Reutilización de contraseñas, munición para los hackers

JORGE HURTADO

Director Regional de Ventas para Latinoamérica de Absolute Software

Las organizaciones, incluso aquellas que invierten una gran cantidad en la tecnología de seguridad, carecen a menudo de visibilidad y control sobre temas de encriptación que les permiten detectar el movimiento del tráfico cifrado.

Un caso reciente y conocido es el de Yahoo, que a finales de 2016 publicó un Aviso de Seguridad anunciando que más de 1 billón de cuentas de usuarios de Yahoo con nombres, direcciones de correo electrónico, números de teléfono, fechas de nacimiento, contraseñas, algunas preguntas y respuestas de seguridad cifradas y no cifradas, fueron violadas en agosto de 2013 por un tercero. A pesar de que esta ruptura de datos no incluyó patentes ni contraseñas no cifradas, el volumen y las repercusiones de esta vulneración de datos son de muy amplio alcance y prometen extenderse en el tiempo.

Todos estos datos podrían estar siendo utilizados para realizar Phishing attacks (suplantación de identidad) a individuos, particularmente cuando está impulsada por otros datos vulnerados. Así mismo, la situación se agrava aún más si los hashes de contraseñas son infiltrados y lo más probable es que lo estén, dadas las vulnerabilidades del código hash MD5, un algoritmo de reducción criptográfico que permite comprobar si un archivo ha sido modificado.

Ahora bien, todo este panorama empeora si nos fijamos en el problema de la reutilización de contraseñas y lo extensa que es esta práctica. Con un billón de hashes de contraseñas violadas, se está proporcionando una gran cantidad de municiones a los atacantes para que intenten entrar en otras cuentas de un mismo usuario.

Las organizaciones y empresas deben tomarse el tiempo para revisar a fondo la forma en que se almacenan las contraseñas en sí mismas. A pesar de que las empresas toman medidas para exigirle a sus usuarios que cambien con frecuencia de contraseñas y de preguntas de seguridad, muchos omiten esta solicitud y en algunos casos hasta se turnan las claves para acceder a los diferentes servicios. Esto hace altamente probable que el problema de la reutilización de contraseñas de lugar a futuras violaciones de datos que no serán descubiertos inmediatamente.

Ahora bien, en el mercado existen herramientas que pueden ser utilizadas para comparar las contraseñas infiltradas con las contraseñas de los usuarios. Esto permite eliminar todas las cuentas que pueden estar comprometidas, pero aun así las organizaciones tienen que ir más allá de exigir el cambio de una contraseña. Establecer políticas de seguridad estrictas y que contemplen los diversos panoramas de violación puede ser un buen comienzo, pero además es esencial contar con desarrollos que permitan garantizar un mejor nivel de protección mediante un control total de los dispositivos y evitar así accesos y usuarios no autorizados.

En esta situación es cuando entran en juego soluciones que mantienen una conexión doble vía con cada dispositivo, contar con la información necesaria para evaluar el riesgo y aplicar medidas de seguridad remotas que protejan cada terminal y los datos sensible que estas contengan.

La irrupción de datos de Yahoo demuestra que así se busquen irregularidades activamente, estas no son fáciles de detectar y seguramente estaremos oyendo más sobre las consecuencias de este suceso. Sin embargo, hay que ver estos acontecimientos como oportunidades para mejorar procesos e infraestructura y evitar así situaciones similares.