Account takeover
En seguridad de aplicaciones, el account takeover es el desenlace en el que un atacante acaba controlando la cuenta de un usuario legítimo. No es una técnica concreta, sino el punto en el que convergen varias, y es el término que usa un informe cuando el negocio necesita el impacto y no el mecanismo.
Cómo funciona
Hay cuatro rutas habituales y todas llegan al mismo sitio. Reutilizar credenciales filtradas en otro servicio, que es el credential stuffing. Probar una sola contraseña débil contra muchas cuentas, que es el password spraying. Robar una sesión ya emitida en vez de la contraseña, que es el secuestro de sesión. O abusar del proceso de recuperación, que es la ruta que no necesita ninguna credencial.
La recuperación es donde viven los fallos interesantes, porque es un bypass deliberado de la autenticación que hay que construir en toda aplicación. Si el enlace de restablecimiento se deriva de un valor predecible, si el destino del correo de restablecimiento se puede influir desde una cabecera de la petición, si el token no caduca o no se invalida al usarlo, o si el código de un solo uso se puede intentar sin límite, entonces el flujo de recuperación es una segunda puerta principal con cerraduras peores que la primera.
Qué sale mal
La defensa se coloca casi siempre solo en el formulario de acceso. Encontramos con regularidad controles fuertes en el login y ninguno en el flujo de recuperación, en el endpoint móvil, en la interfaz heredada o en las herramientas de soporte. Añadir un segundo factor al login y dejar la recuperación en un código enviado por correo significa que la cuenta está protegida por la cuenta de correo, y el atacante lo sabe.
El segundo fallo recurrente es que el account takeover no se puede detectar después. La aplicación no registra qué dispositivo ni qué dirección cambió el correo electrónico, no avisa a la dirección anterior y no cierra las demás sesiones cuando cambia la contraseña. Esa combinación deja a la víctima sin poder ver que ocurrió y al operador sin poder reconstruirlo. Un registro de infostealer comprado por unos euros basta para empezar, y por eso este es un problema de volumen y no de objetivo elegido.
Dónde aparece esto en una auditoría
Probamos el conjunto entero: acceso, segundo factor, recuperación, cambio de correo, cierre de sesiones y la interacción entre todos ellos. El informe se escribe como la cadena que llevó al control de la cuenta, con el paso concreto que lo hizo posible marcado como la corrección, y recoge cuáles de esos eventos generaron una entrada de registro o una notificación. Cuando el account takeover tiene consecuencias de negocio más allá de la propia cuenta, como medios de pago guardados, lo decimos de forma explícita. Esto forma parte de cómo probamos los flujos de autenticación y de recuperación.