Por qué los ataques de relleno de credenciales pueden ser el próximo dolor de cabeza de tu empresa

Microsoft Office 365 sigue siendo un objetivo atractivo para los cibercriminales, ya que continúa siendo utilizado por empresas de todo el mundo. El creciente sofisticación de las herramientas de IA ha animado a los actores maliciosos a repetir la historia de los ataques de relleno de credenciales. En 2019, Microsoft reveló que se enviaron más de 1,5 millones de correos electrónicos maliciosos y de spam desde miles de cuentas de Office 365 de sus clientes comprometidas.

En diciembre de 2022, los usuarios de Norton entraron en alta alerta debido a un ataque de relleno de credenciales. La aplicación de seguridad fue comprometida, lo que llevó al bloqueo de aproximadamente 925.000 cuentas. Un aumento sospechoso en los intentos de inicio de sesión de los usuarios de Norton Password Manager desencadenó el bloqueo. La investigación posterior reveló que los cibercriminales habían logrado vulnerar "miles de cuentas", poniendo en peligro la información personal de numerosos usuarios. Entonces, ¿qué necesitamos prepararnos para 2023 para proteger nuestras cuentas de este tipo de ciberdelito?

La mecánica de los ataques de relleno de credenciales

Los ataques de relleno de credenciales representan el 34% de todos los intentos de inicio de sesión, con actores maliciosos que se esfuerzan por secuestrar cuentas de usuario. Pero, ¿cómo funciona este proceso y qué medidas pueden contrarrestar estas campañas?

El relleno de credenciales es un método de ciberataque prevalente donde los actores de amenazas emplean software automatizado para probar rápidamente credenciales de inicio de sesión robadas en varias cuentas en línea. El proceso implica:

1. Comprar o descargar una lista de nombres de usuario y contraseñas de la dark web, generalmente disponible después de una violación de datos.

2. Configurar bots automatizados para intentar iniciar sesión en múltiples cuentas de usuario, a menudo evadiendo la detección enmascarando sus direcciones IP.

3. Obtener acceso a las cuentas cuando los bots encuentran una coincidencia permite a los atacantes robar información personal como números de tarjetas de crédito o números de seguridad social.

4. Monitorear los bots mientras intentan combinaciones de contraseñas exitosas en otras cuentas. Dado que el 65% de las personas usan la misma contraseña para múltiples cuentas, existe una alta probabilidad de vulnerar múltiples cuentas con el mismo par de contraseña.

Relleno de credenciales vs. ataques de fuerza bruta

El relleno de credenciales y los ataques de fuerza bruta son dos métodos distintos de ciberataques. En el relleno de credenciales, los atacantes utilizan datos de contraseñas filtrados o robados de cuentas reales para intentar iniciar sesión. Por el contrario, los ataques de fuerza bruta implican adivinar contraseñas de uso común y diccionarios de frases de contraseña comunes.

Los actores de amenazas de relleno de credenciales son conscientes de que poseen credenciales genuinas y solo necesitan encontrar una cuenta coincidente. En contraste, aquellos que intentan ataques de fuerza bruta carecen de contexto sobre las credenciales correctas de sus objetivos, lo que hace que estos ataques dependan de la suerte ciega o de contraseñas fáciles de adivinar. A pesar de esto, siendo un juego de números, el relleno de credenciales puede ser muy rentable con la automatización.

El impacto del relleno de credenciales

Las víctimas de ataques de relleno de credenciales enfrentan el riesgo de robo de datos sensibles, daño a la reputación financiera y posible robo de identidad. Las consecuencias de tales ataques incluyen:

1. Cuentas comprometidas: Los actores de amenazas podrían instalar spyware, robar o destruir datos, o suplantar la identidad del titular de la cuenta para enviar spam o lanzar ataques de phishing a otros objetivos.

2. Fugas de datos: Los atacantes a menudo tienen como objetivo violar instituciones financieras o objetivos gubernamentales de alto valor, vendiendo los datos robados en mercados en línea ilícitos a ladrones de identidad y bandas con motivaciones políticas.

3. Bloqueos de cuentas: Los intentos excesivos de inicio de sesión fallidos podrían activar el sistema de seguridad de su cuenta para bloquearlo, potencialmente interrumpiendo su negocio o limitando el acceso a cuentas cruciales como el correo electrónico o bancario.

4. Demandas de ransomware: Grupos de hacking patrocinados por el estado pueden tomar el control de una instalación de infraestructura crítica o una gran empresa para exigir un pago de rescate.

5. Aumento de los riesgos de ciberseguridad: Las credenciales de usuario robadas pueden utilizarse para futuros ataques, poniendo a las víctimas y a cualquier parte estrechamente relacionada en mayor riesgo después de la violación inicial.

