Seguir el ritmo de los botnets

Los botnets favorecen el desarrollo de ataques de Credential Stuffing a nivel global

Un director jefe de seguridad (CSO) de una empresa de servicios financieros debe tener dos cosas en mente: la seguridad de la información de identificación personal (PII) de los clientes y la disponibilidad de servicios digitales de forma ininterrumpida todos los días del año. Ambos son fundamentales para mantener a los clientes y para cumplir con los requisitos de los organismos reguladores. Los ataques de Credential Stuffing amenazan la seguridad de la información de identificación personal y pueden convertirse en ataques DDoS, que bloquean la disponibilidad de un sitio.

Le ponemos un ejemplo de un grupo de servicios financieros de la lista Global 500. Un día, su sitio de pensiones, que suele procesar 20 000 intentos de inicio de sesión no válidos al día, empezó a recibir 50 000 intentos de inicio de sesión no válidos cada cinco minutos. Durante el ataque, la infraestructura de la compañía empezó a tener problemas, ya que los usuarios recibían errores de tiempo de espera de sesión o no podían iniciar sesión en sus cuentas. Lo peor era que el mayor temor de los clientes se había hecho realidad: no podían iniciar sesión porque alguien estaba intentando robarles las credenciales. 

A pesar de que los bancos y otras instituciones instan a los clientes a cambiar de contraseña regularmente, mucha gente se resiste a hacerlo. Es más, muchos usan las mismas credenciales de inicio de sesión en varias cuentas online (retail, banca y servicios diversos). Incluso después de que se anuncie una filtración de datos, solo alrededor de un tercio de los usuarios se suele cambiar la contraseña, según un estudio de 2020 publicado por el Instituto de Seguridad y Privacidad (CyLab) de la Universidad Carnegie Mellon. Esta apatía solo da ventaja a los atacantes. Básicamente, dos tercios de las credenciales que roben seguramente les servirán para otros sitios, sobre todo teniendo en cuenta que los delincuentes van a perfeccionar la lista de combinaciones con varias fuentes para generar nuevas contraseñas si las originales no les funcionan. 

Los bancos resultan especialmente atractivos para los ciberdelincuentes que desean robar cuentas. Más de 3400 millones de ataques de los que se produjeron en 2020 se dieron en el sector financiero, lo que supuso un incremento del 45 % respecto al año anterior. En un ataque masivo de Credential Stuffing, una institución financiera recibió 55 141 782 intentos de inicio de sesión maliciosos. Este ataque supuso el mayor pico de abuso de credenciales que ha observado Akamai contra una organización de servicios financieros desde que empezamos a hacer un seguimiento de este tipo de ataques. 

Elegir una solución de gestión de bots para evitar o mitigar ataques

Las botnets automatizadas intentan validar cientos de miles de credenciales de usuarios en sitios web de banca. Reutilizan las que funcionan para robar cuentas, solicitar créditos fraudulentos y vaciar el contenido de las cuentas. (A veces pueden ir directamente al tercer paso). Detener estos ataques no es nada sencillo: la información de inicio de sesión es legítima; es el usuario o la herramienta que intenta acceder a la cuenta quien no lo es. 

Como proveedores de seguridad, hemos visto hasta 300 000 intentos fraudulentos de inicio de sesión por hora desde un solo botnet, lo que podría resultar en la pérdida de dinero, privacidad y (en el peor de los casos) la confianza de los consumidores. Según un estudio del Instituto Ponemon, "el coste total asociado al Credential Stuffing, incluidos las pérdidas por fraude, la seguridad operacional, el tiempo de inactividad de las aplicaciones y el abandono de clientes, puede oscilar entre los 6 y los 54 millones de dólares al año".

Para detener los ataques de Credential Stuffing es esencial elegir las herramientas adecuadas. Si bien la mayoría de las soluciones están diseñadas para distinguir a los bots de los agentes legítimos, se deben tener en cuenta dos cuestiones importantes: 

• La eficacia de la solución para seguir el ritmo de evolución de los botnets 
• Su eficacia a la hora de garantizar las mínimas molestias a la experiencia de los clientes

¿Cuán sofisticados son los bots y con qué velocidad mutan?

Debido a la abundancia de oportunidades, los ataques de Credential Stuffing son un medio al que recurren algunos de los hackers más experimentados, por lo que se llegan a desarrollar bots muy sofisticados. Por lo tanto, es primordial conocer detalladamente el panorama actual de los bots en su sector y la disponibilidad de tecnologías de detección de bots. La mejor solución será la que pueda detectar los bots más sofisticados con los que seguramente se encontrará. 

Los bots sofisticados pueden mutar. Muchas soluciones de gestión de bots pueden detectar a la mayoría de ellos inicialmente, pero luego dejan de verlos cuando estos empiezan a mutar. Esto ocurre cuando los atacantes se dan cuenta de que usted ha identificado su bot y enseguida dan con una forma de eludir su solución actualizando el software. Entonces, los bots que han mutado pueden evitar que los detecte la solución original y pueden volver a emplearse. Por lo tanto, las soluciones deben ser tanto o más sofisticadas e incorporar tecnologías de detección de bots como el análisis de comportamiento de usuarios, que sigue siendo efectivo aunque los bots muten. 

Otro factor crucial es la capacidad de crear avisos. Al recabar datos concretos sobre bots, características de bots o botnets específicos, se obtiene información rápida y fiable sobre el ataque. Sin unos datos claros, no obtendrá una respuesta óptima. 

Denegar inicios de sesión de bots sin afectar negativamente a los clientes 

A causa de la pandemia, hay más clientes de bancos que realizan transacciones online y a través del móvil que nunca. Los volúmenes de tráfico web de un cliente de servicios financieros de Akamai experimentó un aumento dramático tras el confinamiento de marzo de 2020. Ahora, más de un año y medio después, la banca digital se ha convertido en la nueva norma del sector. Esto significa que es todavía más importante elegir soluciones de seguridad que funcionen de la forma más sencilla posible para no entorpecer la experiencia del cliente. 

Por ejemplo, los controles pesados con captcha tienden a dificultar esta experiencia y generan frustración entre los clientes, lo que hace que empiecen a cambiar de proveedor. (A nadie le gusta sentir que pierde el tiempo buscando todos los pasos de peatones tras fallar en la misma prueba con fotos de aviones). Una solución de autenticación intuitiva (multifactorial) que funcione en un entorno protegido por una herramienta de gestión de bots eficaz sirve para identificar a los usuarios y ahuyentar a los bots maliciosos de forma correcta sin que los primeros tengan que pasar por un proceso más complejo. 

Además, la tecnología avanzada de aprendizaje automático y el análisis de anomalías en el comportamiento utilizados contra estas amenazas más sofisticadas proporcionan una mayor precisión. Cuanto más preciso sea el algoritmo, mejor será el análisis y mayor será su capacidad de evitar problemas de rendimiento y eliminar falsos positivos.

Akamai ofrece más criterios a la hora de seleccionar las herramientas adecuadas para fortalecer su base de seguridad sin interferir en la experiencia de los usuarios. Lograr estos objetivos juntos supondrá una gran ventaja para mantener la confianza y la fidelidad de sus valiosos clientes y atraer a otros nuevos. Los botnets trabajan sin descanso, pero usted los puede vencer.

Obtenga más información acerca de lo que ofrece Akamai a las empresas de servicios financieros.