Hace un año, me mudé de Suiza a mi país natal: Francia. Una mudanza de este tipo conlleva numerosas tareas administrativas, una de las cuales es obtener un nuevo número de teléfono local.
Rápidamente adquirí un nuevo número y comencé el proceso de actualización de mis cuentas para mejorar la seguridad mediante la autenticación multifactor (MFA). Sin embargo, surgió un problema inesperado con mi cuenta de Amazon. Al parecer, mi nuevo número de teléfono ya estaba vinculado a la cuenta de otro usuario, presumiblemente por el propietario anterior que no lo había eliminado.
Me puse en contacto con el equipo de soporte de Amazon para intentar asociar mi nuevo número a mi cuenta. El equipo de soporte respondió rápidamente, pero no pudieron ayudarme. Me explicaron que no podían alterar los datos de la cuenta de otra persona sin autorización explícita. No podía utilizar mi número de teléfono como capa adicional de seguridad.
Adquisición de cuentas: Un escenario real
El mecanismo de seguridad de las cuentas de Amazon tiene un aspecto único que podría ser un arma de doble filo en términos de accesibilidad a las cuentas. Si posees el número de teléfono de alguien, tienes un camino sorprendentemente sencillo para acceder a su cuenta de Amazon. Al optar por iniciar sesión con un número de teléfono móvil y luego seleccionar iniciar sesión a través de un código de verificación enviado a ese número, evitando la necesidad de introducir una contraseña, se puede entrar en una cuenta vinculada a ese número.
Tras esta forma de entrada, el individuo en posesión del teléfono tiene un nivel considerable de control sobre la cuenta. Se le ofrece la posibilidad de restablecer la contraseña de la cuenta, actualizar el número de teléfono utilizado para la AMF, modificar la dirección de correo electrónico registrada y, potencialmente, realizar compras utilizando los datos de la tarjeta de crédito guardados en la cuenta. Cabe destacar que este proceso carece de una capa de seguridad fundamental: la validación bancaria no es necesaria para las transacciones en Amazon, lo que deja un vacío que podría aprovecharse para realizar compras no autorizadas.
En mi caso, aunque me encontré sin querer conectado a la cuenta de Amazon de otra persona debido al número de teléfono compartido, me abstuve de hacer cambios o compras. Mi intención no era hacer un mal uso del acceso con el que había tropezado. En lugar de ello, tomé la medida responsable de disociar el número de teléfono de la cuenta a la que estaba vinculado anteriormente. Esta acción fue crucial para asegurar mi propia cuenta de Amazon con mi número de teléfono actual, reforzando así su seguridad y garantizando que yo era el único usuario asociado a mi cuenta personal.
Este incidente pone de relieve la importancia de actualizar y proteger periódicamente la información de las cuentas para evitar accesos no autorizados. También aumenta la concienciación sobre los riesgos potenciales de los métodos de autenticación basados en el teléfono y subraya la necesidad de que los usuarios permanezcan atentos a sus prácticas de seguridad digital.
Vulnerabilidades MFA / OTP
Las MFA basadas en SMS, incluidas las contraseñas de un solo uso (OTP) y los enlaces mágicos, aunque populares, tienen limitaciones de seguridad críticas. Estas debilidades no se limitan a los escenarios tradicionales de AMF, sino que se extienden a varios métodos de autenticación basados en SMS.
No actualizar el número de teléfono para la seguridad de la cuenta puede tener otro resultado preocupante: la pérdida total del acceso a la propia cuenta.
Por ejemplo, si no actualizas tu cuenta de Google con tu nuevo número de teléfono, pueden surgir problemas de acceso importantes que podrían bloquear tu cuenta. Este descuido puede crear una situación frustrante y complicada, incluso si recuerdas tu contraseña.
Cuando cambias tu número de teléfono pero no actualizas esta información en la configuración de tu cuenta de Google, creas inadvertidamente una barrera de entrada. El problema surge durante el proceso de verificación, que es un paso fundamental para garantizar la seguridad y la integridad de tu cuenta. Google, en su afán por mantener altos estándares de seguridad, suele requerir un código de verificación como parte de su proceso de autenticación de dos factores. Este código suele enviarse a tu número de teléfono registrado.
Sin embargo, si tu cuenta sigue vinculada a tu antiguo número, no recibirás estos códigos de verificación esenciales. Como resultado, a pesar de introducir la contraseña correcta, no podrá completar el proceso de inicio de sesión. Esta falta de acceso al código de verificación le impide confirmar su identidad y acceder a su cuenta.
