Social engineering nell’help desk: perché il recupero dell’account è l’anello debole

Le aziende hanno dedicato anni a rafforzare la sicurezza dell'accesso principale con metodi quali SSO, MFA, passkey e Zero Trust. Tuttavia, ogni programma di gestione delle identità necessita comunque di un percorso di ripristino. Quando un utente smarrisce un dispositivo o non riesce più ad accedere, l'organizzazione deve decidere se reimpostare l'autenticazione a più fattori (MFA), emettere nuove credenziali o associare un nuovo dispositivo.

È interessante notare che, il recupero dell'account rappresenta forse l'area più pericolosa della superficie di attacco, eppure raramente riceve lo stesso livello di attenzione. Gli aggressori non hanno sempre bisogno di aggirare direttamente l'autenticazione a più fattori (MFA) quando riescono a convincere un servizio di assistenza o un flusso di lavoro di recupero a bypassarla.

Se il recupero dipende da fatti noti, da codici condivisibili o dal giudizio di un agente, in realtà si tratta di verificare ciò che qualcuno ha o sa – e non se la persona giusta sia realmente presente.

Come funziona effettivamente oggi il recupero dell'account

Prima di esaminare in che modo il recupero venga messo in discussione, vale la pena chiarire con precisione come la maggior parte delle organizzazioni lo gestisca effettivamente.

In un’azienda tipica, un dipendente che è stato escluso dal posto di lavoro ha due possibilità per rientrare.

Reimpostazione della password in modalità self-service (SSPR): un dipendente conferma qualcosa che conosce o qualcosa che possiede: domande di sicurezza, un tesserino identificativo o un codice di accesso monouso inviato a un numero registrato o a un indirizzo e-mail di riserva. Il sistema reimposta le credenziali o registra un nuovo dispositivo.

Help desk: Il percorso assistito consiste solitamente in una telefonata all’help desk IT. Viene spesso utilizzato quando il dipendente ha smarrito il dispositivo o l’autenticatore su cui si basa l’SSPR. L’operatore pone una breve serie di domande di verifica, solitamente tratte dai registri delle risorse umane, quindi esegue manualmente il ripristino. Per gli account con privilegi, potrebbe esserci una fase di approvazione. Spesso però non c’è. Questi dati possono essere intercettati, potrebbero essere stati scoperti a seguito di una violazione dei dati oppure vengono estratti in anticipo dall’obiettivo. È proprio questa lacuna a rivelarsi così pericolosa.

In definitiva, nessuna delle due procedure verifica l’identità della persona. Entrambe verificano i dati relativi alla persona. Questa distinzione è importante, perché i casi che l’SSPR non è in grado di gestire sono proprio quelli in cui la posta in gioco è più alta e i controlli sono più deboli.

Il ripristino dell’help desk è ormai una via comprovata per le violazioni

Non si tratta di una questione teorica. Sappiamo che l’ingegneria sociale può aggirare i controlli di identità più rigorosi prendendo di mira i flussi di lavoro di assistenza e ripristino, e che il ripristino tramite help desk è il metodo di accesso documentato in alcune delle intrusioni più dannose degli ultimi due anni.

Infatti, Gartner descrive il recupero dell’account a seguito di password dimenticate o credenziali smarrite come «la parte più rischiosa del ciclo di vita della gestione delle identità».

Lo ha usato Scattered Spider alla MGMe di nuovo negli attacchi del 2025 contro M&S, Co-op e Qantas. Alla MGM, è bastata una singola telefonata di dieci minuti per aggirare un sistema di sicurezza del valore di svariati milioni di dollari. Dopo gli incidenti verificatisi nel settore della vendita al dettaglio nel Regno Unito, l’ NCSC ha esortato specificamente le organizzazioni a rivedere le procedure di reimpostazione delle password dell’help desk, compresa la modalità di autenticazione del personale prima della reimpostazione, in particolare per gli account con privilegi elevati.

La portata del fenomeno è documentata. Una denuncia del Dipartimento di Giustizia degli Stati Uniti resa pubblica nel settembre 2025 ha riportato almeno 120 intrusioni nelle reti di 47 entità statunitensi, con vittime che hanno versato almeno 115 milioni di dollari in riscatti. I pubblici ministeri hanno descritto un modus operandi ricorrente in quasi tutti i casi: chiamare l’help desk, richiedere la reimpostazione della password, assumere il controllo di un account amministrativo e quindi utilizzare tale accesso per sottrarre dati.

