Tu próxima ofensiva será la de siempre.

OPINIÓN

Su perímetro está protegido, su SOC está en alerta máxima durante los días cero y sus firewalls están impecables. Pero mientras estás mirando las vallas, el enemigo entra por la puerta principal con una sonrisa y una tarjeta de identificación de empleado válida.

En el panorama de amenazas actual, los atacantes no siempre «irrumpen», sino que simplemente inician sesión. Casi una de cada tres infracciones cibernéticas ahora involucra credenciales válidas de los empleados, lo que lo convierte en un vector de ataque líder. Armados con credenciales robadas y potenciados por IA, los actores de amenazas ahora actúan como colegas de confianza, convirtiendo la identidad de su fuerza laboral en su mayor vulnerabilidad.

El robo de credenciales no es nada nuevo. Lo que ha cambiado es la escala y el grado en que la IA ha hecho que estos ataques sean más rápidos, más baratos y más fáciles de llevar a cabo. Las campañas de phishing que antes requerían habilidades técnicas reales ahora se pueden generar a escala en minutos. Las credenciales robadas se pueden probar e implementar automáticamente en todas las plataformas. El resultado es una amenaza difícil de detectar porque no parece maliciosa y que se está acelerando gracias a la IA.

Relacionado:Microsoft propone mejores identidades y barreras de seguridad para los agentes de IA

Los equipos de seguridad a menudo subestiman cuán profesional se ha vuelto el ecosistema de robo de credenciales. Los actores de amenazas han desarrollado modelos de negocio basados ​​en encontrar y validar credenciales robadas y luego vender ese acceso a otros. Los compradores ya no son sólo ciberdelincuentes motivados financieramente. Esto incluye a los actores de los Estados-nación que compran y utilizan credenciales de foros de la web oscura para lanzar campañas de intrusión que parecen delitos cibernéticos habituales con el fin de evadir a los perpetradores.

Esta profesionalización es lo que hace que la cadena de suministro sea un objetivo tan peligroso. En un panorama de dependencias interconectadas, un único conjunto de credenciales puede servir como clave maestra. Los atacantes entienden perfectamente este «efecto de red». Trabajan juntos, comparten guiones y se venden acceso entre sí para maximizar sus ganancias con el menor riesgo posible.

Mientras tanto, los defensores se quedan atrás porque no compartimos información con el mismo nivel de transparencia. Si bien los atacantes operan como una organización profesional, los equipos de seguridad suelen estar aislados por marcos de proveedores privados y una cultura persistente de culpar a las víctimas. Esta falta de comunicación facilita que los atacantes lleven a cabo ataques a la cadena de suministro. Los atacantes trabajan juntos para entrar mientras nosotros estamos demasiado aislados para ver los patrones.

La IA ha cambiado la economía del robo de credenciales al eliminar las barreras de entrada que antes mantenían alejados a los actores menos experimentados. En el pasado, lanzar un ataque a escala basado en credenciales requería habilidad técnica real; Tenías que escribir scripts personalizados para validar los inicios de sesión, moverte a través de una red sin ser detectado e integrar tu actividad en patrones de tráfico normales para evitar la detección.

Relacionado:Cada vez más atacantes inician sesión en lugar de irrumpir

Ahora se ha eliminado este obstáculo técnico, no sólo para el acceso, sino también para la estancia. Las herramientas de inteligencia artificial permiten a un atacante hacerse cargo de un archivo de credenciales robadas y automatizar su implementación en todas las plataformas al instante. Una vez dentro, las herramientas impulsadas por IA pueden crear patrones de comportamiento convincentes, imitar la actividad normal del usuario y ayudar a los atacantes a navegar por una red de maneras que parecen indistinguibles de las operaciones legítimas, tareas que alguna vez requirieron mano de obra sofisticada y herramientas personalizadas. Ya sea un ataque masivo o un ataque dirigido, ahora pueden hacerlo a una velocidad que las defensas tradicionales no pueden detener.

