Microsoft dice que los usuarios que habilitan la autenticación multifactor (MFA) para sus cuentas terminarán bloqueando el 99.9% de los ataques automáticos. Los servicios en la nube de Microsoft están viendo 300 millones de intentos de inicio de sesión fraudulentos todos los días. MFA puede ayudar a proteger las cuentas contra muchos tipos de ataques de adquisición de cuentas.

La recomendación es válida no solo para las cuentas de Microsoft sino también para cualquier otro perfil, en cualquier otro sitio web o servicio en línea.

Si el proveedor de servicios admite la autenticación multifactor, Microsoft recomienda usarla, independientemente de si es algo tan simple como contraseñas de un solo uso basadas en SMS o soluciones biométricas avanzadas.

"Según nuestros estudios, si se usa MFA es menos probable que su cuenta se vea comprometida en al menos un 99,9%", dijo Alex Weinert, Gerente de Programa de Grupo para Seguridad y Protección de Identidad en Microsoft.

Las contraseñas ya no importan

Weinert dijo que los viejos consejos como "nunca use una contraseña que se haya visto en una violación" o "use contraseñas realmente largas" realmente no ayudan.

Él debería saberlo. Weinert fue uno de los ingenieros de Microsoft que trabajó para prohibir las contraseñas que se convirtieron en parte de las listas públicas de incumplimiento de la cuenta de Microsoft y los sistemas Azure AD en 2016. A pesar del bloqueo de credenciales filtradas o contraseñas sencillas, los atacantes han continuado comprometiendo las cuentas de Microsoft en los años siguientes.

Él atribuyó esto al hecho de que las contraseñas o su complejidad ya no importan. Hoy en día, los atacantes tienen diferentes métodos a su disposición para obtener las credenciales de los usuarios y, en la mayoría de los casos, la contraseña no importa.

Con más de 300 millones de intentos de inicio de sesión fraudulentos dirigidos a los servicios en la nube de Microsoft todos los días, Weinert dice que habilitar soluciones de autenticación de múltiples factores bloquea el 99,9% de estos intentos de inicio de sesión no autorizados, incluso si los delincuentes tienen una copia de la contraseña actual del usuario.

El  0,1% restante representa ataques más sofisticados que usan soluciones técnicas para capturar tokens MFA, pero estos ataques aún son muy raros en comparación con el "zumbido diario" de las botnets que atacan sistemas de credenciales tradicionales.

Google dijo lo mismo en mayo

Microsoft no es el primero de su tipo en mencionar tales números. En mayo pasado, Google dijo que los usuarios que agregaron un número de teléfono de recuperación a sus cuentas (y habilitaron indirectamente un MFA basado en SMS) también estaban mejorando la seguridad de su cuenta.

"Nuestra investigación muestra que simplemente agregar un número de teléfono de recuperación a su cuenta de Google puede bloquear hasta el 100% de los bots automatizados, el 99% de los ataques de phishing masivos y el 66% de los ataques dirigidos que ocurrieron durante nuestra investigación", dijo Google en ese momento.

Cuando tanto Google como Microsoft recomiendan lo mismo, probablemente sea un buen momento para comenzar a seguir sus consejos.

Fuente: ZDNet