En un panorama de amenazas donde el robo de credenciales aumentó un 160% durante el último año, la verificación de identidad se ha convertido en la primera línea de defensa para cualquier organización. Según informes recientes, uno de cada cinco incidentes de seguridad tiene su origen en el compromiso de identidades, facilitado por ataques impulsados por Inteligencia Artificial y técnicas avanzadas de ingeniería social.
Para las empresas, el desafío actual no es solo verificar quién accede a sus sistemas, sino hacerlo de manera segura sin comprometer la agilidad operativa. A continuación, analizamos las cinco mejores prácticas para fortalecer la resiliencia cibernética a través de una gestión de identidad robusta.
1. Implementar MFA resistente a la fatiga y al phishing
La autenticación de múltiples factores (MFA) sigue siendo esencial, pero no todos los métodos son igual de efectivos. Los atacantes han perfeccionado técnicas como el MFA fatigue (bombardeo de notificaciones push) y el SIM swapping para eludir sistemas basados en SMS o códigos por correo electrónico.
- Priorizar métodos resistentes: Adoptar estándares FIDO2, llaves de seguridad físicas o certificados digitales.
- Eliminar OTPs vulnerables: Reducir la dependencia de códigos enviados por canales interceptables.
- Uso de autenticadores locales: Fomentar aplicaciones que generen códigos localmente en lugar de simples aprobaciones de un solo toque.
2. Blindar el Service Desk contra la ingeniería social
El centro de soporte técnico (Service Desk) es a menudo el eslabón más débil. Los atacantes suelen suplantar la identidad de empleados para solicitar restablecimientos de contraseñas o cambios en el MFA, utilizando en ocasiones deepfakes de audio o información pública para parecer legítimos.
Es fundamental integrar flujos de trabajo de verificación de identidad automatizados en el soporte técnico. Esto incluye el escaneo de documentos oficiales o el uso de biometría antes de realizar cualquier acción sensible sobre una cuenta de usuario.
3. Integrar la confianza del dispositivo (Device Trust)
La verificación moderna no debe basarse únicamente en las credenciales del usuario. Los atacantes pueden robar cookies de sesión para eludir el MFA. Por ello, las decisiones de acceso deben evaluar el contexto del dispositivo:
- ¿Es un dispositivo corporativo gestionado?
- ¿Tiene el sistema operativo actualizado y parches de seguridad al día?
- ¿Cuenta con herramientas EDR (Endpoint Detection and Response) activas?
Un acceso desde un dispositivo desconocido o no conforme debería activar automáticamente requisitos de autenticación más estrictos o, directamente, el bloqueo de la sesión.
4. Transición hacia el uso de Passkeys
El estándar FIDO2 ha dado paso a las passkeys, una alternativa sin contraseña que utiliza criptografía de clave pública. A diferencia de las contraseñas tradicionales, las claves privadas nunca salen del dispositivo del usuario, lo que las hace virtualmente inmunes al phishing y al robo de credenciales a gran escala. Además, eliminan la fricción para el empleado y reducen la carga de trabajo para el departamento de TI.
5. Protección rigurosa de los datos biométricos
Si bien la biometría (huella dactilar, reconocimiento facial) refuerza la seguridad, su compromiso es crítico, ya que, a diferencia de una contraseña, un rasgo biológico no se puede resetear. Las organizaciones deben seguir estas pautas:
- Almacenamiento local: Realizar la autenticación dentro del hardware seguro del dispositivo del usuario (como el enclave seguro de un smartphone).
- Uso de plantillas cifradas: Nunca almacenar la imagen o el dato biométrico bruto, sino representaciones matemáticas cifradas.
- Cifrado homomórfico: Implementar tecnologías que permitan la comparación de datos sin exponer la información subyacente.
En conclusión, la modernización de los controles de identidad no es solo una medida técnica, sino una decisión estratégica que protege la continuidad del negocio frente a un ecosistema de amenazas cada vez más sofisticado.
Fuentes
- Bleeping Computer — The 5 Best Practices for Secure Identity Verification
https://www.bleepingcomputer.com/news/security/the-5-best-practices-for-secure-identity-verification/