Pulse

Rob Griffin, MIRACL: cómo las plataformas de juegos online pueden conciliar la experiencia del usuario con la ciberseguridad

La ciberseguridad y la experiencia del usuario siempre han estado reñidas. A medida que aumentan las tasas de ataque, las empresas se han visto obligadas a superar obstáculos adicionales que los usuarios que intentan iniciar sesión deben superar.

Las crecientes demandas de los reguladores de que los clientes y sus datos estén sujetos a controles y seguridad adecuados han significado que el status quo de una contraseña obsoleta no sea una opción, a pesar del impacto en la facilidad de uso.

Además, para las industrias que se basan en la necesidad de entretener a sus clientes (como los juegos en línea), la velocidad y la accesibilidad son de suma importancia.

Por lo tanto, hasta la fecha, las soluciones de seguridad han dejado a estas industrias con un problema real que amenaza la rentabilidad e incluso la viabilidad de sus negocios. Necesitan una tecnología de autenticación sencilla y segura.

Los juegos en línea han experimentado un aumento notable en los últimos años. La soledad, el aburrimiento y la desesperanza del bloqueo de COVID-19 alentaron a muchos a recurrir a los juegos en busca de compañía, entretenimiento y escapismo.

En marzo de 2020, Verizon reveló que el tráfico de juegos en línea aumentó un asombroso 75 por ciento durante el brote de COVID-19. El impacto de la pandemia fue tan grande que los expertos lo promocionaron como la marca de una nueva era para la industria.

Sin embargo, como dice el viejo refrán: más dinero, más problemas. Así como los juegos en línea se establecieron como los herederos aparentes del trono del entretenimiento ligero, también surgieron como el objetivo favorito de los ciberdelincuentes.

De hecho, una investigación publicada en 2021 reveló que la industria del juego experimentó un aumento más significativo de ciberataques que cualquier otra industria durante la pandemia.

El éxito de los juegos online depende de tres principios: velocidad, impulsividad y diversión. Los controles de seguridad, especialmente los protocolos orientados al consumidor, como la autenticación, pueden diluir estos principios y actuar como una barrera para una experiencia de usuario óptima.

A medida que aumenta la competencia dentro del sector, es comprensible que los proveedores de juegos no estén dispuestos a aumentar su tiempo de juego o de apuesta ni siquiera en un segundo.

Hasta hace poco, el conflicto entre seguridad y experiencia del usuario ha sido en gran medida interno y muy desigual.

Imagine a un CISO de aspecto cansado apelando a la junta directiva para una autenticación más estricta, solo para ser rechazado debido a impactos en el rendimiento para obtener una imagen bastante precisa. Pero en julio de este año, al menos para las plataformas de juegos de Nueva Jersey, las cosas cambiaron.

La legislatura de Nueva Jersey anunció a principios de este año que introduciría nuevas regulaciones de apuestas que exigen el uso de la autenticación de dos factores (2FA) o la autenticación de múltiples factores (MFA) para los juegos de azar en línea. Por primera vez, las plataformas de juegos de azar en línea se vieron obligadas a anteponer la seguridad.

Antes de que los fanáticos de la seguridad se entusiasmen demasiado, vale la pena señalar que estas regulaciones no necesariamente se implementaron para reforzar la seguridad de las plataformas de juegos de azar en línea. Claro, ese fue un resultado secundario, pero en realidad fue el problema de las “apuestas de mensajería” lo que impulsó acciones legales.

Las apuestas de Messenger se producen cuando una persona secundaria realiza una apuesta en una jurisdicción legal bajo la cuenta de otra persona. La práctica constituye una violación de las leyes federales de EE. UU. y del estado de Nueva Jersey, pero eso no impide que la gente lo intente.

En 2020, Larry Porter hizo una apuesta de 3 millones de dólares en un parlay de tres partidos desde su casa en Nueva Jersey en nombre de su amigo Eric Stevens, un cliente VIP de DraftKings que vive en Jacksonville. La apuesta era bastante simple: si Georgia, Alabama y los Green Bay Packers ganaran sus respectivas divisiones, Stevens se llevaría a casa 5.5 millones de dólares.

Dos semanas después, Stevens nota algo extraño. Su cuenta está congelada. DraftKings había descubierto lo que estaba haciendo y lo detuvo. Hemos establecido que las apuestas por mensajería violan las leyes estatales y federales, pero también debemos tener en cuenta que es una infracción de la política de la empresa DraftKings.

