Un agente de pentesting basado en Inteligencia Artificial (IA) ha descubierto una vulnerabilidad crítica de bypass de autenticación por código de un solo uso (OTP) en el sitio web de producción de una importante aseguradora con millones de usuarios. Esta falla permitió que el agente eludiera el proceso de inicio de sesión de forma autónoma, demostrando un acceso no autorizado.
La vulnerabilidad radicaba en un diseño deficiente de la solicitud de inicio de sesión. El sistema permitía a los usuarios especificar tanto el canal de envío (por ejemplo, correo electrónico) como la dirección de destino del OTP. Crucialmente, el servidor no validaba si la dirección proporcionada pertenecía realmente a la cuenta del usuario, enviando el código a cualquier dirección especificada. Esto rompía un principio fundamental de seguridad: la vinculación del OTP a la cuenta legítima, dejando la puerta abierta a un atacante con conocimientos de los identificadores del cliente.
Este incidente subraya la necesidad crítica de una validación estricta en el lado del servidor para todos los parámetros de autenticación, asegurando que la información de envío del OTP esté intrínsecamente ligada y verificada contra los datos registrados de la cuenta. Además, la noticia resalta las limitaciones de los pentests puntuales, ya que la aseguradora había realizado una evaluación previa seis meses antes. Las aplicaciones web evolucionan constantemente, y los atacantes, ahora con la ayuda de la IA, encuentran vulnerabilidades rápidamente, lo que exige evaluaciones de seguridad continuas y adaptativas.
Qué significa para tu empresa: Este caso evidencia que las vulnerabilidades en la autenticación pueden tener consecuencias severas, incluso en sistemas con mecanismos como el OTP. Para proteger los accesos a sus aplicaciones y sistemas, es fundamental implementar y mantener una estrategia robusta de Identidad y MFA. Además, una solución de WAF para aplicaciones puede actuar como una capa adicional de defensa, filtrando y bloqueando intentos de manipulación de solicitudes web antes de que lleguen a la aplicación, fortaleciendo la seguridad de las aplicaciones frente a este tipo de bypasses.
Fuente original: The Hacker News — ver artículo →