Empresas digitales en usa y el mundo Información acerca de empresas y compañias digitales en internet y en usa 
Después de sufrir dos ataques de relleno de credenciales en lo que va de 2024, el segundo de los cuales comprometió más de medio millón de cuentas, Roku ahora exige a los clientes que configuren un método 2FA.
Si bien los atacantes no pueden extraer información financiera de las cuentas comprometidas, pueden realizar compras de hardware y software en la plataforma utilizando los métodos de pago almacenados en las cuentas que capturan. Si bien la mayoría de los 80 millones de usuarios de Roku no se ven afectados por el ataque, todos deberán configurar al menos el correo electrónico 2FA para continuar usando sus cuentas.
Varios ataques de relleno de credenciales a partir de 2024 provocarán cambios de seguridad en Roku
El ataque de relleno de credenciales más reciente comprometió alrededor de 576.000 cuentas de Roku. La infracción inicial, que se produjo desde finales de diciembre hasta finales de febrero y se informó a principios de marzo, involucró sólo a unas 15.000 cuentas de usuarios. En ambos casos, los actores de la amenaza parecían estar probando combinaciones de nombre de usuario y contraseña filtradas de filtraciones de datos anteriores en otras empresas.
Roku dice que solo alrededor de 400 de las cuentas violadas tenían transacciones enviadas por los piratas informáticos, pero los dos ataques de relleno de credenciales provocaron importantes cambios de seguridad. A los usuarios con cuentas comprometidas se les restablecen sus contraseñas, pero todos los usuarios también deberán confirmar su dirección de correo electrónico como método básico 2FA para continuar con el acceso a la cuenta. La compañía también dijo que reembolsará a los usuarios cuyas cuentas fueron creadas por piratas informáticos.
El lado positivo de los ataques de relleno de credenciales es que los piratas informáticos aparentemente no pudieron ver la información de pago de los clientes ni la información de contacto confidencial a través de las cuentas, por lo que mientras Roku reembolse las compras fraudulentas, no debería haber ninguna daño duradero. Los clientes que no hayan iniciado sesión por un tiempo necesitarán tener acceso a la dirección de correo electrónico asociada con su cuenta de Roku; sin embargo, se les pedirá que hagan clic en el enlace de verificación de correo electrónico para configurar el método 2FA la próxima vez que inicien sesión.
Sin embargo, es importante que los usuarios de Roku a quienes se les haya enviado un aviso cambien sus contraseñas, porque los atacantes pueden intentar vender cuentas comprometidas en la web oscura (donde a menudo se venden por menos de $1). Las compras dentro de la aplicación de los piratas informáticos se limitan a productos fabricados por Roku, pero pueden incluir algunos dispositivos relativamente caros, como televisores y cajas de streaming.
El correo electrónico 2FA ahora es obligatorio para iniciar sesión como cliente de Roku, pero puede que no sea suficiente
El correo electrónico 2FA proporciona seguridad adicional, que podría ser suficiente para detener los ataques de relleno de credenciales. Sin embargo, los expertos en seguridad generalmente consideran que el método multifactor es demasiado básico e inadecuado, y las páginas de soporte de Roku indican que se puede evitar si un atacante conoce los últimos cinco dígitos del número de identificación de cualquier dispositivo de transmisión Roku en la cuenta.
Roku ya está lidiando con la insatisfacción de los clientes relacionada con un cambio reciente en sus términos de servicio que obliga a los clientes a aceptar el arbitraje en lugar de presentar una demanda contra la empresa. Algunos clientes han recurrido a las redes sociales para expresar su creencia de que este cambio se debe a ataques de relleno de credenciales, pero Roku dice que el cambio de política no tiene relación.
Roku ha sido uno de los nombres más importantes en el streaming de «televisión inteligente» desde su lanzamiento en asociación con Netflix hace 15 años, y tiene la mayor participación en el mercado de streaming de TV de EE. UU. La empresa se encuentra actualmente en su décima generación de productos, que se lanzaron por primera vez en 2021. Pero parece haber recibido más críticas de seguridad a lo largo de los años, especialmente cómo lo destacó un artículo de Consumer Reports de 2018 (y algunos otros). Marcas de TV) recopila una gran cantidad de datos privados sensibles de los usuarios, sin que estos conozcan necesariamente la dirección de su perfil.
Se han planteado otras preocupaciones de seguridad tanto sobre Roku como sobre los dispositivos de transmisión inteligente en general, que van desde la falta de transparencia a la que pueden estar sujetas las vulnerabilidades basadas en Linux, hasta la posibilidad de que los piratas informáticos obtengan un acceso relativamente fácil a los dispositivos, poniéndolos en casa en riesgo. Redes wifi. Pero las cuentas de streaming no han demostrado ser una prioridad particular para los ciberdelincuentes avanzados, probablemente porque sólo pueden venderse a precios bajos en la web oscura, ofreciendo poco más que la posibilidad de acceder a contenido de vídeo pago.
Sin embargo, recientemente se produjo otra infracción importante cuando Plex fue pirateado a mediados de 2022. El incidente proporcionó información de contacto básica del cliente, pero contraseñas de cuentas cifradas, lo que afectó a aproximadamente 30 millones de clientes.
Ted Miracco, director ejecutivo de Approov, cree que Roku aún necesita realizar mejoras en la seguridad de la API: «Si bien los esfuerzos de Roku para implementar la autenticación de dos factores (2FA) y restablecer las contraseñas de las cuentas comprometidas son pasos iniciales loables, son lamentablemente inadecuados en el contexto de requisitos modernos de ciberseguridad Depender de medidas de seguridad tradicionales como 2FA y simplemente administrar credenciales revela un malentendido fundamental del panorama de amenazas actual, especialmente en el entorno digital actual donde las API sirven como puertas de enlace cruciales para grandes cantidades de datos confidenciales de los usuarios y requieren una estrategia de defensa más sólida que la de Roku. Las API propuestas, especialmente aquellas que interactúan con dispositivos móviles, a menudo son el objetivo de ataques de robots sofisticados que no pueden frustrarse mediante una simple administración de credenciales o protocolos de autenticación básicos. Una postura de seguridad verdaderamente efectiva requiere la integración de medidas avanzadas, como la autenticación de aplicaciones y. Controles de acceso basados en tokens. La verificación de aplicaciones garantiza que sólo las versiones legítimas y no manipuladas de una aplicación puedan interactuar con servicios backend críticos, neutralizando de manera efectiva muchas amenazas potenciales en la fuente. De manera similar, el acceso basado en tokens a las API puede proporcionar un método más seguro y controlado para gestionar las interacciones entre dispositivos y servicios backend, garantizando que cada solicitud esté autenticada, autorizada, rastreable y de corta duración.
«Si bien la respuesta de Roku es un paso en la dirección correcta, es sólo una cuestión de aprovechar estas salvaguardas avanzadas. Es imperativo que Roku mejore su arquitectura de seguridad más allá de los métodos tradicionales para protegerse contra los cada vez más sofisticados y diversos vectores de ataque de ciberamenazas de hoy en día. Fracaso. hacerlo, además de comprometer la seguridad del usuario, también podría socavar la confianza en el compromiso de Roku de proteger verdaderamente a sus usuarios”, añadió Miracco.
