Microsoft Authenticator para hacer cumplir la coincidencia de números

La autenticación de múltiples factores es un elemento esencial de la administración de acceso e identidad, pero no es a prueba de fallas ya que los atacantes utilizan cada vez más tácticas de ingeniería social para eludir los controles de MFA. Como una forma de aumentar la seguridad de MFA, Microsoft ofrece Hacer cumplir la «Coincidencia de números» para todos los usuarios de su aplicación Microsoft Authenticator.

Anteriormente, el flujo de proceso de Microsoft Authenticator solo mostraba un aviso en la aplicación cuando el usuario intentaba iniciar sesión en una aplicación. El usuario tocó el aviso en el dispositivo secundario para autorizar la transacción. La coincidencia de números agrega otro paso al obligar a los usuarios a usar el dispositivo secundario y ver la pantalla de inicio de sesión en el dispositivo principal. En lugar de simplemente tocar el indicador, ahora se requiere que los usuarios ingresen un número que se muestra en la pantalla de inicio de sesión de la aplicación. Por ejemplo, una persona que inicia sesión en Office 365 verá un mensaje con un código numérico en la pantalla de inicio de sesión inicial. La persona ingresaría este código en la aplicación de autenticación en su dispositivo secundario para aprobar la transacción. No hay forma de negarse a ingresar el código.

«La coincidencia de números es una mejora de seguridad importante con respecto a las notificaciones tradicionales de segundo factor en Microsoft Authenticator». Eso es lo que dijo Microsoft en un artículo de soporte.. «Eliminaremos los controles de administración y aplicaremos la experiencia de coincidencia de números en todo el inquilino para todos los usuarios de notificaciones push de Microsoft Authenticator a partir del 8 de mayo de 2023».

Los ataques son más comunes

La coincidencia de números se introdujo originalmente como una función opcional en Microsoft Authenticator en octubre de 2022 después de que los atacantes comenzaran a enviar spam a los usuarios con solicitudes de notificación automática de MFA. Los usuarios solo dieron acceso accidentalmente a los atacantes para detener las notificaciones de spam. La coincidencia de números está diseñada para ayudar a los usuarios a evitar la aprobación accidental de intentos de autenticación incorrectos. La fatiga de MFA, la abrumación de los usuarios con las solicitudes de notificación automática de MFA, se ha «vuelto más común», dijo el comunicado. Microsoft que ha observado casi 41 000 sesiones de Azure Active Directory Protection con múltiples intentos fallidos de MFA en agosto de 2022, en comparación con las 32 442 del año anterior. Había 382.000 ataquesMicrosoft utilizará esta táctica en 2022, dijo Microsoft.

También se ha utilizado recientemente en ataques contra Uber, Microsoft y Okta.

La coincidencia del número de autenticador se utiliza para acciones como restablecimiento de contraseña, registro y acceso a Active Directory. A los usuarios también se les presenta un contexto adicional, p. B. el nombre de la aplicación y la ubicación del intento de inicio de sesión para evitar aprobaciones accidentales. La idea detrás de esto es que los usuarios no pueden aceptar un intento de inicio de sesión si no están frente a la pantalla de inicio de sesión en ese momento.

Cómo habilitar la coincidencia de números

Si bien la coincidencia de números se habilitó de forma predeterminada para Microsoft Azure en febrero, los usuarios encontrarán que algunos servicios adoptarán esta característica antes que otros. Microsoft recomienda habilitar la coincidencia de números por adelantado para «garantizar un comportamiento coherente». Los administradores pueden habilitar la configuración navegando a Seguridad – Métodos de autenticación – Microsoft Authenticator en el portal de Azure.

1. Sobre el Activar y apuntar pestaña, haga clic Sí Y Todos los usuarios para habilitar la política para todos o agregar usuarios y grupos seleccionados. El modo de autenticación para estos usuarios y grupos debería ser Cualquier o Prensa.
2. Sobre el Configurar pestaña para Se requiere coincidencia de números para las notificaciones automáticascambiar estado A Permitidoseleccione a quién desea incluir o excluir de la coincidencia de números y haga clic en Guardar en la computadora.

Los administradores también pueden limitar la cantidad de solicitudes de autenticación MFA permitidas por usuario y bloquear las cuentas o notificar al equipo de seguridad cuando se exceda el límite.

Los usuarios deben actualizar a la última versión de Microsoft Authenticator en sus dispositivos móviles.

La coincidencia de números no funciona para dispositivos portátiles como el Apple Watch u otros dispositivos Android. En cambio, los usuarios deben ingresar el número a través del dispositivo móvil.