Te recordamos 10 métodos con los que los cibercriminales pueden intentar robar tus contraseñas de empresa. ¡Toma nota! y aprende a identificar las técnicas más habituales y a evitarlas para proteger la información de nuestra organización.
Ataque de fuerza bruta
Se produce cuando el ciberdelincuente de forma repetitiva e insistente prueba muchas combinaciones de caracteres para entrar en un sistema, utilizando un software específico y esperando a que se produzca la coincidencia.
Tipos de ataque de fuerza bruta
a) Ataque de diccionario
Tomando como referencia la mala práctica de utilizar una sola palabra como contraseña, los ciberdelincuentes prueban todas las palabras de un diccionario para vulnerar el sistema. ¿Cómo lo hacen? Con un software que les permite introducir contraseñas de manera automática.
Existe también otra fórmula más avanzada de este ataque en la que el ciberdelincuente reúne primero información personal sobre el usuario –fecha de nacimiento, nombre de familiares o de mascotas, lugar de residencia…– para después probarla como contraseña, ya que es muy habitual utilizar claves que resultan fáciles de recordar.
¿Cómo evitarlo?
Utiliza siempre contraseñas seguras y robustas.
- Con al menos 8 caracteres y que contengan minúsculas, mayúsculas, números y símbolos)
- Que no tengan palabras sencillas en cualquier idioma
- Que no sean nombres propios, fechas, lugares o datos de carácter personal.
- Que no sean palabras excesivamente cortas.
- Que estén formadas por caracteres próximos en el teclado.
- Que no sean combinaciones de elementos o palabras fácilmente adivinables (nombre + fecha de nacimiento)
b) Relleno de credenciales
En este tipo de ataques se utilizan credenciales robadas en brechas de seguridad, aprovechando que, en numerosas ocasiones, se reutilizan las de aplicaciones personales en las del entorno corporativo. ¿Qué método emplean? Prueban de forma automatizada pares de nombres de usuario y contraseñas para entrar en cuentas y perfiles online.
¿Cómo evitarlo?
- Habilita la autenticación de doble factor en las cuentas online.
- Usa la huella digital.
- Emplea tokens criptográficos hardware.
- Utiliza sistemas OTP (One Time Password)
- Con tarjetas de coordenadas o contraseñas únicas
- Usa la cuenta de empresa solo para registrate en servicios corporativos.
c) Ataque de pulverización de contraseñas
El ciberdelincuente utiliza un gran número de contraseñas robadas en un grupo de cuentas para obtener acceso y, con el objetivo de no levantar sospechas y no ser detectado, utiliza programas para limitar el número de intentos de acceso.
¿Cómo evitarlo?
Utiliza herramientas que te obliguen a cumplir ciertos requisitos:
- Periodos de validez
- Formatos de contraseñas
- Longitud mínima
- Tipo de caracteres
- Reglas semánticas
- Límite de intentos de autenticación
- Cifrado de claves
Técnicas de ingeniería social
Utilizan diferentes métodos para ganarse la confianza del usuario y obtener información privada, acceso a sistemas o comprar en sitios web fraudulentos como suplantar la identidad de una entidad de confianza –banco, ministerio, proveedor de servicios…–.
- En el caso del Phishing se utiliza un correo electrónico con un asunto urgente que suele contener un enlace a un sitio web ilegítimo.
- En el caso del Smishing utilizan el envío de un SMS.
- En el caso delVishing lo hacen a través de una llamada telefónica.
- En el caso del Warshipping lo hacen mediante un regalo electrónico infectado, que se conectará a nuestra red.
- En el shoulder surfinglos ciberdelincuentes espían a la gente que utiliza sus dispositivos en público para robar sus contraseñas.
- En el Ataque de keylogger usanun softwareespía para rastrear y registrar lo que se escribe en un teclado, sin que el usuario lo perciba. Es uno de los malware más invasivos y puede infectar un equipo a través de un enlace, un USB o mediante un dispositivo hardware.
- En el Ataque Man-in-the-middle los ciberdelincuente interceptan la comunicación entre varios interlocutores para suplantar su identidad, acceder a la información y modificarla a su favor, tomando el control de todas sus comunicaciones.
¿Cómo evitarlos?
> Aprende a identificar la legitimidad de los correos y de los adjuntos que recibes.
> Evita las conexiones de riesgo como wifis públicas.
> Aplica consejos de navegación segura.
> Instala en tus dispositivos software antimalware
> Comprueba si la web es legítima antes de introducir tus datos.
> Habilita funciones biométricas para iniciar sesión en tus dispositivos móviles.
> Revisa que no tienes ningún dispositivo desconocido conectado a tu ordenador.
