autenticación multifactor
5 artículos con esta etiqueta
Filtración de datos médicos de Perry Johnson & Associates (PJ&A): cuatro estados llegan a un acuerdo de hasta 10 millones de dólares (13,3 millones de personas), qué se expuso y qué hacer
El 6 de noviembre de 2026, los fiscales generales de Nueva York, Connecticut, Míchigan y Nueva Jersey anunciaron un acuerdo con la empresa de transcripción y codificación médica Perry Johnson & Associates, Inc. (PJ&A) y cuatro filiales (en conjunto, las empresas Perry Johnson). Abarca una filtración de marzo de 2023 que afectó a unos 13,3 millones de personas en todo el país. Según los estados, los datos expuestos incluían nombres, fechas de nacimiento, domicilios, números de la Seguridad Social, números de cuenta hospitalaria, diagnósticos e información del seguro, además de detalles clínicos de los archivos de transcripción, como resultados de pruebas y nombres de medicamentos. Los estados dicen que los atacantes usaron las credenciales de un empleado de PJ&A Coding, que el acceso remoto no exigía autenticación multifactor, que el software de una filial registró la actividad de los atacantes pero no avisó al personal de seguridad, y que PJ&A se enteró de la filtración unos dos meses después, cuando los atacantes la contactaron. El acuerdo vale hasta 10 millones de dólares: al menos 300.000 dólares en sanciones ahora, y otros 9,7 millones de dólares que se deben solo si las empresas incumplen los términos del acuerdo. Las empresas deben mantener un programa de seguridad, usar autenticación multifactor y cifrado, hacer evaluaciones de riesgos anuales y regular cuánto tiempo conservan los datos de salud. Conclusión de este sitio: si recibió un aviso en 2023, el acuerdo no añade ningún paso nuevo, pero como estuvieron implicados números de la Seguridad Social y diagnósticos, mantenga su congelación de crédito y siga revisando sus extractos médicos.
SonicWall SonicOS SSL-VPN CVE-2026-19868: se pueden eludir SAML y su MFA, en el KEV de CISA (actualice Gen7 y Gen8)
CVE-2026-19868 es un fallo en el servicio SSL-VPN de SonicWall SonicOS, el sistema operativo de los cortafuegos de SonicWall. Según el aviso SNWLID-2026-0014 de SonicWall del 6 de noviembre de 2026, en un cortafuegos con SAML activado para los inicios de sesión de SSL-VPN, un usuario con credenciales válidas de un método de autenticación alternativo puede eludir los controles de autenticación SAML y, con ellos, la autenticación multifactor (MFA) que SAML impone. SonicWall dice que su equipo de seguridad investigó un informe que indicaba una posible explotación. CISA añadió el CVE a su catálogo Known Exploited Vulnerabilities (KEV) el 6 de noviembre, con fecha límite del 20 de noviembre. Afectados: cortafuegos Gen7 con SonicOS 7.3.3-7015 y anteriores, y cortafuegos Gen8 con 8.2.2-8015 y anteriores. Corregidas: 7.3.4-7013 y 8.2.3-8015 o posteriores. No hay solución alternativa. El mismo aviso cubre otros seis CVE, entre ellos fallos en la interfaz de gestión y un fallo previo a la autenticación en SSL-VPN que puede detener el servicio. Nuestra conclusión: si ejecuta un cortafuegos SonicWall Gen7 o Gen8, actualícelo ya, use o no SAML, y si confía en SAML y MFA para los inicios de sesión de la VPN, compruebe qué otras cuentas pueden seguir iniciando sesión en SSL-VPN.
Cuando tu proveedor de hosting web sufre una brecha: qué deben hacer los clientes
Un compromiso en el lado del proveedor no se puede bloquear con la configuración del cliente, así que la defensa pasa de la prevención a limitar cuánto puedes perder. Los resultados de la investigación del 10 de septiembre establecieron lo más importante: el acceso no autorizado al sistema de gestión comercial se produjo entre abril de 2023 y marzo de 2026; las cuentas de hosting afectadas pasaron de 583 a 951, y algunas contraseñas iniciales no tenían hash. La visión de este sitio: trata todo lo que hay en un hosting compartido como legible, saca los secretos, las credenciales y las copias de seguridad fuera del proveedor, y cambia hoy cualquier contraseña inicial que sigas usando.
¿Qué es una contraseña de un solo uso (OTP)? TOTP frente a HOTP frente a SMS, y sus límites
Una contraseña de un solo uso (OTP) es un código efímero de un solo uso que deja de valer al usarse. Tipos: TOTP de app de autenticación (basado en tiempo), HOTP (basado en contador) y SMS-OTP. Resiste bien las contraseñas filtradas y reutilizadas y suele ser el factor de «algo que tienes» en el 2FA. Pero tiene un límite: el phishing con atacante en el medio (AiTM) puede retransmitir una OTP a través de un sitio falso y aun así entrar. Una resistencia sólida al phishing viene de una passkey ligada al dominio. La OTP es «mucho mejor que nada, pero no el paso final».
¿Qué es la autenticación de dos factores (2FA)? Frente a los dos pasos, y la fortaleza de cada método
La autenticación de dos factores (2FA) refuerza la comprobación de identidad añadiendo una prueba de otra categoría —«algo que tienes» o «algo que eres» (un código, una llave o un dato biométrico)— sobre «algo que sabes» (tu contraseña). En sentido estricto no es lo mismo que la verificación en dos pasos (dos comprobaciones, no necesariamente dos categorías). La fortaleza depende del método: SMS/correo < app de autenticación (TOTP) < passkey/llave de seguridad (FIDO2). La postura de este sitio: activa primero algún 2FA en todo, y luego lleva las cuentas clave a métodos que no puedas entregar a un sitio de phishing.