Clau per emportar
- Els experts en ciberseguretat suggereixen que les contrasenyes, per si soles, ja no s'han de considerar adequades per protegir els comptes.
- Els usuaris haurien d'activar l'autenticació multifactor (MFA) sempre que sigui possible.
- No obstant això, l'MFA no s'hauria d'utilitzar com a excusa per crear contrasenyes febles.
La més forta de les contrasenyes i les polítiques de contrasenya més estrictes no serveixen gaire quan el vostre proveïdor de serveis en línia filtra les vostres credencials a causa d'una configuració incorrecta als seus servidors.
Si creieu que aquesta eventualitat seria una raresa, sabeu que moltes de les filtracions de dades més importants el 2021 es van deure a errors tècnics dels proveïdors de serveis. De fet, el desembre de 2021, els experts en ciberseguretat van ajudar a connectar una configuració incorrecta d'aquest tipus al bucket S3 d'Amazon Web Services propietat de Sega, que contenia tot tipus d'informació sensible, incloses les contrasenyes..
"L'ús de la contrasenya hauria de quedar obsolet i hauríem de buscar diferents maneres d'iniciar sessió als comptes", va dir a Lifewire el director general del proveïdor de seguretat Gurucul, Saryu Nayyar, per correu electrònic.
El problema amb les contrasenyes
Al desembre, The Sun va informar que la National Crime Agency (NCA) del Regne Unit va subministrar més de 500 milions de contrasenyes al popular servei Have I Been Pwned (HIBP), que havia descobert durant una investigació.
HIBP permet als usuaris comprovar si les seves contrasenyes s'han filtrat en una infracció i són propensos a ser abusats per part dels pirates informàtics. Segons el fundador d'HIBP, Troy Hunt, més de 200 milions de contrasenyes proporcionades per NCA encara no existien a la base de dades.
Tot i que la funció d'emmagatzematge de credencials del compte dels navegadors és molt convenient… es recomana als usuaris que s'abstinguin d'utilitzar-la.
"Apunta a la gran mida del problema, el problema són les contrasenyes, un mètode arcaic per demostrar la bona fe. Si alguna vegada hi ha hagut una crida a l'acció per treballar per eliminar les contrasenyes i trobar alternatives, llavors cal ja sigui ", va dir Baber Amin, director d'operacions d'experts en identitat digital, Veridium a Lifewire per correu electrònic, en resposta a la recent contribució de la NCA a HIPB.
Amin va afegir que les credencials filtrades no només comprometen els comptes existents, ja que els pirates informàtics ara les utilitzen amb eines analítiques basades en IA per identificar patrons de com una persona crea contrasenyes. En essència, les credencials filtrades també posen en perill la seguretat d' altres comptes no compromesos.
Contrasenyes i més
Defensant un mecanisme de protecció millor que les contrasenyes, Nayyar suggereix que els usuaris que tinguin l'opció de configurar l'autenticació multifactorial als seus comptes ho haurien de fer.
Ron Bradley, vicepresident de Shared Assessments, una organització de membres que ajuda a desenvolupar les millors pràctiques per garantir el risc de tercers, hi està d'acord. "Activeu l'autenticació multifactorial a tot arreu possible, especialment a les aplicacions que mouen diners."
Protegir un compte només amb una contrasenya es coneix com a autenticació d'un sol factor. L'autenticació multifactor o MFA es basa a sobre d'això i assegura els comptes afegint un pas addicional al procés d'inici de sessió demanant als usuaris una altra informació. Molts serveis, inclosos diversos bancs, implementen MFA enviant un codi de verificació al número de mòbil d'un usuari registrat al banc.
No obstant això, aquest mecanisme de verificació és propens a un mecanisme d'atac conegut com a atac d'intercanvi de SIM, on els atacants prenen el control del número de telèfon mòbil d'un objectiu enganyant l'operador del propietari perquè reassigni el número a la targeta SIM de l'atacant.
Tot i que va reconèixer un atac d'aquest tipus que va apuntar a alguns dels seus clients, T-Mobile va dir que els atacs d'intercanvi de SIM s'han convertit en un fet comú a tot el sector.
En canvi, una millor opció per habilitar MFA és utilitzar aplicacions com ara Duo Security, Google Authenticator, Authy, Microsoft Authenticator i altres aplicacions MFA dedicades.
Extensió de la contrasenya
No obstant això, tots els experts en ciberseguretat amb qui hem parlat van advertir que l'ús de MFA no hauria de ser una excusa per no prendre les mesures adequades per protegir les contrasenyes.
"Forma part dels un per cent que no tenen ni idea de quina és la seva contrasenya bancària perquè és massa llarga i complexa", va aconsellar Bradley.
Afegeix que els usuaris haurien de considerar invertir en un gestor de contrasenyes quan es tracta de contrasenyes. Tot i que no hi ha escassetat de gestors de contrasenyes gratuïts, i també n'hi ha un integrat al vostre navegador web, els experts suggereixen que un gestor de contrasenyes gratuït és millor que no tenir-ne cap, però els usuaris haurien de tenir precaució quan n'utilitzin un.
Forma part dels un per cent que no tenen ni idea de quina és la seva contrasenya bancària perquè és massa llarga i complexa.
Mentre investigaven una infracció recent de la xarxa interna d'una empresa, els investigadors de ciberseguretat d'AhnLab van descobrir que el compte VPN utilitzat per entrar a la xarxa de l'empresa es va filtrar de l'ordinador d'un empleat que treballava a distància.
Aquest ordinador es va infectar amb diversos programes maliciosos, inclòs un dissenyat específicament per extreure contrasenyes dels gestors de contrasenyes integrats als navegadors web basats en Chromium, com ara Google Chrome i Microsoft Edge.
"Tot i que la funció d'emmagatzematge de credencials del compte dels navegadors és molt convenient, ja que hi ha un risc de filtració de credencials del compte en cas d'infecció de programari maliciós, es recomana als usuaris que s'abstinguin d'utilitzar-la", adverteixen els investigadors d'AhnLab..
