Cambiar la contraseña después de un aviso de riesgo ya no cierra la puerta al atacante

La señal

Los atacantes están cambiando su objetivo: en vez de robar contraseñas para usarlas después, roban la sesión activa (el token que el sistema guarda una vez que alguien ya inició sesión) directamente del equipo de la víctima. Con esa sesión en su poder, el atacante entra sin necesitar la contraseña ni volver a pasar por la verificación en dos pasos, porque esa verificación ya ocurrió cuando la víctima inició sesión legítimamente.

El supuesto que se rompe

La creencia de que restablecer la contraseña de una cuenta, en cuanto se detecta actividad sospechosa, es la acción que cierra el incidente y saca al atacante. Si el atacante ya tiene la sesión activa, esa sesión sigue funcionando de forma independiente a la contraseña; cambiarla no la revoca automáticamente.

Qué observar

Si la organización tiene forma de cerrar sesiones activas de forma remota y de detectar cuándo una misma sesión se usa desde dos ubicaciones distintas al mismo tiempo, no solo de exigir una nueva contraseña tras un aviso de riesgo. La pregunta pasa de “¿la contraseña es segura?” a “¿podemos ver y cortar una sesión que ya no debería seguir viva?”.