El servicio de asistencia: la nueva brecha en la seguridad de las cuentas
Durante años, las organizaciones han reforzado sus ordenadores, redes y procedimientos de acceso a los sistemas. Pero un área clave de la gestión de la identidad digital —el servicio de asistencia— ha seguido a menudo poco protegida. Muchos sistemas no se diseñaron para exigir una verificación rigurosa de la identidad al recuperar el acceso o solicitar ayuda. Los ciberdelincuentes aprovechan cada vez más esta laguna.
La inteligencia artificial generativa ha hecho más convincente la ingeniería social. Los delincuentes pueden crear una voz parecida a la del director financiero a partir de grabaciones disponibles públicamente, mostrar un vídeo deepfake durante una llamada o encargar a agentes de IA que se hagan pasar insistentemente por un empleado a través de varios canales de comunicación. Recopilando información de redes sociales, filtraciones y sitios web corporativos, construyen una historia verosímil y luego adaptan sus respuestas sobre la marcha, según las preguntas del operador.
El objetivo suele ser sencillo: convencer a un empleado del servicio de asistencia para que restablezca una contraseña, registre un dispositivo nuevo o desactive la autenticación multifactor (MFA). Si lo consiguen, pueden robar datos, secuestrar una cuenta o propagar ransomware.
El problema es que muchos procedimientos de asistencia aún se basan en preguntas de seguridad, datos estáticos del empleado o una confirmación informal de un superior. Sin embargo, a menudo es posible que terceros accedan a los datos personales, la voz ya no puede considerarse una prueba fiable de identidad y una persona no siempre es capaz de detectar un engaño generado por IA. Además, el servicio de asistencia suele funcionar al margen de los principales sistemas de gestión de acceso y no está sujeto a las mismas normas que el inicio de sesión en una cuenta.
A medida que se extiende la IA, también aumentan las expectativas de los usuarios. Según los datos citados en el artículo, al 75 % de los consumidores les preocupa más la seguridad de sus datos personales que hace cinco años. Si falla la protección, la confianza y la reputación de una empresa se deterioran rápidamente y cuesta mucho recuperarlas. Por eso, la verificación de identidad no debe depender de la intuición del operador: debe estar integrada en la arquitectura de los sistemas.
El enfoque propuesto reúne el inicio de sesión, la recuperación del acceso y otras acciones de riesgo en un único sistema de verificación. La autenticación basada en FIDO, con credenciales vinculadas al dispositivo y verificación biométrica, reduce la dependencia de las contraseñas y de la información compartida. La protección criptográfica ayuda a combatir el phishing y la reutilización de datos interceptados. Las mismas reglas deben aplicarse al restablecer contraseñas, volver a verificar la identidad y registrar dispositivos nuevos; además, las decisiones debe tomarlas el sistema de forma coherente, en vez de depender del criterio humano.
Otro elemento es la identidad descentralizada. Una organización puede emitir a los usuarios credenciales digitales verificables y a prueba de falsificaciones que acrediten, por ejemplo, su lugar de trabajo, cargo u otros atributos necesarios. El usuario las guarda en una cartera digital segura, y la organización verifica la prueba criptográfica sin reunir datos sensibles en una única base de datos centralizada.
Este enfoque sustituye la comprobación basada en datos que supuestamente solo debería conocer una persona por la verificación de una prueba digital. Cuando contacta con el servicio de asistencia, el usuario presenta su credencial y el sistema comprueba que es auténtica. El operador ya no tiene que decidir a ojo si quien tiene delante es realmente el titular de la cuenta.
Una recuperación de acceso autónoma y fiable permite a los usuarios recuperar su cuenta sin llamar al servicio de asistencia. Esto reduce la carga de trabajo del personal y elimina uno de los blancos más cómodos para la ingeniería social. Así, el servicio de asistencia deja de ser el juez principal de la identidad del usuario, y el riesgo no aumenta a la par que el volumen de trabajo.
La protección debe abarcar todos los procesos en los que se verifica una identidad, se transfieren privilegios o se recupera el acceso. La arquitectura puede separar una capa de control, que establece las reglas, y una capa de ejecución, que las aplica del mismo modo en cada interacción.
