Eludir la autenticación multifactor: Lecciones aprendidas de las mayores violaciones de la autenticación multifactor de todos los tiempos.

Pregunta rápida: Si protegemos un activo con una contraseña que solo el usuario previsto debería conocer, añadimos preguntas de seguridad que solo él puede responder, confirmamos su identidad mediante algo que solo él podría poseer (como su teléfono inteligente) e incluso añadimos tokens de seguridad o tarjetas inteligentes, deberíamos estar completamente seguros, ¿verdad? ¡Incorrecto!

El 78% de las empresas utilizan la autenticación multifactor (MFA), pero el 28% aún sufren brechas de seguridad. La MFA debe ser una capa dentro de una estrategia integral. pila de ciberseguridad, no es una defensa independiente.

Por ejemplo, a los investigadores les bastaron una hora para eludir los sistemas de autenticación multifactor (MFA) de Microsoft Azure. Okta, uno de los mayores proveedores de tecnología de autenticación de identidad, sufrió una brecha en su sistema MFA recientemente, en 2022. 

¿El problema? Baja redundancia, diseño de seguridad defectuoso y la creencia errónea de que la autenticación multifactor por sí sola garantiza la seguridad.

No existe una solución mágica en ciberseguridad. El monitoreo continuo del cumplimiento garantiza que la autenticación multifactor (MFA) y otros controles permanezcan configurados correctamente y sean efectivos. Y con la creciente complejidad de las amenazas que incluyen ingeniería social, ataques de bombardeo instantáneo, fatiga por alertas, phishing como servicio de alquiler y tecnología AiTM sofisticada, la MFA aislada de sólidos principios de seguridad ya no es suficiente. 

Este artículo analiza casos de estudio de gran repercusión en los que se explotaron y eludieron las vulnerabilidades de la autenticación multifactor (MFA), revelando lecciones cruciales para reforzar las prácticas de seguridad y garantizar que la MFA cumpla su propósito: mantener a los piratas informáticos fuera de sus sistemas.

¿Cómo se elude la autenticación multifactor?

Las rutas más comunes que utilizan los ciberdelincuentes son comprometer cualquier cuenta posible en una empresa, evadir la detección, obtener privilegios adicionales y escalar el ataque. 

Por ejemplo, si ha implementado la autenticación multifactor (MFA) para un servicio en particular, pero este no tiene límite en los intentos de inicio de sesión, un atacante dispuesto a probar un millón de combinaciones del código de autenticación estándar de 6 dígitos, tablas arcoíris y hardware compatible puede obtener acceso a la cuenta. 

A partir de ahí, el atacante puede interactuar con otros dispositivos de la red, infectarlos, explorar archivos y escalar sus privilegios, lo que puede provocar una brecha de seguridad en toda regla. 

Por lo tanto, se vuelve esencial complementar la MFA con medidas adicionales como intentos de inicio de sesión limitados, un sistema robusto para notificar a los propietarios de cuentas en caso de un intento, denegación de acceso basada en períodos de tiempo y protecciones en la red que impiden la escalada de privilegios desde redes IoT. Es esencial complementar la MFA con controles de administración de acceso por capas que incluyan intentos de inicio de sesión limitados, notificaciones a los propietarios de cuentas y denegación de acceso basada en períodos de tiempo. Por lo tanto, se vuelve esencial complementar la MFA con medidas adicionales como intentos de inicio de sesión limitados, un sistema robusto para notificar a los propietarios de cuentas en caso de un intento, denegación de acceso basada en períodos de tiempo y protecciones en la red que impiden la escalada de privilegios desde redes IoT. 

Un ejemplo: explotar la conectividad IoT de Microsoft 365 para eludir la autenticación multifactor (MFA). 

El sistema de autenticación de Microsoft 365 permite a los usuarios iniciar sesión en dispositivos con acceso restringido, como Smart TV, impresoras y otros dispositivos IoT, mediante un código de acceso. Por ejemplo, para conectar un Smart TV, se mostrará un código que deberá introducir en la ventana de autenticación de Office 365 para conectar el dispositivo. 

Sin embargo, los ciberdelincuentes pueden utilizar el mismo método para eludir la autenticación multifactor (MFA). 

Vía de ataque:

1. Los ciberdelincuentes le indican a Azure que conecte sus dispositivos. 
2. El sistema de autenticación les pide que verifiquen un código específico.
3. El atacante inserta este código en un correo electrónico y lo envía a la víctima.
4. La víctima revisa el correo electrónico e introduce el código en la ventana de autenticación de Office365. 
5. Una vez que el dispositivo del atacante se autentica, se envía un token de acceso de vuelta a dicho dispositivo. 
6. El atacante obtiene el token y ahora puede acceder fácilmente a la cuenta o tomar posesión de ella. 
7. En este escenario, la autenticación multifactor ni siquiera tiene la oportunidad de funcionar. El usuario logra eludirla. 

