Unos atacantes prueban en tu login parejas de email y contraseña filtradas en otras brechas. ¿Cuál es la mitigación más fuerte?
Opciones
- Timeouts de sesión más largos para los usuarios conectados
- MFA, más rate limiting y comprobación de contraseñas filtradas (Opción correcta)
- Ocultar al público la URL de la página de login
- Cambiar el formulario de login para que use GET
Respuesta
Autenticación multifactor, más rate limiting y comprobación de contraseñas filtradas
Por qué
La gente reutiliza contraseñas. Cuando se vulnera otro sitio, los atacantes prueban automáticamente esas parejas de email y contraseña en muchos otros: credential stuffing.
MFA frena casi todo, porque la contraseña sola no basta.
Además, aplica rate limiting a los intentos de login por IP y por cuenta, detecta bots y rechaza contraseñas que se sabe que están en filtraciones.
Recuerda
Credential stuffing → MFA + rate limiting.