Служба поддержки — новая дыра в защите аккаунтов

Организации годами укрепляли компьютеры, сети и процедуры входа в системы. Но важный участок управления цифровой идентичностью — служба поддержки — часто оставался слабо защищённым. Многие системы изначально не предусматривали строгую проверку личности при восстановлении доступа и обращениях за помощью. Этим пробелом всё активнее пользуются злоумышленники.

Генеративный искусственный интеллект сделал социальную инженерию убедительнее. Преступники могут создать голос, похожий на голос финансового директора, используя общедоступные записи, показать дипфейк-видео во время звонка или поручить ИИ-агентам настойчиво выдавать себя за сотрудника сразу в нескольких каналах связи. Собирая сведения из соцсетей, утечек и корпоративных сайтов, они делают легенду правдоподобной, а затем меняют ответы на ходу — в зависимости от вопросов оператора.

Обычно цель проста: убедить сотрудника поддержки сбросить пароль, зарегистрировать новое устройство или отключить многофакторную аутентификацию (MFA). Успех может привести к краже данных, захвату аккаунта или распространению программ-вымогателей.

Проблема в том, что многие процедуры поддержки всё ещё опираются на секретные вопросы, статические сведения о сотруднике или неформальное подтверждение от руководителя. Но личные данные часто доступны посторонним, голос больше нельзя считать надёжным доказательством личности, а человек не всегда способен распознать созданный ИИ обман. Кроме того, служба поддержки нередко работает отдельно от основных систем управления доступом и не подчиняется тем же правилам, что и вход в аккаунт.

На фоне распространения ИИ растут и ожидания пользователей. Согласно приведённым в статье данным, 75% потребителей сильнее беспокоятся о безопасности личных данных, чем пять лет назад. Если защита даёт сбой, доверие и репутация компании быстро разрушаются и с трудом восстанавливаются. Поэтому проверка личности не должна зависеть от интуиции оператора: её нужно встроить в архитектуру систем.

Предлагаемый подход объединяет вход, восстановление доступа и другие рискованные действия в единую систему проверки. Аутентификация на основе FIDO с привязкой учётных данных к устройству и биометрической проверкой снижает зависимость от паролей и общих сведений. Криптографическая защита помогает противостоять фишингу и повторному использованию перехваченных данных. Те же правила должны действовать при сбросе пароля, повторной проверке личности и регистрации нового устройства, а решения должны приниматься системой последовательно, а не зависеть от человеческой оценки.

Другой элемент — децентрализованная идентичность. Организация может выдавать пользователям защищённые от подделки проверяемые цифровые удостоверения, например подтверждающие место работы, должность или другие необходимые атрибуты. Пользователь хранит их в защищённом цифровом кошельке, а организация проверяет криптографическое доказательство, не собирая чувствительные данные в одной центральной базе.

Такой подход заменяет проверку по сведениям, которые человек якобы должен знать, проверкой цифрового доказательства. При обращении в поддержку пользователь предъявляет удостоверение, а система проверяет его подлинность. Оператору больше не нужно решать на глаз, действительно ли перед ним владелец аккаунта.

Надёжное самостоятельное восстановление доступа позволяет пользователям вернуть аккаунт без звонка в поддержку. Это сокращает нагрузку на сотрудников и убирает одну из удобных мишеней для социальной инженерии. В итоге служба поддержки перестаёт быть главным судьёй личности пользователя, а риск не растёт вместе с объёмом работы.

Защита должна охватывать все процессы, где личность проверяют, передают полномочия или восстанавливают доступ. Архитектура может разделять уровень управления, задающий правила, и уровень исполнения, который одинаково применяет их при каждом взаимодействии.

Дипфейки и автоматизированный обман будут становиться быстрее и убедительнее. Ответом должна быть устойчивая система, которая одинаково проверяет пользователей, устройства и операции. Тогда идентичность перестаёт быть разовой проверкой при входе и становится встроенным уровнем защиты во всех рабочих процессах.

Исходная статья опубликована в рамках TechRadar Pro Perspectives; мнение автора может не совпадать с позицией TechRadar Pro и Future plc. Редакционная приписка о программном обеспечении для межсетевых экранов не относится к основному содержанию материала.