¿Cómo se elude la autenticación multifactor?

La supervisión humana sigue siendo un factor crítico en la seguridad de la autenticación multifactor (MFA). Las vías de ataque que explotan o manipulan el comportamiento humano pueden eludir las defensas de la MFA. Si bien eludir la MFA es un desafío, no es imposible.

Los ciberdelincuentes han adaptado tácticas conocidas, como la ingeniería social, para desarrollar técnicas más sofisticadas, como los ataques de intermediario (AiTM), el intercambio de tarjetas SIM y otros métodos que atacan el eslabón más débil de la autenticación multifactor: el factor humano.

Cada uno de estos ataques difiere en complejidad, tasa de éxito y prevalencia. En el cuadrante izquierdo, se observa claramente que la ingeniería social es el ataque más fácil de ejecutar para un atacante, pero de baja prevalencia. Si bien los ataques AiTM son el método más común para eludir la autenticación multifactor (MFA), son más complejos de lo habitual, y así sucesivamente. 

Exploremos estas vías de ataque más utilizadas para eludir la autenticación multifactor (MFA) mediante estudios de casos reales:

1) Un ataque patrocinado por el Estado abusa de la vulnerabilidad de auto-registro de dispositivos MFA para eludirla.

En 2022, la CISA y el FBI desclasificaron un ataque contra una ONG que explotó la función de registro automático de dispositivos de autenticación multifactor (MFA). 

Aunque es poco común, los atacantes suelen aprovechar las vulnerabilidades de auto-inscripción de la autenticación multifactor (MFA). Generalmente, se dirigen a cuentas inactivas dentro de una organización o a cuentas de nuevos empleados que aún no se han inscrito en la MFA. Los atacantes explotan la fase de configuración inicial, registrando sus dispositivos para obtener acceso no autorizado a estas cuentas desprotegidas a pesar de los protocolos de MFA.

El ataque suele comenzar cuando el atacante obtiene las credenciales de acceso mediante phishing, fuerza bruta u otros métodos. Una vez dentro, el objetivo es registrar su propio dispositivo para la autenticación multifactor (MFA) y así poder permanecer en la red y explotar otras vulnerabilidades hasta dominarla por completo.  

Para esta ONG, la ruta de ataque de los ciberdelincuentes fue la siguiente:

1) Compromiso por fuerza bruta de las credenciales de una cuenta huérfana: 

El atacante utilizó la fuerza bruta para adivinar y finalmente logró descifrar una contraseña débil asociada a la cuenta de un usuario que ya no trabajaba para la empresa. 

2) Baja matriculación para una nueva titulación de Máster en Bellas Artes:

El atacante se registra para la autenticación multifactor (MFA) con su dispositivo utilizando la cuenta comprometida. El proceso de registro solo requería la contraseña robada inicialmente, sin pasos de verificación adicionales para autenticar la identidad del usuario.

3) Autenticación multifactor (MFA) utilizada para iniciar sesión en la VPN y obtener acceso completo a la red:

Una vez que los ciberdelincuentes configuraron la autenticación multifactor (MFA), accedieron a la VPN para eludir las medidas de seguridad basadas en zonas de confianza y obtuvieron niveles de acceso sin restricciones a áreas sensibles de la red.  

4) Explotación de la vulnerabilidad PrintNightmare para obtener privilegios elevados:

Con mayores niveles de acceso, el atacante explota la vulnerabilidad PrintNightmare, un fallo crítico en el servicio de cola de impresión de Windows, para escalar sus privilegios dentro de la red. Esto le permite ejecutar código arbitrario en el equipo de la víctima con permisos de sistema.

5) Se elude la autenticación multifactor en el controlador de dominio modificando el archivo .hosts:

Para mantener aún más su acceso, el atacante eludió la autenticación multifactor (MFA) en el controlador de dominio (DC) modificando el archivo .hosts, que redirige las solicitudes para el servidor MFA al localhost (es decir, la máquina controlada por el atacante), lo que neutralizó efectivamente las comprobaciones de MFA.  

Lo consiguen modificando el archivo .hosts, redirigiendo las solicitudes al servidor MFA al host local (es decir, la máquina controlada por el atacante) y neutralizando así las comprobaciones de MFA.

6) Se comprometieron cuentas adicionales para permitir el movimiento lateral:

Tras obtener privilegios de alto nivel, el atacante compromete cuentas adicionales del controlador de dominio. Esto facilita el movimiento lateral a través de la red, lo que le permite acceder a otros sistemas y extraer o manipular datos a su antojo.

