El robo de credenciales es un tipo de ciberataque en el que el atacante recopila credenciales de cuentas robadas , que normalmente consisten en listas de nombres de usuario o direcciones de correo electrónico y las contraseñas correspondientes (a menudo de una violación de datos ), y luego usa las credenciales para obtener acceso no autorizado a cuentas de usuario en otros sistemas a través de solicitudes de inicio de sesión automatizadas a gran escala dirigidas contra una aplicación web . [1] A diferencia del descifrado de credenciales, los ataques de robo de credenciales no intentan usar la fuerza bruta ni adivinar ninguna contraseña: el atacante simplemente automatiza los inicios de sesión para una gran cantidad (de miles a millones) de pares de credenciales previamente descubiertos utilizando herramientas de automatización web estándar como Selenium , cURL , PhantomJS o herramientas diseñadas específicamente para este tipo de ataques, como Sentry MBA, SNIPR, STORM, Blackbullet y Openbullet. [2] [3]
Los ataques de robo de credenciales son posibles porque muchos usuarios reutilizan la misma combinación de nombre de usuario y contraseña en varios sitios. Una encuesta informó que el 81 % de los usuarios reutilizó una contraseña en dos o más sitios y el 25 % de los usuarios usa las mismas contraseñas en la mayoría de sus cuentas. [4] En 2017, la FTC emitió un aviso que sugería acciones específicas que las empresas debían tomar contra el robo de credenciales, como insistir en contraseñas seguras y protegerse contra los ataques. [5] Según el ex zar del fraude de clics de Google , Shuman Ghosemajumder , los ataques de robo de credenciales tienen una tasa de éxito de inicio de sesión de hasta el 2 %, lo que significa que un millón de credenciales robadas pueden apoderarse de más de 20 000 cuentas. [6] La revista Wired describió que la mejor manera de protegerse contra el robo de credenciales es usar contraseñas únicas en las cuentas, como las generadas automáticamente por un administrador de contraseñas , habilitar la autenticación de dos factores y hacer que las empresas detecten y detengan los ataques de robo de credenciales. [7]
Una fuga de credenciales, también conocida como violación o fuga de datos, se produce cuando individuos o grupos no autorizados obtienen acceso ilícito a credenciales de usuario confidenciales que las organizaciones almacenan. Dichas credenciales suelen incluir nombres de usuario, direcciones de correo electrónico y contraseñas. Las repercusiones de las fugas de credenciales pueden ser significativas, ya que suelen exponer a los usuarios a una variedad de peligros, como el robo de identidad, el fraude financiero y la infiltración no autorizada de cuentas. [8]
Los ataques de robo de credenciales se consideran una de las principales amenazas para las aplicaciones web y móviles debido al volumen de fugas de credenciales. Solo en 2016, se filtraron más de tres mil millones de credenciales a través de violaciones de datos en línea. [9]
El término fue acuñado por Sumit Agarwal, cofundador de Shape Security, quien en ese momento se desempeñaba como subsecretario adjunto de Defensa en el Pentágono . [10]
El 20 de agosto de 2018, la cadena británica de productos de salud y belleza Superdrug fue objeto de un intento de chantaje, en el que los piratas informáticos mostraron supuestas pruebas de que habían entrado en el sitio de la empresa y descargado los registros de 20.000 usuarios. Lo más probable es que las pruebas se hubieran obtenido mediante ataques de piratería y filtración de datos y luego se hubieran utilizado como fuente para ataques de robo de credenciales con el fin de obtener información para crear las pruebas falsas. [11] [12]
En octubre y noviembre de 2016, los atacantes obtuvieron acceso a un repositorio privado de GitHub utilizado por los desarrolladores de Uber (Uber BV y Uber UK), utilizando los nombres de usuario y las contraseñas de los empleados que se habían visto comprometidos en infracciones anteriores. Los piratas informáticos afirmaron haber secuestrado las cuentas de usuario de 12 empleados utilizando el método de relleno de credenciales, ya que las direcciones de correo electrónico y las contraseñas se habían reutilizado en otras plataformas. La autenticación multifactor , aunque disponible, no estaba activada para las cuentas afectadas. Los piratas informáticos localizaron las credenciales para el almacén de datos AWS de la empresa en los archivos del repositorio, que utilizaron para obtener acceso a los registros de 32 millones de usuarios no estadounidenses y 3,7 millones de conductores no estadounidenses, así como otros datos contenidos en más de 100 depósitos S3 . Los atacantes alertaron a Uber, exigiendo el pago de $ 100,000 para aceptar eliminar los datos. La empresa pagó a través de un programa de recompensas por errores , pero no reveló el incidente a las partes afectadas durante más de un año. Después de que la infracción saliera a la luz, la empresa recibió una multa de 385.000 libras esterlinas (reducida a 308.000 libras esterlinas) por parte de la Oficina del Comisionado de Información del Reino Unido . [13]
En 2019, la firma de investigación de ciberseguridad Knight Lion Security afirmó en un informe que el robo de credenciales era el método de ataque favorito de GnosticPlayers . [14]
La verificación de credenciales comprometidas es una técnica que permite notificar a los usuarios cuando sus contraseñas son violadas por sitios web, navegadores web o extensiones de contraseñas.
En febrero de 2018, el científico informático británico Junade Ali creó un protocolo de comunicación (utilizando k -anonimato y hash criptográfico ) para verificar de forma anónima si se filtró una contraseña sin revelar completamente la contraseña buscada. [15] [16] Este protocolo se implementó como una API pública y ahora lo consumen varios sitios web y servicios, incluidos los administradores de contraseñas [17] [18] y las extensiones del navegador . [19] [20] Este enfoque fue posteriormente replicado por la función Password Checkup de Google . [21] [22] [23] Ali trabajó con académicos de la Universidad de Cornell para desarrollar nuevas versiones del protocolo conocido como Bucketization de suavizado de frecuencia (FSB) y Bucketization basada en identificadores (IDB). [24] En marzo de 2020, se agregó relleno criptográfico al protocolo. [25]
La herramienta de robo de credenciales más popular, Sentry MBA, utiliza archivos de "configuración" para los sitios web de destino que contienen toda la lógica de secuencia de inicio de sesión necesaria para automatizar los intentos de inicio de sesión.
{{cite journal}}: Requiere citar revista |journal=( ayuda )