6. Impacto negativo en la reputación empresarial: Una violación de una empresa puede socavar significativamente la confianza del consumidor. Cuando miles o millones de usuarios perciben una amenaza para sus datos privados, puede costar a una empresa en el mercado de valores. El costo promedio de una violación de datos en 2022 fue de 4,35 millones de dólares.

Ejemplos recientes de relleno de credenciales

• Empresa Mayor de Ropa para Exteriores, julio de 2022: Los cibercriminales utilizaron el relleno de credenciales para atacar a esta empresa de ropa de recreación al aire libre, comprometiendo casi 200.000 cuentas de clientes y exponiendo detalles como nombres, números de teléfono, género, historial de compras, direcciones de facturación y puntos de lealtad.

• Gran Empresa de Procesamiento de Pagos, diciembre de 2022: Este ataque afectó a casi 35.000 cuentas de usuarios, exponiendo nombres, números de seguridad social y números de identificación fiscal, aunque no se reportaron transacciones no autorizadas.

• Cadena Prominente de Comida Rápida, enero de 2023:** La cadena de comida rápida confirmó una violación que accedió a más de 71.000 cuentas de clientes. Los actores de amenazas realizaron un ataque de relleno de credenciales durante varios meses, obteniendo acceso a los saldos de recompensas de los clientes, potencialmente direcciones físicas y los últimos cuatro dígitos de las tarjetas de crédito de los clientes.

Contramedidas contra los ataques de relleno de credenciales

El sector financiero ha experimentado un aumento significativo en los ataques de relleno de credenciales, con un crecimiento interanual del 45% reportado en 2022. A medida que las empresas se expanden y atraen una base de usuarios más grande, se vuelven objetivos cada vez más atractivos para los cibercriminales. Para combatir esta amenaza creciente, los equipos de seguridad pueden implementar varias contramedidas.

Implementar la autenticación multifactor (MFA) puede proporcionar una capa adicional de seguridad, haciendo más difícil para los actores de amenazas obtener acceso no autorizado a las cuentas. A pesar de las violaciones recientes experimentadas por algunos gestores de contraseñas populares, estas herramientas siguen siendo una piedra angular de la seguridad digital moderna y deben utilizarse.

Promover mejores prácticas de contraseñas es crucial. Los equipos de seguridad deben tomar una postura proactiva en la eliminación de la reutilización de contraseñas, desalentar el intercambio de códigos y aconsejar contra escribir información de inicio de sesión en papel. Estas medidas pueden reducir significativamente la probabilidad de ataques internos.

Los actores maliciosos pueden construir un ejército de bots automatizados

Los investigadores de seguridad de Microsoft han descubierto una campaña de phishing a gran escala que utiliza técnicas de proxy HTTPS para secuestrar cuentas de Office 365. El ataque es capaz de eludir la autenticación multifactor (MFA) y ha dirigido más de 10.000 organizaciones desde septiembre de 2021.

El monitoreo constante de los intentos de inicio de sesión puede ayudar a identificar y frustrar actividades fraudulentas. Si se detecta un aumento repentino en los intentos de inicio de sesión o patrones inusuales, el equipo de seguridad puede bloquear la dirección IP asociada y alertar a los usuarios legítimos sobre el intento de hackeo.

Otro mecanismo defensivo efectivo es la limitación de velocidad (rate-limiting). Esta estrategia evita que los bots maliciosos realicen intentos de inicio de sesión excesivos rápidamente, deteniendo efectivamente el progreso de los ataques automatizados.

Monitorear la dark web puede mantener a los equipos de seguridad un paso por delante de las amenazas cibernéticas emergentes. Al vigilar las colecciones de nombres de usuario y contraseñas disponibles en la dark web, las vulnerabilidades pueden reforzarse antes de que ocurra un ataque.

Los equipos de seguridad tienen la responsabilidad de proteger y educar a los usuarios. Los actores maliciosos pueden construir un ejército de bots automatizados que ejecuten miles o millones de solicitudes de inicio de sesión fraudulentas diariamente. Para combatir esta amenaza creciente, se debe alentar a los usuarios a adoptar buenas prácticas de contraseñas y utilizar gestores de contraseñas confiables. Sin embargo, la responsabilidad principal de la protección de datos recae en los equipos de seguridad de sitios web y proveedores de aplicaciones. Un enfoque multifacético combina un control de acceso robusto, monitoreo de amenazas y salvaguardas de limitación de velocidad para interrumpir el ciclo de ataque y mantener a los actores de amenazas a raya. En última instancia, la defensa más potente se basa en la educación y fomentar una cultura de seguridad.

Microsoft recomienda que las organizaciones establezcan políticas para monitorear las reglas de la bandeja de entrada que podrían tener propósitos sospechosos o para generar alertas por cantidades inusuales de eventos de acceso al correo desde direcciones IP o dispositivos no confiables.