51 min
Fraudology
Prevención del fraude tras una filtración de datos: cómo defenderse del fraude financiero con Hailey Windham
Hoy hablamos sobre la prevención del fraude derivado de filtraciones de datos y por qué una filtración casi nunca es solo un incidente de seguridad. Suele ser también el comienzo de un problema de fraude.
Me senté con Hailey Windham para hablar de varias brechas importantes, incluida la filtración de datos de Snowflake, la brecha de Evolve Bank y la filtración de datos de clientes de AT\&T, y para profundizar en lo que ocurre después de que esos datos salen al mundo. Porque una vez que los datos de los clientes quedan expuestos, los delincuentes no se limitan a guardarlos. Los ponen a prueba. Los reutilizan. Los combinan con otros datos. Y los convierten en toma de control de cuentas, ataques de relleno de credenciales, abuso de identidad y todo tipo de fraudes posteriores.
Esa es la parte que importa.
A primera vista, las historias sobre brechas pueden sonar como noticias de ciberseguridad que solo incumben al equipo de seguridad. Pero cuando miras más de cerca, el riesgo de fraude por datos filtrados se convierte en fraude en comercio electrónico tras las brechas, fraude bancario con datos robados, fraude de identidad impulsado por brechas y una gran presión sobre los equipos de fraude que se quedan lidiando con las consecuencias.
Esto es lo que significa en la práctica:
- La prevención del fraude derivado de brechas de datos comienza por entender que la exposición en una brecha genera un riesgo de fraude posterior, no solo un riesgo para la privacidad.
- Los ataques de relleno de credenciales y la toma de control de cuentas suelen dispararse después de grandes brechas de seguridad
- El fraude financiero derivado de filtraciones de datos se vuelve más probable cuando las instituciones no refuerzan los controles con suficiente rapidez
- Los protocolos de autenticación mejorados y las mejores prácticas de seguridad en el inicio de sesión son muy importantes una vez que los datos comprometidos comienzan a circular
- Los controles proactivos contra el fraude y una supervisión más estricta del sistema para detectar fraudes pueden reducir los daños después de una brecha de seguridad
Lo que escucharás en este episodio
- Cómo brechas importantes como las de Snowflake, Evolve Bank y AT&T generan riesgos de fraude que van mucho más allá del incidente inicial
- Por qué los ataques de relleno de credenciales y la prevención de la toma de control de cuentas deben ser máximas prioridades después de una brecha
- Cómo es el riesgo de fraude derivado de datos filtrados para bancos, comercios y plataformas digitales
- Cómo las estrategias de protección de datos de los clientes y la supervisión de sistemas para detectar fraudes pueden reducir los abusos posteriores
- Por qué la prevención del fraude en las instituciones financieras debe conectar los eventos cibernéticos con la respuesta al fraude de forma mucho más rápida
Deberías escuchar este episodio si
- Trabajas en fraude, banca, comercio electrónico o confianza y seguridad y quieres una visión práctica de la prevención del fraude derivado de filtraciones de datos
- Necesitas comprender el fraude financiero derivado de filtraciones de datos y cómo los delincuentes utilizan la información robada posteriormente
- Se preocupan por la respuesta de los comercios ante brechas de seguridad y por una prevención del fraude más sólida para las instituciones financieras
- Quieren mejores ideas para la prevención de la toma de control de cuentas, protocolos de autenticación mejorados y mejores prácticas de seguridad en el inicio de sesión
- Están intentando proteger las cuentas después de una brecha y responder de forma más eficaz a las señales de riesgo de datos comprometidos
Si te gustó este episodio, asegúrate de suscribirte y dejar una reseña del podcast en iTunes, Spotify, YouTube o en cualquier plataforma donde escuches podcasts. Realmente ayuda a que más gente lo conozca.
Notas del episodio y puntos clave
Por qué la prevención del fraude tras una filtración de datos debe comenzar después del titular
Desglosemos esto.
Muchas empresas todavía tratan una brecha de seguridad como si fuera un evento aislado. Ocurre la brecha. Interviene el departamento legal. Seguridad investiga. Se envían las notificaciones. Luego todos pasan a la remediación y a las relaciones públicas.
Así no es como lo tratan los delincuentes.
Para ellos, una brecha es inventario.
Ahí es donde las cosas se ponen interesantes.
