¿Reciclas tus contraseñas? El 99% de usuarios lo hace

Es posible que te estés preguntando por la relación entre la contraseñas y la escultura de Caín que pueden encontrar los visitantes del parisino Jardín de las Tullerías. Los más jóvenes, así como los conocedores de los populares memes de Internet seguramente habrán visto venir a sus cabezas la palabra facepalm. Sí, ese movimiento de llevar la palma de la mano a la cara en señal de decepción, sorpresa (negativa, claro) o incluso exasperación controlada. Es una manera rápida de expresar lo que he sentido cuando he leído este informe publicado por la compañía de seguridad Balbix. Siento decirlo, pero algunos datos son espeluznantes.

Es tanto lo que hay que contar que, honestamente, me cuesta elegir por dónde empezar. Pero claro, por algún punto habrá que hacerlo, así que hagámoslo en el punto que indica que más del 99% de los usuarios profesionales reutilizan las contraseñas, ya sea en cuentas de trabajo o entre cuentas de trabajo y personales. La reutilización de contraseñas es un hábito tan común debido a la comodidad y la rapidez. En promedio, cada contraseña se utiliza en 2,7 cuentas.

Seguro que hay un punto del párrafo anterior que te ha dejado particularmente preocupado. Me refiero, claro, a la utilización de una misma contraseña en servicios empleados con fines personales y en el entorno laboral. Según el estudio el usuario promedio tiene más de 8 contraseñas compartidas entre cuentas, con 7,5 contraseñas compartidas entre cuentas personales y de trabajo y 0,8 contraseñas compartidas entre cuentas internas y servicios en la nube empleados en el entorno laboral.

Intenté evitarlo anteayer, cuando hablamos del día internacional de la contraseña, pero después de ver este informe he asumido que me equivoqué al no mencionar las contraseñas más empleadas. Y es que la lista es aterradora, y tiene dos partes. En primer lugar veamos las diez contraseñas más empleadas en el acceso a dispositivos y servicios. Son las siguientes: 123456, 123456789, qwerty, password, 1234567, 12345678, 12345, Iloveyou, 111111 y 123123. ¿Piensas que no podría ser peor? De acuerdo, veamos las diez más comunes en el acceso a sistemas con servicios de administración, como por ejemplo SSH: admin, vizxv*, default, ttnet, root, taZz@23495859*, 1001chin*, sh, 12345 y password.

Malas contraseñas, malas consecuencias

Visto lo visto, se entiende rápidamente el primer dato con el que se abre el informe. Cito textualmente «A pesar de años de advertencias y monumentales esfuerzos en toda la industria para conseguir empresas y consumidores para mejorar la seguridad de su contraseña, las credenciales comprometidas aún representan una la friolera del 80% de las infracciones relacionadas con la piratería debido a contraseñas comprometidas, débiles y reutilizadas«.

Según el informe, estos son los cuatro errores más comunes, y por lo tanto los que más comprometen la seguridad en las empresas:

• Contraseñas de sistema débiles y predeterminadas en controladores de dominio y otros componentes y servicios de la infraestructura.
• Credenciales almacenadas en caché para iniciar sesión en sistemas de misión crítica.
• Utilización de credenciales con acceso privilegiado en sistemas inseguros (algo potenciado por el teletrabajo).
• Reutilización de las contraseñas entre el trabajo y las cuentas personales.

Es sorprendente que todavía sigamos en este punto, en lo relacionado con el mal uso de las credenciales. Y lo peor es que hay varios puntos sobre los que las organizaciones tienen poco o ningún control. Las únicas medidas razonablemente efectivas son concienciar a los usuarios permanentemente sobre los riesgos que asumen al adoptar estas actitudes, formar en buenas prácticas y, optar por soluciones de seguridad basadas en el paradigma zero trust y, siempre que sea posible, incrementar la seguridad empleando sistemas de acreditación de dos factores (2FA) o incluso más (MFA), para los elementos más sensibles de nuestra infraestructura.

Imagen: Karatara