CISA advierte que no utilice la autenticación de un factor

La agencia federal insta a las organizaciones a abandonar las malas prácticas y utilizar métodos de autenticación multifactor en su lugar.

La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) ha incluido el uso de la autenticación de un factor en su lista corta de malas prácticas que considera excepcionalmente riesgosas cuando se trata de ciberseguridad.

“La autenticación de un factor es un método común de autenticación de baja seguridad. Solo un factor, por ejemplo una contraseña, debe compararse con un nombre de usuario para obtener acceso a un sistema. Aunque estas malas prácticas deben ser evitadas por todas las organizaciones, son particularmente peligrosas en organizaciones que apoyan infraestructuras críticas o funciones críticas nacionales ”, dijo el anuncio de CISA.

La agencia federal agregó que, en cambio, las organizaciones deberían consultar sus pautas sobre cómo establecer métodos de autenticación más fuertes y mejores. La Guía de mejora de la capacidad de CISA, que se centra en la implementación de una autenticación sólida, destaca los riesgos de utilizar métodos tradicionales de autenticación única, como el uso de un nombre de usuario combinado con una contraseña.

Los atacantes pueden robar las credenciales de los usuarios a través de una variedad de tácticas probadas, que van desde ataques de phishing y de ingeniería social hasta ataques de fuerza bruta y malware de keylogging. Una vez que tienen en sus manos los nombres de usuario y las contraseñas, entrar en un sistema ya no es tan difícil. CISA recomienda cambiar a la autenticación multifactor (MFA), que es una opción mucho más segura, ya que agrega una capa adicional de seguridad y dificulta indebidamente a los ciberdelincuentes descifrar las cuentas de los usuarios.

Según un estudio conjunto de Google, la Universidad de Nueva York y la Universidad de California en San Diego, las empresas que adopten MFA podrían aumentar significativamente su resistencia a ataques maliciosos. El estudio citado por CISA encontró que el uso de MFA «bloquea el 100% de los bots automatizados, el 99% de los ataques de phishing masivo y el 66% de los ataques dirigidos a las cuentas de Google de los usuarios».

Además de utilizar la autenticación de un factor, el catálogo de malas prácticas de CISA también incluye:

• Uso de software no compatible o desactualizado
• El uso de contraseñas y datos de acceso conocidos / fijos / estándar

«Si bien estas prácticas son peligrosas para las infraestructuras críticas y los NCF, CISA anima a todas las organizaciones a participar en las acciones necesarias y discusiones críticas para abordar las malas prácticas», dijo CISA.

La agencia federal también abrió la discusión sobre malas prácticas en su GitHub para que los administradores de sistemas y los profesionales de TI pudieran compartir sus sugerencias y aportes sobre cómo abordar los desafíos de eliminar esas prácticas.