La aterradora verdad sobre la confianza: por qué estar "verificado" no significa que estés a salvo

Hablemos de algo que quita el sueño a los expertos en seguridad. No es el hacker con capucha que ves en las películas. No es algún sofisticado exploit de día cero. Es algo mucho más simple e infinitamente más peligroso: la suposición de que verificar la identidad es lo mismo que verificar la autenticidad.

Hace poco me topé con este fascinante (y ligeramente aterrador) caso de estudio, y no puedo dejar de pensar en ello. Una empresa —llamémosla una típica empresa mediana— pasó por no uno, sino tres incidentes de seguridad distintos en cuatro meses. Aquí está el detalle: ninguno de ellos consistió en irrumpir en redes o explotar errores de software. Cada vez, el atacante simplemente se convirtió en alguien en quien la empresa ya confiaba.

Eso es... en realidad, muy inquietante cuando lo piensas.

La contraseña era perfecta. La persona no.

Así es la seguridad tradicional: tratamos la autenticación como un problema de cerradura y llave. Consigues la contraseña correcta, pasas la verificación MFA y, listo, estás dentro. Pero, ¿qué pasa si la cerradura funciona exactamente como fue diseñada, y la persona que entra por ella simplemente... no es quien dice ser?

Los casos a los que me refiero mostraron tres variantes de este mismo problema. Primero, hubo un director financiero (CFO) que recibió una llamada de "soporte técnico" sobre actividad sospechosa en su cuenta. El identificador de llamadas mostraba un número interno. El interlocutor conocía al proveedor de MFA de la empresa. Sabían que el CFO estaba de viaje (porque publicó algo en redes sociales, porque, por supuesto que lo hizo; todos lo hacemos). Incluso tenían información de antiguas filtraciones de datos circulando por la dark web.

Todo lo que necesitaban era que él le dictara un código de verificación. Y lo hizo.

En veinte minutos, alguien estaba usando su correo para solicitar pagos urgentes. ¿La única razón por la que el dinero no se movió? Un perspicaz especialista en cuentas por pagar pensó que la solicitud se sentía "rara" y lo llamó directamente. Ese instinto humano salvó el día.

Confía pero verifica (excepto cuando no lo haces)

Lo que más me impresiona de estos incidentes no es la sofisticación de los ataques, sino lo aburridos que parecerían para la mayoría de los sistemas de seguridad. Las credenciales coincidían. La autenticación pasó. Las sesiones eran válidas.

Pero en algún punto del camino, olvidamos que la verificación no consiste solo en marcar casillas. Consiste en confirmar que el humano al otro lado es realmente quien dice ser, y que tiene una razón legítima para estar haciendo lo que está haciendo.

El segundo incidente involucró a una contratación remota que parecía completamente legítima. Gran currículum. Referencias creíbles. Portafolio sólido. Pero aquí está el detalle: nada de eso es difícil de robar. Resultó que la persona estaba usando la identidad de un ingeniero real, con referencias completamente fabricadas, y operaba desde el extranjero usando laptops de la empresa enviadas a un apartamento alquilado.

¿La única razón por la que se detectó? Alguien notó que la laptop estaba más activa durante las horas de la madrugada. Eso es todo. Sin detección sofisticada. Solo alguien prestando atención a algo que parecía un poco extraño.

El problema de la sesión del que nadie habla

Y luego está el tercer incidente, que creo que es la amenaza más ignorada en la seguridad moderna. La cuenta de una ejecutiva fue accedida desde Rumania. Ella estaba durmiendo en Ohio en ese momento.

Su contraseña no estaba comprometida. Su MFA no fue eludido. En su lugar, un malware en una computadora compartida de su casa recolectó las cookies de su sesión del navegador. El atacante entró directamente por la puerta digital, apareciendo como un usuario autenticado perfectamente legítimo.

Este es el secreto sucio de la autenticación basada en sesiones: una vez que estás dentro, a menudo te quedas. Los tokens de sesión pueden seguir siendo válidos durante horas o incluso días. Y a diferencia de las contraseñas, no son algo que los usuarios puedan proteger o rotar fácilmente.

Entonces, ¿cuál es la verdadera lección?

No creo que la lección aquí sea "sé más paranoico" (aunque, honestamente, un poco de paranoia saludable nunca viene mal). Creo que la verdadera revelación trata sobre la brecha entre la verificación de identidad y la confirmación de confianza.

La mayoría de las organizaciones se han vuelto bastante buenas en la primera parte. Verificamos credenciales, aplicamos MFA, marcamos casillas. Pero la segunda parte —confirmar continuamente que alguien sigue autorizado y actúa de forma apropiada— es donde fallamos.

Los casos que estoy analizando tenían algo más en común: fueron detectados por humanos o sistemas diseñados por humanos que buscaban anomalías conductuales, no solo fallos de autenticación. Un colega que cuestionó una solicitud inusual. Un analista que notó patrones de trabajo extraños. Un sistema automatizado que marcó un "viaje imposible".

Los controles técnicos son necesarios, pero no son suficientes. El verdadero multiplicador de seguridad es construir una cultura donde las personas se sientan empoderadas para cuestionar las cosas que se sienten mal, incluso cuando las credenciales coinciden.

Porque aquí está la incómoda verdad: en el panorama de amenazas actual, el mayor riesgo de seguridad podría no ser el atacante fuera de tus muros. Podría ser la identidad de apariencia perfectamente válida que ya está dentro de ellos.

Manténganse vigilantes, amigos.

Etiquetas: ['identity-security', 'social-engineering', 'business-security', 'remote-work-security', 'authentication']