Navegando pela Obsolescência: Os Principais Pontos Fracos da Autenticação Legada nos Negócios

Autenticação baseada em conhecimento

Como o nome sugere, a autenticação baseada em conhecimento utiliza coisas que apenas a pessoa autorizada relevante deveria saber para controlar o acesso a uma conta ou serviço (senhas são tecnicamente uma forma de KBA).

KBA estática

Isso envolve um conjunto previamente acordado de segredos compartilhados, geralmente na forma de perguntas e respostas, como "qual era o nome do seu primeiro animal de estimação".

KBA dinâmica

Isso é baseado em perguntas de uma base mais ampla de informações pessoais ou privilegiadas e não requer que o indivíduo tenha fornecido respostas anteriormente. As perguntas podem ser criadas a partir de uma gama de dados disponíveis publicamente, como registros de crédito e informações pessoais disponíveis online, portanto, não precisam ser baseadas em um relacionamento existente com o cliente.

Infelizmente, a autenticação baseada em conhecimento é fatalmente falha, sendo tanto fácil de superar para fraudadores quanto uma causa de atrito para usuários legítimos. De fato, a Forbes anunciou a morte da autenticação baseada em conhecimento já em 2018, apontando que um estudo do Google descobriu que menos da metade dos usuários poderia lembrar o que haviam colocado como seu alimento favorito um ano antes. Enquanto isso, hackers poderiam adivinhar a resposta correta para a mesma pergunta quase 20% das vezes (pizza, alguém?)

Embora o KBA dinâmico possa ser ligeiramente mais seguro do que o KBA estático, sua dependência de informações que fraudadores podem acessar com relativa facilidade ainda o torna altamente vulnerável. Além disso, a natureza mais ampla das perguntas potenciais cria ainda mais atrito e frustração para os usuários.

Autenticação de dois fatores

A autenticação de dois fatores é um método de autenticação eletrônica que exige que um usuário apresente dois tipos diferentes de evidência antes de ser liberado o acesso. As evidências solicitadas devem ser de dois tipos diferentes dentre três possíveis: conhecimento (algo que apenas o usuário sabe), posse (algo que apenas o usuário tem) e inherência (algo que apenas o usuário é). Às vezes, um autenticador de terceiros (TPA) é utilizado, que é um aplicativo que gera aleatoriamente uma senha de uso único para ser utilizada como a segunda peça de informação.

A autenticação de dois fatores visa ser mais segura do que a autenticação baseada em conhecimento, uma vez que impede que um usuário não autorizado simplesmente roube ou adivinhe uma senha ou uma peça de informação pessoal. Infelizmente, também é altamente vulnerável a atores mal-intencionados

Isso se deve a algo que chamamos de experiência do usuário colapsada. A autenticação de dois fatores é projetada para criar uma separação entre a atividade, como comprar um item em uma loja online ou acessar sua conta bancária, e o fator secundário utilizado para autenticação. Mas agora que fazemos tantas dessas coisas em nossos celulares, o fator secundário é frequentemente fornecido a partir do mesmo dispositivo que estamos usando para a atividade primária. Como resultado, se o dispositivo foi hackeado ou comprometido, um fraudador tem controle sobre ambos os elementos.

Uma solução mais sofisticada

Se o seu negócio ainda está usando autenticação legada, suas medidas de segurança provavelmente são menos sofisticadas que os métodos usados por fraudadores para tentar acessar as contas de seus clientes. Como empresa, você deve assumir que os maus atores conhecem os limites de sua abordagem em relação à segurança e trabalhar a partir disso como sua linha de base

Uma estratégia eficaz de prevenção a fraudes deve sobrepor várias soluções e ser construída em torno de uma abordagem que evolui constantemente. Por exemplo, a autenticação biométrica significa que não importa se um fraudador consegue interceptar uma senha única fornecida a um cliente – ele não pode acessar o rosto da pessoa e apresentá-lo ao vivo em uma sessão de verificação

Outros recursos, como detecção de vivacidade e feedback do usuário em tempo real, podem promover maior segurança sem retardar o processo e causar fricção na experiência do usuário. Enquanto isso, a aplicação de aprendizado de máquina aos dados coletados em sessões de autenticação pode constantemente ajustar sua abordagem. Juntas, essas soluções podem minimizar o ROI dos fraudadores e levá-los a buscar presas mais fáceis – potencialmente seus concorrentes que ainda usam autenticação legada!