Reddit hack revela limitaciones de MFA, fortalezas de capacitación en seguridad

Un ataque reciente de una empresa conocida muestra que los atacantes encuentran cada vez más formas de eludir los esquemas de autenticación multifactor (MFA), por lo que los empleados siguen siendo una última línea de defensa importante.

El 9 de enero, Reddit informó a sus usuarios que un atacante había convencido con éxito a un empleado para que hiciera clic en un enlace en un correo electrónico enviado como parte de un ataque de phishing selectivo, lo que resultó en «un sitio web que se comporta como nuestra puerta de enlace de intranet en un intento de robar credenciales». y fichas de segundo factor».

El compromiso de las credenciales del empleado permitió al atacante navegar por los sistemas de Reddit y acceder a documentos, tableros y códigos internos de Reddit durante unas horas. dice en su aviso.

La compañía aún está investigando, pero aún no hay evidencia de que el atacante haya obtenido acceso a los datos del usuario o a los sistemas de producción, dijo el CTO de Reddit, Chris Slowe (también conocido como KeyserSosa). declaró en un AMA de seguimiento.

«Es extremadamente difícil probar un resultado negativo y también por qué, como se mencionó, estamos investigando más a fondo», dijo. «La carga de la prueba actual sugiere que el acceso estaba restringido fuera de la pila de producción principal».

Reddit es la última empresa de software en ser víctima de un ataque de ingeniería social que robó las credenciales de los trabajadores y violó sistemas confidenciales. A fines de enero, Riot Games, el creador del popular juego multijugador League of Legends, anunció que había sufrido un compromiso «a través de un ataque de ingeniería social», con los actores de amenazas robando código y retrasando la capacidad de la organización para publicar actualizaciones. Cuatro meses antes, los atacantes habían comprometido y robado con éxito el código fuente de Rockstar Games Studio de Take Two Interactive, creadores de la franquicia Grand Theft Auto. con credenciales comprometidas.

El costo de incluso las infracciones de seguridad menores causadas por ataques de phishing y robo de credenciales sigue siendo alto. En una encuesta de 1350 profesionales de TI y gerentes de seguridad de TI, tres cuartas partes (75 %) dijeron que su organización había sufrido un ataque de correo electrónico exitoso en el último año. el informe Tendencias de seguridad del correo electrónico de 2023. publicado por Barracuda Networks, un proveedor de aplicaciones y protección de datos. Además, el ataque más costoso de este tipo causó a la organización promedio más de $1 millón en daños y costos de recuperación.

Aún así, las organizaciones se sienten preparadas para lidiar tanto con el phishing como con el spear phishing, y solo el 26 % y el 21 % de los encuestados se preocupan por no estar preparados. Eso es una mejora del 47% y el 36%, respectivamente, que temían que sus empresas no estuvieran preparadas para 2019. Sin embargo, las preocupaciones sobre la apropiación de cuentas se han vuelto más comunes, dice el informe.

«[W]Si bien las organizaciones se sienten mejor preparadas para prevenir los ataques de phishing, están menos preparadas para la apropiación de cuentas, que suele ser un subproducto de un ataque de phishing exitoso”, afirma el informe. «La apropiación de cuentas también es un problema mayor para las empresas en las que la mayoría de sus empleados trabajan de forma remota».

Otra prueba de que 2FA no es suficiente

Para mitigar los ataques basados ​​en credenciales, las organizaciones están cambiando a MFA, generalmente en forma de autenticación de dos factores (2FA), donde se envía una contraseña de un solo uso por SMS o correo electrónico. Slow de Reddit, por ejemplo, confirmó que la empresa requiere 2FA. «Sí. Es obligatorio para todos los empleados, tanto para su uso en Reddit como para todos los accesos internos”. dijo durante el AMA.

Pero técnicas como la fatiga MFA o «bombardeo» – como se ve con Ataque de Uber el otoño pasado — Haga que eludir 2FA sea un simple juego de números. En este escenario, los atacantes envían repetidamente ataques de phishing dirigidos a los empleados hasta que alguien se cansa de las notificaciones y revela sus credenciales y su token de contraseña de un solo uso.

Comienza la transición al siguiente nivel más allá de 2FA. Por ejemplo, los proveedores de tecnología de administración de acceso e identidad están agregando más información sobre las solicitudes de acceso, como: B. la ubicación del usuario para agregar contexto que se puede usar para determinar si el acceso debe ser autenticado, dice Tonia Dudley, CISO en Cofense, una firma de protección contra phishing.

«Los actores de amenazas siempre buscarán formas de eludir los controles técnicos que implementamos», dice ella. «Las organizaciones aún deben implementar el uso de MFA y optimizar aún más los controles para proteger a los empleados».

Los empleados son la clave de la ciberdefensa

Irónicamente, el truco de Reddit también demuestra los beneficios que puede traer la capacitación de los empleados. El empleado sospechó que algo andaba mal después de ingresar las credenciales en la página de phishing y se comunicó con el departamento de TI de Reddit poco después. Esto redujo la ventana del atacante y limitó el daño.

«Es hora de que dejemos de ver a las personas como debilidades y, en cambio, las veamos como la fortaleza que son o pueden ser para las empresas», dice Dudley. «Las organizaciones solo pueden simplificar los controles técnicos… Los empleados pueden ofrecer ese contexto adicional: ‘Esto simplemente no parece correcto'».

El empleado en el centro de la violación de Reddit no enfrentará una acción punitiva a largo plazo, pero se le ha negado todo acceso hasta que se resuelva el problema. Dijo que Reddit es lento en la secuela AMA.

«El problema, como siempre, es que solo se necesita una persona para enamorarse de [a phish],» él dijoy agregó: «Estoy extremadamente agradecido de que en este caso el empleado informó que sucedió cuando se dio cuenta de que había sucedido».