Google ha lanzado una actualización de su popular aplicación de autenticación que almacena un «código de un solo uso» en el almacenamiento en la nube, lo que permite a los usuarios que han perdido un dispositivo con su autenticador mantener el acceso a su 2FA.
En una publicación de blog del 24 de abril que anunciaba la actualización, Google dijo que los códigos de un solo uso se almacenarían en la cuenta de Google del usuario y afirmó que los usuarios estarían «mejor protegidos contra el bloqueo» y que aumentaría la «conveniencia y seguridad».
En una publicación de Reddit del 26 de abril en el foro r/Cryptocurrency, Redditor u/pojut escribió que si bien la actualización ayuda a aquellos que pierden su dispositivo con su aplicación de autenticación, los hace más vulnerables a los piratas informáticos.
Al asegurarlo en el almacenamiento en la nube vinculado a la cuenta de Google del usuario, esto significa que cualquier persona que pueda acceder a la contraseña de Google del usuario obtendrá acceso completo a sus aplicaciones vinculadas al autenticador.
El usuario sugirió que una forma potencial de evitar el problema de SMS 2FA es usar un teléfono antiguo que se usa exclusivamente para almacenar su aplicación de autenticación.
«También recomiendo enfáticamente, si es posible, que tenga un dispositivo separado (tal vez un teléfono viejo o una tableta vieja) cuyo único propósito en la vida sea usarlo para la aplicación de autenticación que eligió». No guarde nada más en él ni lo use para nada más.
Asimismo, los desarrolladores de ciberseguridad Misk tomó sí Gorjeo para advertir sobre complicaciones adicionales que vienen con la solución 2FA basada en la nube de Google.
Google acaba de actualizar su aplicación 2FA Authenticator y agregó una función muy necesaria: la capacidad de sincronizar secretos entre dispositivos.
TL; DR: No lo encienda.
La nueva actualización permite a los usuarios iniciar sesión con su cuenta de Google y sincronizar los secretos 2FA en sus dispositivos iOS y Android… pic.twitter.com/a8hhelupZR
— Mysk (@mysk_co) 26 de abril de 2023
Esto podría resultar una gran preocupación para los usuarios que usan Google Authenticator para 2FA para iniciar sesión en sus cuentas de intercambio de cifrado y otros servicios relacionados con las finanzas.
El hack 2FA más común es un tipo de fraude de identidad conocido como «intercambio de SIM», donde los estafadores obtienen el control de un número de teléfono engañando al proveedor de telecomunicaciones para que vincule el número a su propia tarjeta SIM.
Un ejemplo reciente de esto se puede ver en una demanda presentada contra Coinbase, el intercambio de criptomonedas con sede en los Estados Unidos, donde un cliente afirmó haber perdido «el 90% de sus ahorros» después de ser víctima de tal ataque.
Cabe señalar que Coinbase fomenta el uso de aplicaciones de autenticación para 2FA en lugar de SMS y describe SMS 2FA como la forma de autenticación «menos segura».
Supongo que su contraseña se vio comprometida porque se usó en otros sitios, uno de los cuales fue pirateado. Además, Coinbase promociona la aplicación Authenticator para 2FA, etiquetándola como «segura» y SMS como «moderadamente segura».
— Dave Ferguson (@_sc0rn) 7 de marzo de 2023
Conectado: OFAC sanciona a comerciantes OTC que convierten criptomonedas para el grupo Lazarus de Corea del Norte
En Reddit, los usuarios discutieron el caso e incluso sugirieron que se prohibiera SMS 2FA. Como señaló un usuario de Reddit, esta es actualmente la única opción de autenticación disponible para varios servicios de fintech y criptomonedas:
“Desafortunadamente, muchos servicios que utilizo aún no ofrecen Authenticator 2FA. Pero definitivamente creo que el enfoque de SMS ha demostrado ser inseguro y debería prohibirse.
La firma de seguridad de blockchain CertiK advirtió sobre los peligros de usar SMS 2FA, y su experto en seguridad Jesse Leclerc le dijo a Cointelegraph que «SMS 2FA es mejor que nada, pero es la forma más vulnerable de 2FA utilizada en este momento».
revista: 4 de cada 10 ventas de NFT son falsas: aprenda a detectar los signos de un comercio de lavado
