Una persona promedio tiene 100 contraseñas de inicio de sesión para recordar, de acuerdo con la compañía de Seguridad Informática ESET. Los ladrones de información están atentos a cualquier tropiezo nuestro para hurtarlas.
Las contraseñas son las llaves virtuales del mundo digital, ya que proporcionan acceso a servicios de banca en línea, correo electrónico y redes sociales, cuentas como Netflix o Uber, así como a todos los datos alojados en la nube.
Los expertos de ESET advierten que al obtener nuestros inicios de sesión, un cibercriminal podría, entre otras acciones, robar información de identidad personal y venderla a otros delincuentes en foros o vender el acceso a nuestras cuenta en sí.
Los sitios criminales de la deep web comercializan rápidamente los inicios de sesión de terceros. Los compradores podrían utilizar nuestros accesos para obtener desde traslados en taxi gratuitos y streaming de video, en el menor de los casos.
Lo más preocupantes es que los delincuentes pueden utilizar nuestras contraseñas para desbloquear otras cuentas en las que usen la misma clave.
¡Ojo! Estas son las 5 técnicas que más utilizan los ciberdelincuentes para robar contraseñas.
La ingeniería social es un truco psicológico diseñado para convencer a alguien de hacer algo que no debería, y el phishing es la forma de ingeniería social más conocida. Mediante este tipo de ataques los cibercriminales se hacen pasar por entidades legítimas como amigos, familiares, organizaciones públicas y empresas conocidas.
El correo electrónico o texto que se reciba se verá auténtico, pero incluirá un enlace malicioso o un archivo adjunto que, en caso de hacer clic en él, descargará malware o llevará a una página que solicitará que ingreses datos personales. Afortunadamente, hay muchas maneras de detectar las señales de advertencia de un ataque de phishing.
¿Sabes qué es el derecho al olvido en la WEB?
Los correos electrónicos de phishing son el vector principal para este tipo de ataque, aunque también se puede ser víctima de malware al hacer clic en un anuncio malicio (publicidad maliciosa o malvertising) o incluso al visitar un sitio web previamente comprometido (drive-by-download).
Existen múltiples variedades de malware que roban información, pero algunos de los más comunes están diseñados para registrar las pulsaciones de teclas o tomar capturas de pantalla de un dispositivo y enviarlas a los atacantes. Entre ellos, los keyloggers.
El número promedio de contraseñas que una persona tiene que administrar aumentó en un estimado del 25% interanual en 2020.
Esto trae como consecuencia que la mayoría de las personas se incline por utilizar contraseñas fáciles de recordar y, en consecuencia, de adivinar, y que cometa el error de utilizar las mismas contraseñas para acceder a múltiples sitios y servicios.
Sin embargo, lo que muchas veces no se tiene en cuenta es que las contraseñas débiles pueden abrir la puerta a las denominadas técnicas de fuerza bruta para descubrir contraseñas.
Uno de los tipos de fuerza bruta más comunes es el credential stuffing. En este caso, los atacantes vuelcan grandes volúmenes de combinaciones de nombre de usuario/contraseñas previamente comprometidas en un software automatizado.
Luego, la herramienta prueba las credenciales en un gran número de sitios con la esperanza de encontrar una coincidencia. De esta manera, los cibercriminales podrían desbloquear varias cuentas con una sola contraseña.
El año pasado hubo aproximadamente 193 billones de intentos de este tipo en todo el mundo, según una estimación. Hasta el gobierno canadiense fue víctima de este ataque.
Otra técnica de fuerza bruta es el password spraying. En este caso, los criminales utilizan software automatizado para probar una lista de contraseñas de uso común contra una cuenta.
Aunque los cibercriminales cuentan con herramientas automatizadas para realizar los ataques de fuerza bruta y descubrir contraseñas, a veces ni siquiera las necesitan: incluso las conjeturas simples, a diferencia del enfoque más sistemático utilizado en los ataques de fuerza bruta, pueden servir para hacer el trabajo.
Por ejemplo, la contraseña más común de 2021 fue “123456”, seguida de “123456789”. Y si se recicla la misma contraseña o se usa un derivado cercano para acceder a varias cuentas, entonces se le facilita la tarea a los atacantes, sumando un riesgo adicional de robo de identidad y fraude.
Sweetie, el avatar creado para detectar pedófilos en internet
Una versión más de alta tecnología, conocida como un ataque “man-in-the-middle” (hombre en medio) involucra escuchas de WiFi, y puede permitir a los criminales informáticos dentro de conexiones WiFi públicas espiar la contraseña mientras se la ingresa si está conectado a la misma red.
Activar la autenticación de doble factor (2FA) en todas las cuentas.
Utilizar solo contraseñas o frases de contraseña, seguras y únicas en todas las cuentas en línea, especialmente en cuentas bancarias, de correo electrónico y de redes sociales.
Evitar reutilizar tus credenciales de inicio de sesión en varias cuentas.
Utilizar un gestor de contraseñas, que almacena contraseñas seguras y únicas para cada sitio y cuenta, haciendo que los inicios de sesión sean simples y seguros.
Cambiar la contraseña inmediatamente si un proveedor advierte que los datos pueden haber sido comprometidos.
Usar solo sitios HTTPS para iniciar sesión.
No hacer clic en enlaces ni abrir archivos adjuntos en correos electrónicos no solicitados
Solo descargar aplicaciones de tiendas de aplicaciones oficiales.
Invertir en un software de seguridad de un proveedor de buena reputación para todos los dispositivos.
Asegurarse de que todos los sistemas operativos y aplicaciones están actualizados en su última versión.
Tener cuidado con las miradas indiscretas por encima del hombro en espacios públicos.
Nunca iniciar sesión en una cuenta si se está conectado a una red WiFi pública. En caso que se deba usar una red de este tipo, se recomienda utilizar una VPN.