Una vez que los datos se exponen, comienzan a evaluarse por su valor. ¿Se pueden usar para ataques de relleno de credenciales (credential stuffing)? ¿Pueden facilitar la toma de control de cuentas? ¿Se pueden combinar con datos de filtraciones anteriores para lograr una mejor suplantación de identidad? ¿Pueden ayudar en la ingeniería social, el abuso de procesos de recuperación o en eludir los controles de verificación de identidad?
Por eso la prevención del fraude tras una filtración de datos es tan importante. El riesgo de fraude suele comenzar después del titular cibernético, no antes.
Y eso importa.
Cómo los datos vulnerados se convierten en fraude
A primera vista, los datos de clientes filtrados pueden no parecer inmediatamente peligrosos. Tal vez sean datos de contacto. Tal vez sean datos de cuenta. Tal vez sean información relacionada con el inicio de sesión. Tal vez estén fragmentados. Pero los delincuentes son muy buenos para convertir datos fragmentados en algo útil.
Ya hemos visto este modus operandi antes.
El riesgo de fraude con datos filtrados aumenta porque los atacantes combinan lo que obtienen de una brecha con lo que ya tienen de otras. Es entonces cuando el fraude bancario con datos robados, el robo de identidad impulsado por brechas y el fraude en el comercio electrónico tras las brechas se vuelven mucho más probables.
Los caminos más habituales suelen incluir:
- Ataques de relleno de credenciales utilizando contraseñas reutilizadas
- Intentos de apropiación de cuentas bancarias, de comercios minoristas y de correo electrónico
- Ingeniería social utilizando datos personales para parecer legítimo
- Apertura fraudulenta de cuentas o apoyo a identidades sintéticas
- Manipulación del servicio de atención al cliente utilizando datos de identidad conocidos
Puede que esto no parezca un gran cambio respecto a un incidente de seguridad. Pero en la prevención del fraude, sin duda lo es.
Por qué son importantes Snowflake, Evolve Bank y AT&T
La razón por la que violaciones como la filtración de datos de Snowflake, la brecha de seguridad de Evolve Bank y la fuga de datos de clientes de AT\&T son importantes no es solo su escala, sino el tipo de abuso posterior que pueden facilitar.
Cada brecha puede implicar distintos sistemas, diferentes tipos de datos y diferentes partes afectadas. Pero la lección en materia de fraude es bastante consistente: una vez que se filtra información valiosa de clientes o relacionada con cuentas, los equipos de fraude deben asumir que los delincuentes se moverán rápidamente para explotarla en algún lugar.
Eso es un problema.
Porque demasiadas organizaciones siguen separando la respuesta a las brechas de seguridad de la respuesta al fraude. El equipo de seguridad se encarga de la brecha. El equipo de fraude se encarga del fraude. Y entre esas dos cosas, se pierde un tiempo muy valioso.
Eso normalmente no termina bien.
Los equipos de fraude deberían preguntarse:
- Qué datos expuestos podrían contribuir a fallos en la prevención de la toma de control de cuentas
- Si ahora algún flujo de inicio de sesión o recuperación presenta un mayor riesgo
- Qué segmentos de clientes necesitan una supervisión reforzada primero
- Qué señales de riesgo de datos comprometidos deberían activar controles reforzados de inmediato
Por qué el relleno de credenciales sigue siendo un problema tan grave
Sigue apareciendo por una razón.
Los ataques de relleno de credenciales siguen siendo una de las formas más claras en que los datos filtrados se convierten en fraude directo. No son llamativos. No son nuevos. Pero son eficaces porque la reutilización de contraseñas sigue siendo muy común y muchos sistemas todavía dependen en exceso del propio inicio de sesión como prueba de legitimidad.
Exacto. Ese es el problema.
Si las credenciales de un usuario se exponen en un entorno y se reutilizan en otro lugar, los delincuentes pueden probarlas a gran escala. Y una vez que acceden a la cuenta, el daño puede propagarse rápidamente a través de métodos de pago guardados, cambios en el perfil, abuso de programas de fidelidad, pagos o acceso a datos personales.
Por eso las mejores prácticas de seguridad de inicio de sesión y los protocolos de autenticación mejorados son tan importantes después de una brecha.
Los equipos de fraude y los equipos de seguridad deben tener en cuenta lo siguiente:
- Exposición por reutilización de contraseñas
- Anomalías de dispositivo y comportamiento durante el inicio de sesión
- Autenticación reforzada para sesiones de mayor riesgo
- Supervisión de patrones de acceso inusuales tras incidentes de filtración de datos públicos
Porque una vez que las credenciales se filtran, la ruta de ataque se vuelve mucho más fácil.