¿El giro? DraftKings, a sabiendas, permitió a Stevens realizar apuestas por mensajería desde su suite en el SuperBowl 2020 en Florida.

En pocas palabras, la apuesta se canceló y DraftKings recibió una multa de 150,000 dólares, que fue ampliamente criticada por ser demasiado baja y "enviar el mensaje equivocado". Sin embargo, la debacle tuvo enormes ramificaciones para la industria del juego en línea, dando lugar a las regulaciones MFA y 2FA antes mencionadas.

Es importante recordar aquí que Nueva Jersey es el destino de juegos de azar en línea en los Estados Unidos. Si bien las regulaciones introducidas en un solo estado de EE. UU. pueden no parecer particularmente importantes, es probable que donde vaya Nueva Jersey, otros la sigan. No está fuera de lo posible que el Estado Jardín sea sólo la primera carta en caer.

Teniendo esto en cuenta, no es exagerado suponer que la AMF obligatoria está en el horizonte. Por fin, es posible que veamos que las probabilidades están a favor de la seguridad. La pregunta ahora es: ¿cómo implementan las organizaciones MFA sin ralentizar el proceso de inicio de sesión?

La respuesta es MFA en un solo paso.

Pero antes de entrar en eso, vale la pena echar un vistazo a la autenticación en su conjunto, para que podamos comprender mejor cómo llegamos a un solo paso.

Hay tres formas básicas de autenticación:

De factor único: requiere solo un factor de autenticación, normalmente la humilde contraseña;
Dos factores: requiere dos factores de autenticación como prueba de una autenticación exitosa del usuario final;
Multifactor: requiere al menos dos factores de autenticación, lo que significa que 2FA siempre es MFA, pero MFA no es necesariamente 2FA.

Los factores de autenticación, también conocidos como factores de verificación, se dividen en una de tres categorías:

Cosas que usted sabe (como un PIN);
Cosas que tienes (como un teléfono inteligente o una llave);
Cosas que eres (como una huella digital).

Quizás las formas más conocidas de 2FA sean a través de SMS y correo electrónico. Lo más probable es que haya utilizado este método de autenticación, proporcionando su dirección de correo electrónico o número de teléfono antes de recibir un código de un solo uso que utiliza para iniciar sesión. Contrarresta los simples hacks de contraseñas, pero es extremadamente complicado. Es mucho más probable que los usuarios lo acepten para males necesarios como la banca en línea, no tanto para actividades de ocio como los juegos en línea.

La MFA de un solo paso permite a los usuarios iniciar sesión utilizando nada más que un PIN o datos biométricos, lo que reduce significativamente el tiempo de juego o de apuesta en comparación con la MFA tradicional. Es más, la MFA en un solo paso reduce la fricción en los procesos de configuración de cuentas y pago; considerando que la fricción en el proceso de pago representa alrededor del 40 por ciento del abandono del carrito, la implementación de MFA en un solo paso podría resultar en enormes aumentos de ingresos para las plataformas de juegos en línea.

Pero, ¿cómo funciona la MFA en un solo paso? ¿No es un oxímoron? ¿Cómo puede ser a la vez de un solo paso y de múltiples factores? La respuesta es simple: la MFA de un solo paso utiliza la posesión de un dispositivo, que está autorizado para acceder a la cuenta, como uno de los factores de autenticación.

Por lo tanto, el usuario obtiene los beneficios de la seguridad MFA, sin tener que pasar por ningún obstáculo adicional para iniciar sesión. Eso significa que no más SMS, no más enlaces mágicos, y los usuarios ni siquiera necesitan un teléfono móvil para autenticarse.

Es más, implementar MFA en un solo paso no significa sacrificar la seguridad de la MFA tradicional. De hecho, es mucho más seguro porque, en primer lugar, la posesión de un dispositivo es mucho más difícil que obtener un código de seis dígitos a través de un correo electrónico o un mensaje de texto.

En segundo lugar, a diferencia del 90 por ciento de las soluciones MFA, la MFA en un solo paso protege contra todos los ataques remotos, como el phishing, el relleno de credenciales, la pulverización de contraseñas, la reproducción y los ataques de intermediario. Combine todos estos beneficios de seguridad sin tener que sacrificar la experiencia del usuario por la seguridad y tendrá el método de autenticación perfecto para los juegos en línea.

Independientemente de si las regulaciones de Nueva Jersey son realmente el presagio de una acción legislativa más amplia, una cosa está clara: la autenticación multifactor en un solo paso es el futuro de la verificación de juegos en línea.