desafíos crecientes, los avances recientes en la autenticación sin contraseña (y las nuevas soluciones de autenticación en el dispositivo) están impulsando a las organizaciones a evolucionar la forma en que definen y administran las credenciales a lo largo del ciclo de vida del usuario, lo que significa que deben ir más allá de invertir en autenticación para aumentar también la resistencia al phishing de los propios usuarios.
Armando a cada usuario contra las amenazas cibernéticas
Permitir que los usuarios resistan el phishing no es solo una medida reactiva, sino una estrategia comercial proactiva El objetivo es eliminar el riesgo eliminando todos los eventos que podrían utilizarse para un ataque de phishing durante el ciclo de vida del usuario. El control de seguridad principal suele ser evitar cualquier forma de phishing en el momento de la autenticación. Pero a medida que las organizaciones pasan a la autenticación moderna, los usuarios se encuentran en una situación híbrida en la que tienen credenciales vulnerables y resistentes al phishing.
Esta hibridación requiere que las empresas fortalezcan los procesos de creación de credenciales, registro de dispositivos y conexión con proveedores de claves de acceso para cumplir con los mismos requisitos que los controles de autenticación establecidos. Para garantizar la eficacia de las políticas de autenticación de un solo uso, las organizaciones deben asegurarse de que los usuarios tengan las soluciones, credenciales y procesos de autenticación adecuados para cada etapa del ciclo de vida de su cuenta.
Sin embargo, dado que los usuarios suelen cambiar entre múltiples plataformas (Apple, Google, Microsoft), múltiples dispositivos (teléfonos inteligentes, computadoras portátiles y tabletas) y múltiples aplicaciones y servicios personales y comerciales a lo largo del día, muchas técnicas de autenticación convencionales son inherentemente vulnerables a los ataques de phishing. Además, cuando un usuario se registra por primera vez o su dispositivo se pierde o es robado, las organizaciones suelen recurrir a procesos de registro y métodos de recuperación de cuentas vulnerables, lo que crea oportunidades para el phishing. Este enfoque de autenticación fragmentado hace que la protección de los sistemas y los datos y el mantenimiento del cumplimiento sean más complejos para las organizaciones..
MFA y resistencia al phishing
Las medidas de seguridad tradicionales y la información sobre los usuarios por sí solas ya no son suficientes. Para crear una organización que pueda resistir ataques de phishing sofisticados es necesario reforzar las defensas, generar conciencia y adoptar un enfoque completamente nuevo; de ahí la importancia de equipar a los usuarios con una autenticación resistente al phishing, independientemente del escenario empresarial en el que se encuentren o de las plataformas o dispositivos que utilicen.
Para resistir los ataques de phishing y proteger sus operaciones y datos confidenciales, las empresas deben implementar una estrategia de ciberseguridad proactiva que siga tres ejes principales. En primer lugar, deben adoptar una autenticación multifactor resistente al phishing, utilizando claves de seguridad de hardware como solución de autenticación principal. En segundo lugar, es esencial que establezcan procedimientos de registro y recuperación de cuentas resistentes al phishing, utilizando estas mismas claves como base para una seguridad óptima. Por último, las organizaciones deben aprovechar las tecnologías que minimizan la necesidad de depender del conocimiento del usuario y, al mismo tiempo, educar a los usuarios sobre los conceptos básicos de la ciberseguridad, un gran desafío dada la omnipresencia y la creciente sofisticación de las ciberamenazas.
____________________________
Par Fabrice de VésianDirector de ventas Francia de Yubico
Lea también:
¿Por qué los CIO deberían priorizar la MFA resistente al phishing?
¿Qué son los ataques de “fatiga de MFA” y cómo se pueden prevenir?
La evolución de los ciberataques en la era de la IA: desafíos y estrategias de respuesta…
Ciberseguro: protección adicional para la empresa
Distribución y Hostelería: Proteja a sus clientes con el estándar PCI DSS v4.0
[