Cómo deberían ser los controles proactivos contra el fraude
Entonces, ¿cómo se ve en la práctica una buena prevención del fraude derivado de filtraciones de datos?
Significa no esperar a que llegue la ola de fraude para demostrar el punto.
Los controles proactivos contra el fraude después de una brecha deben incluir:
- Mayor supervisión del sistema para detectar fraudes en inicios de sesión, cambios de perfil y actividad de pagos
- Medidas más estrictas de prevención de toma de control de cuentas para las poblaciones de clientes expuestas
- Mejoras en las alertas vinculadas a señales de riesgo por datos comprometidos
- Flujos de trabajo más estrictos de recuperación y restablecimiento mientras el riesgo esté elevado
- Planes claros de respuesta ante brechas de seguridad de comercios o de escalamiento a nivel institucional que incluyan tempranamente a los equipos de fraude
Esta es una de esas áreas en las que la rapidez importa mucho. No el pánico. La rapidez.
Porque si sabes que los datos están ahí fuera, no necesitas esperar a que haya pérdidas para justificar actuar como si el riesgo hubiera cambiado.
Por qué los equipos de fraude y ciberseguridad deben avanzar juntos
Este es realmente uno de los temas operativos más importantes del episodio.
La prevención del fraude para instituciones financieras, comercios y plataformas digitales funciona mejor cuando los equipos de ciberseguridad y de fraude dejan de tratar las brechas de seguridad y las consecuencias del fraude como eventos separados. Suelen ser la misma historia en distintas etapas.
Esa es la parte que más organizaciones necesitan interiorizar.
Una brecha cambia el modelo de amenazas.
Cambia el riesgo de autenticación.
Cambia la vulnerabilidad del cliente.
Y también cambia cuán agresivamente es probable que los delincuentes pongan a prueba tus sistemas.
Si esos cambios no llegan rápidamente al equipo de fraude, la organización estará, en la práctica, dando a los atacantes una ventaja inicial.
Eso es un problema.
Las mejores estrategias de protección de datos de los clientes deben incluir tanto la contención de la seguridad como la adaptación al fraude. De lo contrario, solo estarás resolviendo la mitad del problema.
Lo que los especialistas en lucha contra el fraude deben aprender de este episodio
Entonces, ¿qué deberían sacar en claro los equipos aquí?
En primer lugar, toda brecha importante debe generar de inmediato preguntas sobre fraude, no más adelante.
En segundo lugar, trata los datos filtrados como un activo de fraude vivo en manos de delincuentes. Porque eso es exactamente lo que son.
En tercer lugar, revisa tus controles después de incidentes de filtración públicos, incluso si tu organización no fue la afectada. Si tus clientes se superponen con la población afectada, tu riesgo puede haber cambiado de todos modos.
Algunas prioridades prácticas:
- Refuerza los controles de inicio de sesión y recuperación tras importantes revelaciones de brechas de seguridad
- Vigila los ataques de relleno de credenciales y los patrones inusuales de acceso a cuentas
- Mejorar la comunicación entre los equipos de seguridad, fraude y atención al cliente
- Crea manuales de actuación para proteger las cuentas después de una brecha, antes de que las pérdidas comiencen a escalar
Porque los delincuentes no van a esperar a que termine la revisión de tu incidente.
Por qué este episodio es importante
Este episodio trata realmente sobre lo que sucede a continuación.
Sí, trata la filtración de datos de Snowflake, la brecha de Evolve Bank y la filtración de datos de clientes de AT\&T. Pero el punto más importante es que las brechas no terminan cuando se roban los datos. A menudo, es entonces cuando comienza la fase de fraude.
Y si los equipos de fraude quieren adelantarse a esa fase, deben actuar antes, más rápido y con una conexión mucho más clara con los eventos cibernéticos.
Esa es la conclusión.
La prevención del fraude derivado de filtraciones de datos no se trata solo de proteger la información. Se trata de reconocer cómo se reutilizan los datos expuestos, con qué rapidez se convierten en abuso de cuentas y cuánto daño puede evitarse cuando las organizaciones tratan la respuesta a filtraciones y la respuesta al fraude como partes de un mismo sistema.
Porque los atacantes ya lo hacen.