Los deepfakes y el engaño automatizado serán cada vez más rápidos y convincentes. La respuesta debe ser un sistema sólido que verifique de forma uniforme a los usuarios, los dispositivos y las operaciones. Así, la identidad deja de ser una comprobación puntual al iniciar sesión y se convierte en una capa de protección integrada en todos los procesos de trabajo.
El artículo original se publicó en el marco de TechRadar Pro Perspectives; la opinión del autor puede no coincidir con la de TechRadar Pro y Future plc. La nota editorial sobre software de cortafuegos no forma parte del contenido principal del artículo.
PEREC.RU
El artículo presenta el servicio de asistencia como un eslabón vulnerable de la ciberseguridad corporativa. Las empresas llevan tiempo protegiendo redes, dispositivos y procesos de inicio de sesión, pero la recuperación del acceso y las solicitudes de ayuda suelen estar menos reguladas y quedan al margen de los principales sistemas de gestión de identidades. Los delincuentes se aprovechan de ello mediante la ingeniería social.
La IA generativa amplía las posibilidades de ataque: permite sintetizar la voz de un directivo a partir de grabaciones públicas, mostrar vídeos deepfake en una conversación en directo y encargar a agentes de IA que mantengan una suplantación prolongada a través de varios canales. Para resultar convincentes, los delincuentes recopilan información de redes sociales, filtraciones y sitios web corporativos, y adaptan sus respuestas en tiempo real. Su objetivo es lograr que el servicio de asistencia restablezca una contraseña, registre un dispositivo nuevo o eluda la autenticación multifactor. Un ataque exitoso puede acabar en el secuestro de cuentas, el robo de datos y la propagación de ransomware.
Los métodos tradicionales de verificación —preguntas de seguridad, datos estáticos del empleado y confirmaciones informales de un superior— no son fiables: la información personal suele estar al alcance de cualquiera, la voz puede falsificarse y las personas no siempre detectan el contenido sintético. Además, los procesos de asistencia a menudo no se rigen por las mismas políticas que el inicio de sesión. El artículo señala que al 75 % de los consumidores les preocupa más la seguridad de sus datos personales que hace cinco años; un fallo de protección destruye rápidamente la confianza y la reputación de una organización.
El autor propone integrar la verificación, la recuperación del acceso y las operaciones de riesgo en una única arquitectura de identidad. La autenticación basada en FIDO, vinculada a un dispositivo concreto y reforzada con biometría, reduce la dependencia de las contraseñas y de la información compartida. La protección criptográfica ayuda a combatir el phishing y la reutilización de datos interceptados. Los mismos requisitos deben aplicarse al restablecer contraseñas, volver a verificar la identidad y registrar dispositivos, y el sistema debe tomar las decisiones conforme a reglas predefinidas.
La identidad descentralizada permite emitir credenciales digitales a prueba de falsificaciones que acrediten, por ejemplo, el lugar de trabajo o el cargo. El usuario las guarda en una cartera digital segura y la organización verifica la prueba criptográfica sin concentrar datos sensibles en una única base de datos centralizada. Así, la verificación no depende de lo que supuestamente sabe una persona, sino de una prueba que acredita su identidad.
Una recuperación de acceso autónoma y fiable permite prescindir de las llamadas al servicio de asistencia, reduce la carga de trabajo del personal y limita las oportunidades de ingeniería social. En el modelo propuesto, el operador no tiene que decidir por intuición si quien tiene delante es el usuario legítimo: lo comprueba el sistema. La arquitectura separa una capa de control, que fija las reglas, y una capa de ejecución, que las aplica de manera uniforme en todos los procesos.
Como el engaño mediante IA será más rápido, convincente y automatizado, la verificación de identidad debe abarcar a los usuarios, los dispositivos y todas las operaciones en las que se recupere el acceso o se transfieran privilegios. En este enfoque, la identidad deja de ser una comprobación puntual al iniciar sesión y se convierte en una capa de protección integrada en el sistema. El artículo se publicó en TechRadar Pro Perspectives; la postura del autor no tiene por qué coincidir con la de TechRadar Pro y Future plc. La mención de una selección de cortafuegos es una inserción editorial ajena al contenido principal.
