Navegando por la obsolescencia: los principales problemas de la autenticación heredada en los negocios

Autenticación basada en conocimiento

Como su nombre indica, la autenticación basada en conocimientos utiliza cosas que solo la persona autorizada correspondiente debería conocer para controlar el acceso a una cuenta o servicio (las contraseñas son técnicamente una forma de KBA).

KBA estática

Esto implica un conjunto previamente acordado de secretos compartidos, generalmente en forma de preguntas y respuestas, como "¿cuál era el nombre de su primera mascota?".

KBA dinámica

Esto se basa en preguntas de una base más amplia de información personal o privilegiada y no requiere que el individuo haya proporcionado respuestas de antemano. Las preguntas pueden ser creadas a partir de un rango de datos disponibles públicamente, como registros de crédito e información personal disponible en línea, y no necesitan basarse en una relación existente con el cliente.

Desafortunadamente, la autenticación basada en conocimientos tiene fallas fatales, siendo tanto fácil de superar para los estafadores como una causa de fricción para los usuarios legítimos. De hecho, Forbes anunció la muerte de la autenticación basada en conocimientos hace mucho tiempo, en 2018, señalando que un estudio de Google encontró que menos de la mitad de los usuarios podían recordar lo que habían puesto como su comida favorita un año antes. Mientras tanto, los hackers podían adivinar la respuesta correcta a la misma pregunta casi el 20% de las veces (¿pizza, alguien?)

Si bien la KBA dinámica puede ser ligeramente más segura que la KBA estática, su dependencia de información que los estafadores pueden acceder con relativa facilidad la hace aún muy vulnerable. Además, la naturaleza más amplia de las preguntas potenciales crea aún más fricción y frustración para los usuarios.

Autenticación de dos factores

La autenticación en dos pasos es un método de autenticación electrónica que requiere que un usuario presente dos tipos diferentes de evidencia antes de poder acceder. La evidencia solicitada debe ser de dos tipos diferentes de un posible tres: conocimiento (algo que solo el usuario sabe), posesión (algo que solo el usuario tiene) e inherencia (algo que solo el usuario es). A veces se utiliza un autenticador de terceros (TPA), que es una aplicación que genera aleatoriamente un código de un solo uso que se usa como la segunda pieza de información. Otros sistemas envían un código a través de un mensaje de texto SMS.

La autenticación de dos factores pretende ser más segura que la autenticación basada en conocimientos, ya que impide que un usuario no autorizado simplemente robe o adivine una contraseña o información personal. Desafortunadamente, también es altamente vulnerable a los actores malintencionados

Esto se debe a algo que llamamos la experiencia de usuario colapsada. La autenticación de dos factores está diseñada para crear separación entre la actividad, como comprar un artículo en una tienda en línea o acceder a su cuenta bancaria, y el factor secundario utilizado para la autenticación. Pero ahora que hacemos tantas de estas cosas en nuestros teléfonos móviles, el factor secundario a menudo se proporciona desde el mismo dispositivo que estamos utilizando para la actividad principal. Como resultado, si el dispositivo ha sido hackeado o comprometido, un estafador tiene control sobre ambos elementos.

Una solución más sofisticada

Si su negocio todavía está utilizando autenticación heredada, es probable que sus medidas de seguridad sean menos sofisticadas que los métodos utilizados por los estafadores para intentar acceder a las cuentas de sus clientes. Como negocio, debe asumir que los actores malintencionados conocen los límites de su enfoque de seguridad y trabajar con eso como su línea base

Una estrategia efectiva de prevención de fraudes debe superponer múltiples soluciones y basarse en un enfoque que evolucione constantemente. Por ejemplo, la autenticación biométrica significa que no importa si un estafador puede interceptar una contraseña de un solo uso proporcionada a un cliente: no pueden acceder a la cara de la persona y presentarla en vivo a través de una sesión de verificación

Otras características, como la detección de vida y la retroalimentación en tiempo real del usuario, pueden promover una mayor seguridad sin ralentizar el proceso y causar fricción en la experiencia del usuario. Mientras tanto, la aplicación de aprendizaje automático a los grandes volúmenes de datos recopilados en sesiones de autenticación puede ajustar constantemente su enfoque. Juntas, estas soluciones pueden minimizar el ROI para los defraudadores y llevarlos a buscar presas más fáciles; potencialmente sus competidores que todavía utilizan autenticación heredada!