Según una investigación, la cantidad de malware que roba información (la principal forma en que se roban estas credenciales en primer lugar) ha aumentado en un 84% en el último año. A medida que se roban más credenciales y la IA facilita su uso como arma, el punto ciego para los equipos de seguridad continúa creciendo.

Cambiando el modelo de detección

Cerrar esta brecha requiere un cambio fundamental en el propio modelo de detección. Si un atacante se autentica con credenciales reales y opera durante el horario laboral, las alertas tradicionales suelen permanecer silenciosas. Para recuperar la ventaja, los profesionales deben priorizar estas acciones:

Relacionado:La adquisición de StrongDM por parte de Delinea destaca el papel cambiante de PAM

Mover el monitoreo de identidad en sentido ascendente: El monitoreo de la web oscura y los foros clandestinos debe integrarse en los flujos de trabajo de respuesta activa, no en informes mensuales. Una vez que aparece una coincidencia externa, esto debería activar la rotación automática de credenciales y la autenticación multifactor obligatoria (MFA) mucho antes de que esas credenciales lleguen a su entorno de producción.

Implementar MFA “resistente al phishing”: Los SMS tradicionales o la MFA basada en push ya no pueden detener los ataques modernos de asesor en el medio. Pase a claves de hardware compatibles con FIDO2 o autenticación basada en certificados. Si «algo que tienes» puede ser interceptado por un proxy, ya no es un segundo factor seguro.

Trate la autenticación como un proceso continuo: Dígale adiós al inicio de sesión «binario», en el que se confía en un usuario indefinidamente después de una solicitud MFA exitosa. Introducir modelos de confianza continuamente adaptables que reevalúen los riesgos en tiempo real basándose en señales de comportamiento, como cambios repentinos en el ritmo de escritura, acceso inusual a archivos o inicios de sesión de “viajes imposibles” desde diferentes ubicaciones.

Proteja la mesa de ayuda de la ingeniería social de IA: La clonación de voz generada por IA convierte la llamada de “contraseña olvidada” en una enorme vulnerabilidad de seguridad. Configure procesos de verificación fuera de banda para tickets del servicio de asistencia técnica, p. Como solicitar una videollamada con un administrador conocido o un token físico para garantizar que la persona que solicita un restablecimiento de credenciales no sea un impostor impulsado por IA.

Comprobando la “propagación de identidad”: Realice un inventario de integraciones de terceros y cuentas de servicio que a menudo dependen de credenciales estáticas, omiten MFA y rara vez se rotan. Haga cumplir el principio de privilegio mínimo y asegúrese de que cada cuenta de servicio tenga una fecha de vencimiento definida y un propietario humano específico.

Incrementar el compromiso de credenciales como señal de prioridad: Cuando surge una identificación comprometida, la respuesta debe ser inmediata y holística. No se trata sólo de cambiar una contraseña, sino también de mirar hacia atrás y preguntar: «¿A qué accedió esta identidad en las 48 horas previas a la alerta?». Los equipos de seguridad deben tratar una alerta de «inicio de sesión válido» con la misma urgencia que una detección de malware.

El creciente cambio hacia ataques basados ​​en credenciales es un movimiento calculado hacia el camino de menor resistencia: bajo riesgo, altamente automatizado y altamente efectivo para evadir incluso los perímetros más difíciles. Si no evolucionamos nuestros modelos de verificación, básicamente estaremos dejando la llave en el contacto. Necesitamos dejar de ver la identidad como una puerta estática y comenzar a tratarla como una señal continua y de alta prioridad; de lo contrario, continuaremos ignorando las señales de advertencia hasta que el alto costo de una infracción las haga imposible pasar por alto.

No te pierdas el último podcast de Dark Reading Confidential. Los jefes de seguridad tienen que ver con la IA: este es el motivo: Aquí, el CISO de Reddit, Frederick Lee, y el analista de Omdia, Dave Gruber, analizan la IA y el aprendizaje automático en el SOC, el éxito (o no) de las implementaciones y lo que depara el futuro para los productos de seguridad de IA. ¡Escuche ahora!