2) Atentado con bomba y ataque de fatiga del MFA que comprometió a Uber

El bombardeo de solicitudes de autenticación multifactor, o fatiga por autenticación multifactor, explota una debilidad crítica en los sistemas de autenticación multifactor: se basa en escenarios diseñados socialmente en los que los usuarios están distraídos o frustrados, y aprueban apresuradamente una solicitud de autenticación multifactor solo para reanudar sus tareas diarias. 

Un ejemplo: la brecha de seguridad en Uber por parte de Lapsus$.

A altas horas de la noche, los sistemas de seguridad de Uber detectaron actividad inusual: una avalancha incesante de solicitudes de autenticación multifactor dirigidas a un empleado de la compañía. Lapsus$, un grupo tristemente célebre involucrado en múltiples ataques de ransomware, se apoderó de las credenciales de la cuenta del empleado, presumiblemente mediante una cadena de ataques de phishing e ingeniería social orquestados. 

Posteriormente, bombardearon a los empleados con avisos del MFA, con la esperanza de explotar la vulnerabilidad humana: el deseo de paz y el cese de las notificaciones incesantes. 

Para recalcar este punto, el atacante se hizo pasar por un miembro del equipo de TI de Uber y contactó directamente con la víctima, convenciéndola de que aprobara las solicitudes de autenticación multifactor (MFA).  

Este acto de aparente desesperación fue un paso calculado para obtener acceso no autorizado. 

Una vez dentro del sistema, los atacantes navegaron por la red de Uber hasta que dieron con un script de Microsoft PowerShell que contenía credenciales administrativas. Este descubrimiento les permitió un acceso profundo, incluyendo la posibilidad de ver el código fuente y los detalles del programa de recompensas por detección de errores de Uber, revelando vulnerabilidades que aún no se habían solucionado.

Esta es la ruta de ataque que siguieron:

Paso 1: El atacante obtuvo acceso a las credenciales.

El pirata informático obtuvo la contraseña de Active Directory (AD) del empleado mediante ataques de phishing, ataques de fuerza bruta o explotando cualquier otra vulnerabilidad.

Paso 2: Inicio de la fatiga por fatiga por fatiga por fatiga.

El empleado se vio inundado de notificaciones de autenticación multifactor (MFA), lo que provocó fatiga por MFA o un bombardeo constante de notificaciones. Esto creó una situación en la que el empleado podría aprobar un intento de inicio de sesión malicioso simplemente por tranquilidad.

Paso 3: Ingeniería social

Para acelerar la autenticación, el atacante, haciéndose pasar por el soporte técnico de Uber, contactó con el empleado y lo convenció para que aprobara una de las solicitudes de autenticación multifactor (MFA) con el pretexto de resolver un problema de seguridad.

Paso 4: Acceso a la red y movimientos laterales

Una vez aprobada la autenticación multifactor (MFA), el pirata informático recorrió rápidamente la red lateralmente e inició sesión en la VPN de la empresa, obteniendo así acceso completo a la red, lo que puede incluir el acceso a áreas sensibles restringidas a la mayoría de los usuarios.

Paso 5: Escalada de privilegios

En este caso, el atacante descubrió y aprovechó un script de Microsoft PowerShell dentro de la red que contenía credenciales de administrador para la Administración de Acceso Privilegiado (PAM), elevando así su acceso a niveles administrativos.

3) Ataques AiTM 

Para eludir la autenticación multifactor (MFA), se produce un ataque de intermediario (AiTM, por sus siglas en inglés) en el que un atacante se posiciona como una capa pasiva, pero observadora, de la red entre la víctima y el servicio objetivo. Esta configuración permite al atacante interceptar, retransmitir y manipular la comunicación, incluyendo información confidencial como credenciales y tokens de sesión.

Ruta de ataque para el ataque AiTM para eludir la autenticación multifactor:

1) suplantación de identidad

La víctima recibe un enlace malicioso por correo electrónico o SMS, procedente de otro servicio de confianza que utiliza a diario.

2) Recopilación de credenciales

La víctima es redirigida a la página de inicio de sesión de un servicio reconocido, como Microsoft, pero a través de la red del atacante. De esta forma, en cuanto introduce sus credenciales, el atacante tiene acceso a ellas, ya que la información se transmite a través de su infraestructura intermedia. 

3) Retransmisión de credenciales

Las credenciales capturadas están relacionadas con el atacante y permiten intensificar aún más el ataque. 

4) Intercepción de MFA

Si el sitio web objetivo requiere autenticación multifactor (MFA), la solicitud de autenticación se envía a la víctima. Esta introduce el código MFA, que el atacante intercepta y reenvía al sitio web objetivo. El atacante también captura la cookie de sesión para que la víctima pueda iniciar sesión cuando lo necesite. 

