La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA, por sus siglas en inglés) agregó el lunes la autenticación de un solo factor a la breve lista de prácticas de ciberseguridad «excepcionalmente riesgosas» que podrían exponer la infraestructura crítica, así como las entidades gubernamentales y del sector privado, a ataques cibernéticos devastadores.
La autenticación de un solo factor es un método para que los usuarios inicien sesión en sitios web y sistemas remotos mediante el uso de una sola forma de verificar su identidad, generalmente una combinación de nombre de usuario y contraseña. Se considera de baja seguridad, ya que depende en gran medida de «hacer coincidir un factor, como una contraseña, con un nombre de usuario para obtener acceso a un sistema».
Pero con contraseñas débiles, reutilizadas y comunes que representan una grave amenaza y que emergen como un lucrativo vector de ataque, el uso de la autenticación de un solo factor puede generar un riesgo innecesario de compromiso y aumentar la posibilidad de que los ciberdelincuentes se apoderen de la cuenta.
Con el último desarrollo, la lista de malas prácticas ahora abarca:
- Uso de software no compatible (o al final de su vida útil)
- Uso de contraseñas y credenciales conocidas / fijas / predeterminadas, y
- Uso de autenticación de un solo factor para el acceso remoto o administrativo a los sistemas
“Aunque todas las organizaciones deben evitar estas Malas Prácticas, son especialmente peligrosas en las organizaciones que soportan Infraestructura Crítica o Funciones Críticas Nacionales”, dijo CISA.
«La presencia de estas Malas Prácticas en organizaciones que apoyan Infraestructura Crítica o NCF es excepcionalmente peligrosa y aumenta el riesgo para nuestra infraestructura crítica, de la que dependemos para la seguridad nacional, la estabilidad económica y la vida, la salud y la seguridad del público», dijo el señaló la agencia.
Además, CISA está considerando agregar una serie de otras prácticas al catálogo, que incluyen:
- Usar funciones criptográficas débiles o tamaños de clave
- Topologías de red plana
- Fusión de redes IT y OT
- Todos son administradores (falta de privilegios mínimos)
- Utilización de sistemas previamente comprometidos sin desinfección
- Transmisión de tráfico confidencial, sin cifrar/sin autenticar a través de redes no controladas, y
- Controles físicos deficientes
