La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) agregó la autenticación de factor único (SFA) a su Catálogo de malas prácticas de ciberseguridad.
Con apenas 3 malas prácticas, la lista en desarrollo por CISA incluye prácticas excepcionalmente riesgosas, especialmente en organizaciones que apoyan la infraestructura crítica o funciones críticas nacionales.
El método SFA es un método de autenticación de baja seguridad. Sólo requiere hacer coincidir un factor, como una contraseña, con un nombre de usuario para obtener acceso a un sistema. Esto es peligroso para las organizaciones, en particular para aquellas que apoyan la operación de infraestructura crítica.
El catálogo de malas prácticas incluye:
- El uso de software sin soporte (o al final de su vida útil).
- El uso de contraseñas y credenciales conocidas / fijas / predeterminadas.
- El uso de factor único de autenticación para el acceso remoto o administrativo a los sistemas.
Es conocido que los ciberdelincuentes pueden robar contraseñas y utilizarlas en ataques de diccionario a los sistemas. También pueden utilizar técnicas de phishing, keylogging, ingeniería social, malware, para obtener credenciales e intentar acceder a sitios que utilizan el método de autenticación SFA.
Es recomendable que las organizaciones usen autenticación multifactor (MFA) para robustecer el acceso a los sistemas y evitar ataques exitosos.