Además, las implicaciones de este problema van más allá de no poder consultar el correo electrónico o actualizar el calendario. Puede interrumpir el acceso a todos los servicios asociados a tu cuenta de Google, incluidas plataformas esenciales como Google Drive, Fotos e incluso sitios de terceros en los que utilizas Google para iniciar sesión.
Limitaciones adicionales de la AMF basada en SMS
Esta revelación sobre el proceso de inicio de sesión de Amazon no sólo levanta cejas, sino que también sirve como punto de partida para un debate más amplio sobre los riesgos inherentes de confiar en la autenticación multifactor basada en SMS en varias plataformas.
He aquí otras limitaciones de la AMF basada en SMS:
1. Cifrado de SMS y amenazas de Malware
Los mensajes SMS no están cifrados, lo que los convierte en objetivos fáciles de interceptar y leer sin autorización. La información sensible, como los códigos de autenticación, puede caer en las manos equivocadas y provocar la violación de cuentas. Sin embargo, la sofisticación técnica necesaria para interceptar mensajes SMS hace que este método de ataque sea menos probable y que la mayoría de los atacantes prefieran utilizar malware en un dispositivo para desviar datos SMS.
2. Dependencia de las redes móviles
La dependencia de las redes móviles, que pueden sufrir cortes, hace que la AMF basada en SMS no sea fiable en los momentos críticos en los que es necesario acceder a una cuenta.
3. Exploits SS7 y Sakari
Contrariamente a lo que se pensaba anteriormente, el protocolo Signal System 7 (SS7) ya no es tan vulnerable a la explotación. Sin embargo, la facilidad para reenviar SMS a servicios como Sakari, que puede conseguirse con ingeniería social básica y un coste mínimo, presenta un nuevo vector de amenaza.
4. 4. Ingeniería social
Los atacantes pueden utilizar técnicas de ingeniería social para engañar a particulares o proveedores de servicios móviles para que divulguen información confidencial o transfieran un número de teléfono a una nueva tarjeta SIM, eludiendo las medidas de MFA.
5. Compras masivas de números para la adquisición de cuentas
Una amenaza emergente consiste en la compra masiva de números de teléfono por parte de atacantes para intentar hacerse con cuentas a gran escala, aprovechando las vulnerabilidades de la AMF basada en SMS.
Buenas prácticas en AMF
Los autenticadores basados en aplicaciones, como Microsoft Authenticator o Google Authenticator, se recomiendan para reforzar la AMF. Sin embargo, el problema de los inicios de sesión mediante OTP y enlaces mágicos sigue sin resolverse, lo que supone un reto continuo para la seguridad. En general, asegúrate de seguir las siguientes buenas prácticas:
- Utilice un número de teléfono único e inédito para la AMF basada en SMS a fin de reducir los riesgos.
- Reserve la AMF basada en SMS para las cuentas menos sensibles, dando prioridad a métodos más potentes para las cuentas de alto riesgo.
- Supervise regularmente las actividades de la cuenta para detectar cualquier indicio de acceso no autorizado o actividades sospechosas.
Implicaciones empresariales y soluciones avanzadas
Las vulnerabilidades puestas de manifiesto por la AMF basada en SMS, especialmente ilustradas por incidentes como la violación de la cuenta de Amazon, subrayan la urgente necesidad de reforzar las estrategias de seguridad digital. Esto es especialmente crítico para las empresas, donde lo que está en juego es significativamente mayor debido al volumen de datos sensibles y activos financieros en riesgo. En el ámbito corporativo, la implantación de métodos robustos de AMF va más allá de la protección de los usuarios individuales; se trata de salvaguardar la infraestructura digital de la empresa, la propiedad intelectual y mantener la confianza con las partes interesadas.
Las empresas deben dar prioridad al despliegue de soluciones avanzadas de AMF, como la verificación biométrica y las claves de seguridad, que ofrecen una defensa más sólida contra las ciberamenazas. Además, las empresas deben fomentar una cultura de concienciación sobre la seguridad, asegurándose de que los empleados de todos los niveles entienden los riesgos y se adhieren a las mejores prácticas de seguridad. Esta vigilancia colectiva es crucial en una época en la que las ciberamenazas no sólo son cada vez más sofisticadas, sino que también pueden perturbar las operaciones empresariales y dañar a largo plazo la reputación de una organización.