Top 3 para proteger a usuarios remotos de Ataques ATO

Con organizaciones en todo el mundo comenzando el año en otra cuarentena o al menos con un gran porcentaje de su fuerza laboral en casa, la prioridad número uno para los profesionales de la seguridad cibernética, sin duda, sigue siendo cómo continuar protegiendo a sus empleados mientras trabajan de forma remota. 

“Los equipos de seguridad han logrado un gran progreso en la protección de su fuerza de trabajo distribuida durante los últimos meses”. 

Aquellos que tuvieron que migrar rápidamente su estado de TI a la nube, ahora se habrán establecido en la “Nueva normalidad” (¡una frase con la que todos estamos muy familiarizados!). Sin embargo, la naturaleza del trabajo remoto, que cambia la superficie de ataque y puede hacer que el perímetro tradicional sea redundante, significa que proteger a los usuarios en sus hogares sigue siendo un desafío.

Una preocupación que probablemente persista en las mentes de los profesionales de la seguridad es cómo proteger a sus usuarios de los ataques de ATO (por sus siglas en inglés: Account TakeOver, mientras trabajan desde casa. 

 

El ATO tiene por objetivo hacerse con el control de la cuenta de cualquier usuario. Para conseguirlo despliega toda una serie de tácticas tan conocidas como el phishing, malware, keylogger, etc. En ocasiones, es posible incluso que la víctima no sea consciente de que ha sido comprometida porque ha sido infectada sin darse cuenta, como sería por ejemplo el caso de los troyanos de acceso remoto.

Cuando encuestamos a los profesionales de la seguridad durante el apogeo de la cuarentena en el año pasado, el 37% calificó esto como una de sus mayores preocupaciones de seguridad.

Esta preocupación está justificada. El impacto potencial de un ataque de toma de control de cuenta, donde las credenciales de un empleado se ven comprometidas y su cuenta secuestrada, es enorme. Una vez que un atacante tiene los privilegios de un empleado, tiene acceso a una gran cantidad de información confidencial y está en condiciones de explotar a otros empleados, clientes y socios haciéndose pasar por un usuario legítimo.

El riesgo se ve agravado por el trabajo remoto porque los empleados están aislados unos de otros, lo que significa que podría tomar mucho más tiempo para que se detecte una cuenta comprometida o un comportamiento sospechoso del usuario.

Así como los ciberdelincuentes han estado explotando notablemente el aislamiento de los empleados para lanzar ataques de phishing dirigidos, el trabajo remoto crea condiciones favorables para un ciberdelincuente que busca extorsionar datos o dinero haciéndose pasar por un empleado.  

1. Mitigar el comportamiento peligroso de los empleados 

Las malas prácticas de seguridad entre los empleados son un factor que contribuye directamente a los ataques ATO porque el ataque solo funciona si los ciberdelincuentes pueden obtener sus contraseñas corporativas en primer lugar.

Por lo general, se obtienen a través de ataques de phishing que engañan a los empleados para que ingresen sus credenciales en páginas de inicio de sesión falsas o al encontrar las credenciales de los empleados en línea después de una violación de datos que se han reutilizado en otros servicios.

Desafortunadamente, tal comportamiento es frecuente. Según nuestra encuesta, un tercio de los profesionales de la seguridad han encontrado empleados que utilizan credenciales laborales para cuentas personales como sitios de comercio electrónico, redes sociales, juegos, etc.

Más sorprendentemente, el 23% informó que los empleados habían compartido voluntariamente sus inicios de sesión en el servicio en la nube con otras personas. Estos comportamientos ponen en riesgo al empleado y a la organización, un hecho que los profesionales de la seguridad no pasan por alto. Casi el 90% afirmó que la mayoría de las amenazas se podrían prevenir si los empleados siguieran las mejores prácticas.

Educar al personal sobre las mejores prácticas de contraseñas y cómo detectar ataques de phishing sigue siendo importante, pero, en este entorno, las organizaciones tienen que ir más allá.

La seguridad avanzada de correo electrónico, web  y aplicaciones en la nube,  se puede utilizar para bloquear los intentos de phishing que tienen como objetivo robar los datos de inicio de sesión, cerrando una posible puerta a las credenciales de los empleados. Las organizaciones también tienen que aceptar lo que sabemos desde hace mucho tiempo en la industria de la seguridad, que las contraseñas por sí solas ya no son adecuadas para su propósito como método de autenticación, especialmente cuando las diversas ubicaciones de trabajo se convierten en la norma y con tantas credenciales "en la naturaleza".

2. Utilice la autenticación multifactor de forma predeterminada, especialmente para objetivos de alto valor.

El uso de la autenticación multifactor (MFA) de forma predeterminada mitigará inmediatamente el impacto de la captura de credenciales y reducirá enormemente el riesgo de ataques ATO al agregar una capa adicional de seguridad además de la contraseña tradicional.

 

Como prioridad, las organizaciones deben implementar MFA entre el personal de alto rango, administradores con privilegios elevados, finanzas y ejecutivos son las más buscadas por los ciberdelincuentes, ya que proporcionan la mejor plataforma de lanzamiento para restablecer y otorgar acceso adicional a otras aplicaciones en la nube e iniciar ataques secundarios a proveedores, clientes o colegas.

Las organizaciones no deben caer en la trampa de pensar que estas personas de alto objetivo son más responsables con sus contraseñas que el empleado promedio. En nuestra encuesta, incluso el 22% de los profesionales de la seguridad cibernética confesó utilizar credenciales laborales para cuentas personales, y deberían saberlo mejor.

3. Adoptar el contexto como nuevo perímetro

Si bien la adopción de MFA ha ido en aumento durante algún tiempo, el paso hacia los entornos en la nube está impulsando la autenticación contextual más avanzada a la vanguardia. 

De hecho, con los empleados que trabajan desde casa, una combinación de identidad y contexto se ha convertido en el nuevo perímetro de muchas organizaciones, ya que el firewall empresarial tradicional se vuelve menos relevante. Debido a la naturaleza más fluida del perímetro, los análisis de comportamiento de usuarios y entidades se vuelven cada vez más importantes para identificar patrones fuera de lo normal y detectar actividades potencialmente dañinas.

MFA adaptable o sensible al contexto permite a las organizaciones interrogar el contexto del inicio de sesión para desafiar a los usuarios en función de un comportamiento inusual y reducir la fricción del usuario. Si se solicita el inicio de sesión desde una ubicación, hora, día o dispositivo extraño, la solución de autenticación lo recogerá y garantizará una verificación adicional antes de permitir el acceso.

Muchas organizaciones están implementando MFA adaptable o sensible al contexto siempre que sea posible, para garantizar que no haya un eslabón débil en las defensas que permitiría a un pirata informático ingresar al entorno.