La fase de incorporación inicial es un paso crucial tanto para los empleados como para los empleadores. Sin embargo, este proceso a menudo implica compartir contraseñas temporales del primer día, lo que puede exponer a las organizaciones a riesgos de seguridad.
Tradicionalmente, los departamentos de TI se han visto obligados a compartir sus contraseñas en texto claro por correo electrónico o mensaje de texto, o a celebrar reuniones en persona para comunicar verbalmente estas credenciales. Ambos métodos conllevan riesgos inherentes, que van desde ataques de intermediario hasta simples errores humanos por mala gestión de contraseñas. Esta vulnerabilidad abre la puerta a los piratas informáticos, que intentarán utilizar contraseñas débiles o interceptadas para obtener acceso no autorizado a los sistemas de la empresa.
En este artículo, exploramos los inconvenientes de los métodos tradicionales de distribución de contraseñas durante la incorporación de empleados y presentamos una solución que mejora la seguridad sin comprometer la facilidad de acceso para los nuevos empleados. Es posible que las organizaciones protejan sus entornos digitales desde el principio, garantizando una transición segura y fluida para los nuevos miembros del equipo.
¿Las contraseñas temporales siguen siendo temporales?
Las contraseñas temporales plantean importantes riesgos de seguridad, principalmente porque los usuarios finales a menudo no las cambian, a pesar de su uso previsto a corto plazo. Estas contraseñas generalmente están configuradas para que el usuario las reemplace después de su primer inicio de sesión. Sin embargo, este paso crucial puede descuidarse o pasarse por alto debido a diversas razones, como negligencia del usuario o problemas técnicos durante el proceso de incorporación. Cuando las contraseñas temporales no se actualizan, siguen siendo vulnerables a los ataques porque generalmente son más débiles y predecibles.
Los riesgos asociados con las contraseñas temporales se ven agravados por el hecho de que a menudo son simples o siguen patrones predecibles, lo que las convierte en blancos fáciles para ataques de fuerza bruta o de diccionario. La investigación de Specops reveló decenas de miles de credenciales robadas por malware con términos básicos como “bienvenido”, “invitado”, “usuario” y “cambio” sólo en el último año. Los usuarios finales no pueden cambiar estas contraseñas debido a una falta de conocimiento de las prácticas de seguridad o simplemente porque el sistema no aplica cambios de contraseña al iniciar sesión por primera vez. Además, si estas contraseñas se comparten en texto sin formato, pueden ser interceptadas por partes no autorizadas.
Un ejemplo del mundo real de una infracción resultante del uso indebido de contraseñas temporales es el incidente que involucró a Empresa de software SolarWindsLos piratas informáticos pudieron acceder a la plataforma Orion de la empresa utilizando una contraseña sencilla y conocida públicamente: “solarwinds123”. Se suponía que esta contraseña era temporal, pero nunca se actualizó, lo que provocó un ciberataque masivo e infame que comprometió a muchas organizaciones.
Riesgos de compartir contraseñas tradicionales
Tradicionalmente, las empresas han utilizado dos métodos principales para compartir las contraseñas del primer día con los nuevos empleados, cada uno con su propio conjunto de riesgos de seguridad. El primer método consiste en compartir contraseñas en texto sin formato, normalmente por correo electrónico o SMS. Este enfoque es simple y se utiliza con frecuencia debido a su simplicidad y conveniencia. Sin embargo, presenta importantes riesgos de seguridad. Los ciberdelincuentes pueden interceptar las comunicaciones de texto sin formato mediante ataques de intermediario. Una vez interceptadas, estas credenciales se pueden utilizar para obtener acceso no autorizado a los sistemas de la empresa, lo que puede provocar violaciones de datos y otros incidentes de seguridad.
El segundo método tradicional es compartir las contraseñas verbalmente el primer día de empleo del empleado. Esto se puede hacer en persona o por teléfono. Aunque este método reduce el riesgo de interceptación en comparación con las comunicaciones digitales de texto plano, todavía presenta vulnerabilidades. El intercambio verbal depende en gran medida de la disponibilidad y coordinación entre el personal de TI y el nuevo empleado, lo que puede resultar logísticamente difícil y propenso a errores. Además, si la contraseña se comparte a través de un tercero, como un administrador, esto introduce otro nivel de riesgo en el que la contraseña podría usarse indebidamente o divulgarse sin darse cuenta.
Ambos métodos, aunque se utilizan habitualmente, no gestionan de forma segura y fiable información confidencial como las contraseñas. Exponen a las organizaciones a posibles violaciones de seguridad y no son consistentes con las mejores prácticas en la gestión de la seguridad de la información.
Incorpore nuevos usuarios de forma segura sin contraseñas temporales
Incorporar nuevos usuarios de forma más segura es esencial para proteger los datos de la empresa desde el principio. Specops Software ahora ofrece su función Contraseña del primer día como parte de Specops uReset para abordar las brechas de seguridad inherentes a los métodos tradicionales de distribución de contraseñas durante el proceso de incorporación de empleados.
Esta herramienta revoluciona la gestión de contraseñas al eliminar la necesidad de compartir las contraseñas iniciales directamente con nuevos usuarios. En lugar de recibir una contraseña temporal que podría ser interceptada o manejada de manera insegura, los nuevos empleados pueden establecer sus propias contraseñas a través de un sistema seguro.
Así es como funciona: al registrarse, los nuevos empleados reciben un enlace de registro por SMS, correo electrónico personal o mediante un enlace “restablecer mi contraseña” en su dispositivo conectado al dominio. Este enlace los lleva a una pantalla de verificación donde confirman su identidad mediante su correo electrónico personal o número de teléfono celular. Una vez verificados, se les dirige a una pantalla de comentarios dinámicos donde pueden crear su propia contraseña de acuerdo con la política de contraseñas de la organización.
Este método no solo protege el proceso de creación de contraseñas, sino que también se integra perfectamente con otros productos de Specops, como la Política de contraseñas de Specops con protección de contraseña infringida. Esta herramienta fortalece aún más la seguridad al fomentar la creación de contraseñas más largas y bloquear el uso de más de 4 mil millones de contraseñas comprometidas conocidas. Este enfoque integral garantiza que desde el primer día los usuarios finales tengan contraseñas seguras y compatibles, lo que reduce significativamente el riesgo de amenazas cibernéticas.
Al utilizar la contraseña del primer día de Specops y sus funciones de seguridad integradas, las empresas pueden brindar una experiencia de incorporación más segura que proteja tanto al nuevo usuario como a los activos digitales de la empresa. Hable con un experto para saber cómo la contraseña del primer día podría adaptarse a su organización.