:format(webp)/cdn.vox-cdn.com/uploads/chorus_asset/file/25362061/STK_414_AI_CHATBOT_R2_CVirginia_D.jpg?w=150&resize=150,150&ssl=1 "Computadora de escritorio antigua con monitor CRT, teclado y ratón sobre un fondo de color naranja con patrones de código binario en rojo. En la pantalla de la computadora se muestra un dibujo de un cerebro en color blanco sobre fondo azul, simbolizando la inteligencia artificial o la tecnología de aprendizaje automático.")
El FBI ha alertado recientemente sobre el aumento de ciberataques dirigidos a cuentas de correo electrónico protegidas por autenticación multifactor (MFA). Los atacantes suelen engañar a los usuarios para que hagan clic en enlaces de phishing o visiten sitios maliciosos, descargando así software dañino en sus dispositivos y logrando acceso a sus cuentas mediante el robo de cookies.
Este tipo de ataque explota las llamadas cookies de sesión o cookies de seguridad, también conocidas como cookies de «recordarme». Estas cookies almacenan credenciales para evitar que los usuarios tengan que iniciar sesión repetidamente. Sin embargo, si un cibercriminal obtiene acceso a una cookie de sesión activa, puede acceder a la cuenta del usuario sin necesidad de contraseña ni autenticación MFA.
El riesgo es generalizado y afecta a plataformas de correo como Gmail, Outlook, Yahoo y AOL, además de otros servicios como sitios de compras y plataformas financieras. Google ha advertido que estas cookies representan un objetivo lucrativo para los atacantes, y aunque están comenzando a implementarse medidas para reducir su vulnerabilidad, el robo de cookies continúa siendo una amenaza importante.
El FBI recomienda a los usuarios tomar precauciones para proteger sus cuentas:
- Limpiar regularmente las cookies en el navegador.
- Evitar la opción de «Recordarme» al iniciar sesión en sitios web.
- No hacer clic en enlaces sospechosos y solo navegar por sitios seguros (con conexión HTTPS).
- Revisar periódicamente el historial de dispositivos conectados desde la configuración de sus cuentas.
El FBI recalca la importancia de activar el MFA en todas las cuentas posibles, ya que sigue siendo una de las defensas más efectivas, complementada con buenos hábitos de seguridad en la navegación y descargas.
Las passkeys se están consolidando como una opción segura y cómoda para autenticarse en cuentas, ofreciendo una alternativa sin las limitaciones del MFA tradicional. Estas credenciales se vinculan directamente con la seguridad del dispositivo, como los sistemas biométricos, de manera similar a una clave de seguridad física pero sin la necesidad de manejar un dispositivo adicional. Según la FIDO Alliance, la conciencia sobre passkeys ha crecido en los últimos dos años, alcanzando un 57% en 2024. Además, muchos usuarios están activando esta tecnología en sus dispositivos, reduciendo la dependencia de contraseñas y MFA.
Los informes indican que el uso de passkeys también beneficia a las plataformas comerciales, ya que evita el problema de recordar contraseñas, lo cual es una causa común de abandono de compras en línea.
La FIDO Alliance ha lanzado dos propuestas de especificaciones, el Credential Exchange Protocol (CXP) y el Credential Exchange Format (CXF), para facilitar la adopción de passkeys en entornos empresariales. Estas especificaciones buscan resolver el problema de interoperabilidad entre gestores de contraseñas y dispositivos de diferentes proveedores, eliminando el bloqueo de proveedores y facilitando una transición segura hacia el uso de passkeys en el ámbito corporativo.
