FNB decidió deshabilitar el autocompletado de contraseñas, pero luego cambió de opinión de inmediato

Elegir el banco que se encargará de nuestras finanzas personales no es una elección que hagamos a la ligera. Después de todo, a menudo le damos a esta organización nuestros ahorros de toda la vida, y queremos asegurarnos de que estén en buenas manos. Es una gran responsabilidad, y es triste cuando ves que algunas de las personas que lo toman tienen agujeros obvios en su comprensión de la ciberseguridad. Los clientes de First National Bank (FNB) en Sudáfrica conocen muy bien este sentimiento particular.

FNB bloquea el autocompletado

El 12 de agosto, el medio de comunicación empresarial sudafricano BusinessTech.co.za informó que los clientes de FNB fueron recibidos por un nuevo aviso en el sitio web del banco que decía que los usuarios ya no podrían usar sus navegadores para guardar sus contraseñas bancarias. La página de destino continuó diciendo que el llenado automático de las credenciales de inicio de sesión se había bloqueado por razones de seguridad y que a partir de ahora, los clientes tendrían que ingresar sus contraseñas manualmente cada vez que quieran iniciar sesión.

FNB desbloquea autocompletar

El 20 de agosto, BusinessTech.co.za dijo que FNB había revisado su decisión. Una vez más, los clientes pueden usar herramientas automatizadas para ingresar sus credenciales de inicio de sesión.

Como era de esperar, el banco decidió eliminar las limitaciones de autocompletar después de que varios clientes molestos escribieron para decir lo descontentos que estaban con las nuevas reglas. Definitivamente fue la decisión correcta, no solo porque puso a algunas personas de mejor humor. De hecho, es justo decir que el bloque no debería haber aparecido en primer lugar.

¿Por qué bloquear el autocompletar es una mala decisión?

A primera vista, hay al menos dos razones muy sólidas para limitar el llenado automático de nombres de usuario y contraseñas. Por un lado, la mayoría de las personas que usan esta funcionalidad confían ampliamente en sus navegadores para la gestión de sus credenciales de inicio de sesión. Desafortunadamente, el hecho de que el malware bancario y robo de contraseñas haya estado eliminando credenciales de inicio de sesión de los navegadores durante años muestra que las herramientas que utilizamos para navegar por la web no son muy efectivas para proteger este tipo particular de datos confidenciales.

Luego está el hecho de que la información de inicio de sesión guardada con un navegador es fácilmente accesible. Si tiene acceso físico a un dispositivo, ver las contraseñas guardadas con su navegador es, en la mayoría de los casos, cuestión de unos pocos clics.

Estos son los argumentos que FNB utilizó cuando inicialmente bloqueó el llenado automático de contraseñas. El banco dijo que la mayoría de las familias de malware pueden robar credenciales guardadas con navegadores y que este tipo de datos también es extremadamente fácil de obtener en caso de que el dispositivo de un cliente caiga en las manos equivocadas. A primera vista, todos estos son puntos válidos, y si está a cargo de la seguridad de muchos clientes bancarios, puede pensar que hacer que las personas ingresen sus credenciales de inicio de sesión manualmente es la opción más segura. Sin embargo, no lo es.

Por un lado, si suponemos que el malware es la mayor amenaza, entonces no debemos ignorar el hecho de que incluso el keylogger más simple puede registrar la contraseña mientras se escribe en un teclado. Y luego tenemos que considerar la posibilidad de que el malware no sea la mayor amenaza en absoluto.

Independientemente de si está utilizando un navegador o una solución de administración de contraseñas dedicada como Cyclonis Password Manager , el autocompletado no es solo una conveniencia. Le permite usar contraseñas seguras y únicas para cada una de sus cuentas en línea. Una contraseña segura es difícil de escribir y más difícil de recordar, y hacer un seguimiento de muchas contraseñas seguras diferentes es absolutamente imposible. Con autocompletar, nada de esto es necesario.

Si obliga a los usuarios a ingresar su contraseña cada vez que intentan acceder a su cuenta, recurrirán a una contraseña débil o reutilizarán una que haya sido guardada en otro sitio web. El resultado final es que, a pesar de todos los riesgos que conlleva, es probable que el autocompletar mejore la seguridad de los usuarios, no la dañe. El departamento de TI de FNB se dio cuenta (aunque con un pequeño retraso), y solo podemos esperar que las personas que administran bancos en todo el mundo también lo descubran.