Microsoft revela que el 99,9% de las cuentas comprometidas no usa autenticación reforzada

La doble autenticación, si bien no es un método de protección infalible porque no hay ninguno que lo sea, sí ha demostrado ser uno de los más efectivos a la hora de evitar perder el acceso a la cuenta. La última muestra de ello la ofrece Microsoft, cuya participación en la conferencia de seguridad RSA la semana pasada ha dejado más de un dato digno de mención, además de la presentación de algún producto

Por ejemplo, el que destacamos en el titular acerca de la doble autenticación o autenticación multifactor, y es que según revela la compañía el 99,9% de las cuentas comprometidas que han detectado carecían de esta capa de protección adicional. Es un dato a tener en consideración porque hablamos de la responsable de uno de los servicios más populares del mundo: en números gruesos, rastrean más de 30 000 millones de inicios de sesión diarios y más de mil millones de usuarios activos al mes.

Sus conclusiones en este sentido son, por lo tanto, merecedoras de atención: la media de cuentas comprometidas que detectan al mes gira en torno al 0,5%, lo que en enero de 2020 supuso unos 1,2 millones; de las cuales, el 99,9% no utilizaba la doble autenticación. Esto en el plano general. En el específico de las empresas no mejora mucho y solo el 11% de los usuarios profesionales tenían activada la doble autenticación en el mismo periodo de tiempo.

La doble autenticación mejora exponencialmente la seguridad

Como decimos, utilizar la doble autenticación no presupone estar blindado ante un ataque, pero si mejora exponencialmente la seguridad de la cuenta. De acuerdo a lo expuesto por Microsoft, se trata de «una solución que detiene la mayoría de los ataques automáticos de cuentas«, que son los más efectivos en términos generales para ganar acceso ilegítimo.

Así, las medidas de protección adoptadas por los servicios han dejado obsoletos ataques como los de fuerza bruta, mientras que otros como el «password spraying», mediante el cual se prueba una contraseña común junto con una lista de nombres de usuario hasta que se acierta; o la repetición de contraseñas, para la que el atacante toma credenciales filtradas de otros servicios y las prueba en una cuenta de Microsoft, esperando que el usuario las reutilice.

Esto último suele pasar muy a menudo, a pesar de que se trata de uno de los errores más advertidos al implantar una guía de buenas prácticas en la gestión de contraseñas. Microsoft lo certifica: «Sabemos que el 60% de los usuarios reutilizan las contraseñas. Es muy común», explica un experto de Microsoft. Y lo que es peor: «No se confunda. La gente reutiliza sus cuentas empresariales en entornos no empresariales».

A este respecto, Microsoft señala que la gran mayoría de los ataques de «password spraying» o repetición de contraseñas que logran su objetivo se llevan a cabo y se dirigen a protocolos de autenticación heredados más antiguos, como SMTP, IMAP, POP y otros. De ahí que se insista en la activación de la doble autenticación o autenticación multifactor, ya que no se restringe a dos pasos o a dos únicos métodos.

En concreto, el 99% de los ataques de «password spraying» y el 97% de los ataques de repetición de contraseñas se realizan mediante este tipo de protocolos de autenticación heredados, debido precisamente a que no soportan métodos de autenticación multifactor. No hay discusión sobre este tema para Microsoft, que advierte una reducción de la efectividad de los ataques de un 67% cuando el usuario deshabilita los protocolos de autenticación heredados.