¿Qué es el factor de posesión móvil y cómo puede sustituir a las contraseñas para frenar el phishing?

Cuando el 50% de las brechas de ciberseguridad provienen del robo de credenciales, es que algo falla. La solución es eliminar por completo las credenciales compartidas de la ecuación y utilizar en su lugar una identidad digital móvil basada en la posesión.

Todos utilizamos el correo electrónico y contraseñas, lo que significa que todos somos vulnerables a los ataques de phishing.

‍La frecuencia y las tasas de éxito de los ataques de phishing se están disparando a medida que los delincuentes se vuelven más eficaces y el fraude se ha industrializado con IA. El Foro Económico Mundial predijo que pérdidas mundiales por ciberdelincuencia alcanzaría la asombrosa cifra de $10,5 billones anuales en 2025.

‍

Hasta ahora, la respuesta ha sido añadir capas adicionales de seguridad a los correos electrónicos y las contraseñas de inicio de sesión: formularios Captcha, códigos SMS, correos electrónicos de confirmación.

Estos métodos estándar de autenticación multifactor (AMF) son parches que no abordan el problema principal. Siguen recurriendo a credenciales compartibles, como contraseñas y códigos OTP, y siguen siendo vulnerables al phishing porque solo se basan en el conocimiento.

‍Mientras las credenciales puedan compartirse, pueden interceptarse y utilizarse indebidamente. Las credenciales robadas siguen siendo el más comunes vector de ataque que conduce a la violación de datos.

Lo que hace falta es pasar de las credenciales basadas en el conocimiento a la seguridad basada en la posesión, que no depende de información que pueda duplicarse, como contraseñas o códigos. Esto puede sumarse a otras medidas de seguridad sólidas, como la biometría.

‍Ahora, por primera vez, el factor de posesión de seguridad integrado en las redes móviles está disponible mediante API, lo que minimiza la posibilidad de suplantación de identidad y protege a sus usuarios de los ataques.

¿Por qué el phishing sigue siendo un problema creciente?

El phishing y otros tipos de ingeniería social se basan en el comportamiento humano para vulnerar los puntos débiles de una organización. Utilizan el método del correo electrónico y la contraseña, cómodo y basado en el conocimiento, que la mayoría de nosotros utilizamos para acceder a los servicios en línea, engañándonos para que compartamos esas credenciales. Y funciona: en 2022, 91% de las empresas británicas encuestadas declararon haber sufrido al menos un ataque de phishing por correo electrónico.

Los delincuentes utilizan estos métodos porque son de bajo riesgo, escalables y totalmente remotos. Y cada vez tienen más éxito. Los delincuentes están compartiendo información para ser mejores que nunca a la hora de engañar a la gente de forma convincente, así como para ampliar sus operaciones: las herramientas disponibles en la web oscura pueden ayudar a los atacantes a automatizar los ciberataques y gestionar una operación delictiva como un negocio a gran escala.

Los costes (y daños más amplios) de los ataques con éxito son cada vez mayores y mucho más graves. El phishing sigue siendo la forma más común de ciberdelincuencia: se calcula que cada día se envían 3.400 millones de correos electrónicos de este tipo, y los ataques de phishing coste de las grandes organizaciones casi $15 millones cada año.

Los códigos 2FA son parte del problema

Las contraseñas son un factor de conocimiento que implica una credencial compartible, por lo que pueden ser fácilmente objeto de phishing. Por eso la mayoría de los servicios requieren un paso más, o autenticación de segundo factor (2FA).

Por desgracia, la mayoría de los métodos 2FA también implican una credencial que se puede compartir y que, a su vez, puede ser objeto de suplantación de identidad: normalmente, una contraseña de un solo uso (OTP) o un código PIN que se envía por SMS o correo electrónico.

Y lo que es peor, los delincuentes se centran específicamente en estos métodos: en 2022, los investigadores descubrieron que más de 1.200 kits de phishing diseñados para robar códigos 2FA estaban en funcionamiento. Y aunque existe hardware específico para la AMF, su precio es prohibitivo y no está al alcance del ciudadano medio.

La respuesta, por tanto, no puede estar en añadir más capas de fricción que acaben con la experiencia del usuario sin mantener realmente alejados a los atacantes.

Una seguridad sin fisuras y más sólida sólo puede funcionar con un factor de posesión ampliamente disponible, fácil de usar, fácil de integrar y rentable. Ahora, por primera vez, esto es posible: utilizando las tarjetas SIM que ya existen en más de 5.000 millones de teléfonos móviles de todo el mundo.

El nuevo factor de posesión resistente al phishing

La autenticación SIM de nueva generación de IDlayr es la nueva solución que el mundo de la seguridad estaba esperando. Las tarjetas SIM son la misma tecnología de microchip altamente segura y probada que incorporan todas las tarjetas de crédito. Hay una tarjeta SIM en cada teléfono móvil: todo el mundo tiene ya este potente hardware en su bolsillo.

El uso de la seguridad criptográfica de la tarjeta SIM puede ofrecer una autenticación sólida y multicanal, fácil de usar y sencilla de implantar. Ahora, por fin, existe una forma fácil y rentable de dejar de depender de credenciales compartibles y poner la verificación del factor posesión al alcance de todos.

¿Cómo funciona mejor la autenticación basada en SIM?

Cuando utilizamos nuestros teléfonos móviles (para navegar por internet, hacer una videollamada o utilizar datos en una aplicación) no necesitamos escribir nuestro correo electrónico y una contraseña para conectarnos: el operador de la red móvil realiza una comprobación criptográfica de la tarjeta SIM, silenciosamente en segundo plano, para demostrar que es válida. A partir de ese momento, toda la comunicación entre el dispositivo y la red está totalmente cifrada.

Esta sólida seguridad criptográfica está integrada en la tarjeta SIM de todos los teléfonos móviles, y funciona silenciosamente en segundo plano cada vez que utilizamos nuestro dispositivo móvil. Pero hasta hace poco, las empresas no podían programar la infraestructura de autenticación de una red móvil en una aplicación tan fácilmente como cualquier otro código.

‍Ahora, por primera vez, esta capacidad de autenticación está disponible como una API, y puede proporcionar al instante la seguridad del factor de posesión para todos los usuarios de su aplicación móvil existente.

Registro seguro de aplicaciones, inicio de sesión, comprobaciones escalonadas y mucho más...

Antes, cuando un nuevo usuario se registraba en su aplicación, disponía de muy pocos datos en los que pudiera confiar. Ahora, con la autenticación basada en SIM, puedes utilizar el número de móvil junto con una comprobación de posesión de tarjeta SIM segura como credencial sólida y de confianza.

Lo mismo puede aplicarse a las comprobaciones escalonadas, cuando un cliente está a punto de realizar una acción de mayor riesgo (por ejemplo, efectuar un pago o acceder a datos confidenciales). Ahora puede utilizar una comprobación SIM para asegurarse de que el usuario aún tiene la tarjeta SIM válida en su poder antes de permitir que la transacción siga adelante. A diferencia de otras AMF, se produce de forma silenciosa, sin necesidad de que el cliente introduzca datos adicionales, y puede incluso detectar posibles fraudes de intercambio de SIM.

Acerca de IDlayr

IDlayr está reinventando la identidad en línea para la era móvil, ayudando a bancos y grandes empresas a reducir el fraude y los costes operativos y a mejorar la experiencia del usuario. IDlayr le permite utilizar su número de móvil, en lugar del correo electrónico, para probar su identidad en línea; porque una identidad móvil es más segura, más fácil de usar y siempre está con usted. 

Póngase en contacto con programar una demostración con nuestro equipo.