5) Acceso no autorizado mediante cookies de sesión

Una vez que el atacante obtiene acceso a las cookies de sesión, puede utilizar la cookie de sesión robada para acceder a la cuenta de la víctima en el sitio web objetivo sin necesidad de nombre de usuario y contraseña, omitiendo por completo el proceso de inicio de sesión. 

Cómo fortalecer tu maestría en Bellas Artes

El problema con la autenticación multifactor (MFA) es que los atacantes han encontrado la manera de manipular las circunstancias para interceptar las claves MFA de la misma forma en que solían interceptar las contraseñas. 

Para colmo, los seres humanos siguen siendo el eslabón más débil, y los ataques más frecuentes contra la autenticación multifactor (MFA), como los ataques por fatiga de MFA, dependen en gran medida del criterio humano. 

Sin embargo, se pueden tomar algunas medidas para reforzar la autenticación multifactor (MFA). A partir de estos casos, presentamos las mejores prácticas para garantizar que la MFA no se eluda y, en caso de que se eluda, que el atacante no pueda sacarle mucho provecho. 

El problema con la autenticación multifactor (MFA) es que los atacantes han encontrado la manera de manipular las circunstancias para interceptar las claves MFA de la misma forma en que solían interceptar las contraseñas. 

Para colmo, los seres humanos siguen siendo el eslabón más débil, y los ataques más frecuentes contra la autenticación multifactor (MFA), como los ataques por fatiga de MFA, dependen en gran medida del criterio humano. 

Sin embargo, se pueden tomar algunas medidas para reforzar la autenticación multifactor (MFA). A partir de estos casos, presentamos las mejores prácticas para garantizar que la MFA no se eluda y, en caso de que se eluda, que el atacante no pueda sacarle mucho provecho. 

Principios de confianza cero

Por lo general, las organizaciones buscan un equilibrio entre comodidad y seguridad, por lo que establecen zonas de confianza dentro de una VPN. Los dispositivos conectados a esta red obtienen acceso con privilegios elevados para facilitar las operaciones comerciales y la colaboración. Sin embargo, este principio de establecer una zona de confianza es también uno de los más explotados. 

Los principios de confianza cero se basan en una regla simple: nunca confiar, siempre verificar. Esto impide que las cuentas comprometidas obtengan más privilegios dentro del sistema. Para implementar la confianza cero, puede comenzar con: 

• Políticas de control de acceso contextual: Desarrollar e implementar políticas de acceso dinámicas que tengan en cuenta el contexto de las solicitudes de acceso, como la ubicación, el estado de seguridad del dispositivo y la hora de acceso.
• Microsegmentación: Utilice la microsegmentación para limitar el movimiento lateral dentro de la red, incluso si un atacante elude la autenticación multifactor (MFA).
• Análisis de comportamiento: Utilice análisis de comportamiento para detectar anomalías en la conducta del usuario que podrían indicar una cuenta comprometida, incluso después de la verificación mediante autenticación multifactor (MFA).

Habilitar la aprobación mediante envío automático

Como vimos en el caso del ataque a las ONG, la autenticación multifactor (MFA) basada en códigos es vulnerable. Las MFA basadas en notificaciones push con verificación biométrica o por geolocalización pueden añadir una capa adicional de seguridad para garantizar que la MFA funcione según lo previsto. 

Asegúrese de que la autenticación multifactor esté habilitada en todos los puntos de acceso.

Exigir la autenticación multifactor (MFA) no solo para el inicio de sesión inicial, sino también para las acciones sensibles dentro de un sistema, mejora significativamente la seguridad al agregar una capa adicional de verificación. 

Por último, es fundamental ajustar las configuraciones predeterminadas para mejorar la seguridad, por ejemplo, implementando políticas estrictas de bloqueo de cuentas y exigiendo procesos de verificación más rigurosos durante el registro de la autenticación multifactor (MFA). Además, la gestión de identidades se centra en auditar periódicamente y eliminar las cuentas inactivas, minimizando así los riesgos de acceso innecesarios. 

Prácticas resilientes de MFA

Al analizar el papel y la solidez de la autenticación multifactor (MFA) en nuestros sistemas de seguridad, queda claro que no es la solución definitiva, sino una capa fundamental en una estrategia de defensa multidimensional. Al adoptar prácticas de seguridad rigurosas y mantener métodos sencillos y fáciles de usar, las organizaciones pueden mejorar su resiliencia frente a amenazas cibernéticas cada vez más sofisticadas. En definitiva, la clave para una seguridad duradera reside en la evaluación y adaptación continuas de nuestras medidas de protección, garantizando que respondan a los desafíos actuales y estén preparadas para contrarrestar futuras vulnerabilidades.

Preguntas frecuentes