A2: Broken Authentication · 2017

Controles débiles de identidad, credenciales o sesiones permiten suplantación y toma de cuentas

Resumen

Controles débiles de identidad, credenciales o sesiones permiten suplantación y toma de cuentas. El riesgo incluye recuperación insegura, sesiones mal gestionadas y ausencia de defensas contra ataques automatizados.

Cómo funciona el ataque

Un atacante prueba credenciales robadas en un inicio de sesión sin límites de intentos ni segundo factor y toma una cuenta.

Ejemplo

Vulnerable · Pseudocódigo

login:
  rate_limit: off
  mfa: disabled

Corrección: Limitar intentos por cuenta y origen; exigir MFA.

Prevención

Adoptar autenticación multifactor y políticas de credenciales seguras.
Proteger sesiones, rotar identificadores y cerrar sesiones de forma confiable.
Limitar intentos, detectar credenciales comprometidas y evitar cuentas predeterminadas.

Linaje

2013 · A2: Broken Authentication and Session Management Renombrada en 2017
2017 · A2: Broken Authentication Renombrada y baja en 2021
2021 · A07: Identification and Authentication Failures Renombrada desde A2:2017
2025 · A07: Authentication Failures Nombre simplificado

2013:A2 → 2017:A2: El nombre se simplifica y mantiene el puesto 2.
2017:A2 → 2021:A07: Broken Authentication se amplía y cambia de nombre.
2021:A07 → 2025:A07: El nombre se simplifica a Authentication Failures.

Fuentes

Abrir fuente oficial ↗

Invítame un café