Navegando por la obsolescencia: los principales problemas de la autenticación heredada en los negocios

Autenticación basada en conocimiento

Como su nombre indica, la autenticación basada en conocimientos utiliza cosas que solo la persona autorizada correspondiente debería conocer para controlar el acceso a una cuenta o servicio (las contraseñas son técnicamente una forma de KBA).

KBA estática

Esto implica un conjunto previamente acordado de secretos compartidos, generalmente en forma de preguntas y respuestas, como «¿cuál era el nombre de su primera mascota?».

KBA dinámica

Esto se basa en preguntas de una base más amplia de información personal o privilegiada y no requiere que el individuo haya proporcionado respuestas de antemano. Las preguntas pueden ser creadas a partir de un rango de datos disponibles públicamente, como registros de crédito e información personal disponible en línea, y no necesitan basarse en una relación existente con el cliente.

Desafortunadamente, la autenticación basada en conocimientos tiene fallas fatales, siendo tanto fácil de superar para los estafadores como una causa de fricción para los usuarios legítimos. De hecho, Forbes anunció la muerte de la autenticación basada en conocimientos hace mucho tiempo, en 2018, señalando que un estudio de Google encontró que menos de la mitad de los usuarios podían recordar lo que habían puesto como su comida favorita un año antes. Mientras tanto, los hackers podían adivinar la respuesta correcta a la misma pregunta casi el 20% de las veces (¿pizza, alguien?)

Si bien la KBA dinámica puede ser ligeramente más segura que la KBA estática, su dependencia de información que los estafadores pueden acceder con relativa facilidad la hace aún muy vulnerable. Además, la naturaleza más amplia de las preguntas potenciales crea aún más fricción y frustración para los usuarios.

Autenticación de dos factores

La autenticación en dos pasos es un método de autenticación electrónica que requiere que un usuario presente dos tipos diferentes de evidencia antes de poder acceder. La evidencia solicitada debe ser de dos tipos diferentes de un posible tres: conocimiento (algo que solo el usuario sabe), posesión (algo que solo el usuario tiene) e inherencia (algo que solo el usuario es). A veces se utiliza un autenticador de terceros (TPA), que es una aplicación que genera aleatoriamente un código de un solo uso que se usa como la segunda pieza de información. Otros sistemas envían un código a través de un mensaje de texto SMS.

La autenticación de dos factores pretende ser más segura que la autenticación basada en conocimientos, ya que impide que un usuario no autorizado simplemente robe o adivine una contraseña o información personal. Desafortunadamente, también es altamente vulnerable a los actores malintencionados

Esto se debe a algo que llamamos la experiencia de usuario colapsada. La autenticación de dos factores está diseñada para crear separación entre la actividad, como comprar un artículo en una tienda en línea o acceder a su cuenta bancaria, y el factor secundario utilizado para la autenticación. Pero ahora que hacemos tantas de estas cosas en nuestros teléfonos móviles, el factor secundario a menudo se proporciona desde el mismo dispositivo que estamos utilizando para la actividad principal. Como resultado, si el dispositivo ha sido hackeado o comprometido, un estafador tiene control sobre ambos elementos.

Una solución más sofisticada

Si tu negocio todavía está usando autenticación heredada, es probable que tus medidas de seguridad sean menos sofisticadas que los métodos que utilizan los defraudadores para intentar acceder a las cuentas de tus clientes. Como empresa, debe asumir que los actores malos conocen los límites de su enfoque de seguridad y trabajan con eso como su línea base.

Una estrategia efectiva de prevención de fraudes debe superponer múltiples soluciones y construirse alrededor de un enfoque en constante evolución. Por ejemplo, la autenticación biométrica significa que no importa si un defraudador puede interceptar una contraseña de un solo uso proporcionada a un cliente: no puede acceder al rostro de la persona y presentarlo en vivo en cámara como parte de una sesión de verificación.

Otras características, como la detección de vida y la retroalimentación en tiempo real del usuario, pueden promover una mayor seguridad sin ralentizar el proceso y causar fricción en la experiencia del usuario. Mientras tanto, la aplicación de aprendizaje automático a los grandes volúmenes de datos recopilados en sesiones de autenticación puede ajustar constantemente su enfoque. Juntas, estas soluciones pueden minimizar el ROI para los defraudadores y llevarlos a buscar presas más fáciles; potencialmente sus competidores que todavía utilizan autenticación heredada!

Centro de educación contra el fraude

Para obtener más información sobre el fraude en línea y cómo Veriff puede trabajar con usted para minimizar el riesgo para su negocio debido a las actividades de actores malintencionados, visite nuestro Centro de Educación sobre Fraude

Learn more