Il punto non è che gli agenti siano negligenti; è che la procedura richiede loro di prendere una decisione cruciale in materia di identità basandosi su segnali che gli hacker possono facilmente falsificare su larga scala. Il recupero dell’account non dovrebbe dipendere dal giudizio di qualcuno che deve decidere se una richiesta sembri legittima; dovrebbe invece richiedere la prova di una presenza effettiva.

I progressi nel campo dei testi generati dall'intelligenza artificiale e clonazione vocale rendono le chiamate più facili da mettere in atto. Un malintenzionato che chiama l’help desk spacciandosi per un dipendente che non riesce ad accedere al proprio account ora può avere la stessa voce di quel dipendente, il che elimina uno dei pochi controlli istintivi a disposizione dell’operatore. Ma l’attacco non dipende da questo. Un malintenzionato ben preparato può utilizzare dati rubati, informazioni tratte da LinkedIn, terminologia interna e una storia convincente. Sotto pressione, all’operatore viene chiesto di “reimpostare l’autenticazione a più fattori (MFA)” o di “aiutarmi a riottenere l’accesso al mio account”.

L'FBI e la CISA hanno documentato la fase più cruciale. Gli autori degli attacchi non si sono limitati a reimpostare le password. Hanno reimpostato anche i token MFA, per poi registrare i propri dispositivi di autenticazione. La reimpostazione non ha concesso loro un accesso temporaneo, ma li ha trasformati in utenti fidati.

Perché i controlli tradizionali per il recupero dei dati falliscono

La maggior parte dei flussi di recupero si basa su due tipi di fattori deboli.

• I fattori di conoscenza, quali domande di sicurezza, numeri di matricola dei dipendenti, nomi dei responsabili o date di nascita, sono segrete solo fino all’ultima violazione o all’ultima ricerca su LinkedIn. Dimostrano la conoscenza di qualcosa, non un’identità verificata.
• I fattori di possesso, quali i codici di accesso monouso inviati via SMS, le app di autenticazione o i dispositivi di backup, sono condivisibili, soggetti a phishing e spesso non disponibili proprio nel momento in cui è necessario il recupero. Se l'utente ha smarrito il dispositivo, un controllo legato al dispositivo non può essere l'unico modo per riottenere l'accesso. I codici OTP possono comunque supportare il processo di recupero, ma non dovrebbero essere considerati come prova di identità.

Le passkey e i sistemi biometrici nativi dei dispositivi sono più sicuri delle password, ma non risolvono tutti i casi limite del ciclo di vita. Le passkey richiedono comunque il recupero e la nuova registrazione quando si cambia dispositivo. Face ID e sistemi biometrici locali simili autorizzano l'uso di un dispositivo; di per sé, però, non dimostrano nuovamente all'organizzazione che il titolare dell'account sia effettivamente la persona che sta richiedendo il recupero.

La soluzione: verificare nuovamente la persona, non la credenziale

L'autenticazione deve essere verificata secondo standard almeno pari a quelli previsti per l'accesso che sostituisce. Anziché chiedersi: «Questa persona ne sa abbastanza da sembrare attendibile?», l'organizzazione dovrebbe chiedersi: «È presente in questo momento la persona giusta, quella reale?».

Ciò richiede un sistema affidabile rilevamento della vitalità, che confermi che un volto presentato durante un controllo appartenga a una persona reale fisicamente presente in quel momento, anziché a una foto, una registrazione o a un'immagine sintetica.

Non tutte le soluzioni sono uguali, e la differenza conta al momento della valutazione piuttosto che qui. Alcuni sistemi vengono testati solo contro attacchi registrati con una telecamera. Sono meno quelli testati contro attacchi immessi direttamente nel software, aggirando del tutto la telecamera. Se si arriva alla fase di confronto tra i fornitori, questa è la domanda da porre: quali tipi di attacco sono stati testato in modo indipendente e da chi?

Durante la procedura di recupero, il flusso cambia. L'utente conferma i propri dati di contatto, scansiona un documento d'identità se richiesto, esegue una scansione del volto con verifica di vitalità e solo allora reimposta le credenziali o ricollega un dispositivo.

E poiché il controllo produce una registrazione relativa a una persona verificata anziché a una risposta corretta a una domanda, il ripristino lascia dietro di sé le prove che il vecchio processo non aveva mai generato.

Il recupero biometrico basato su cloud può essere eseguito sia su un dispositivo nuovo che su uno vecchio, quindi il telefono smarrito non diventa l'unico punto di errore. Inoltre, solleva l'help desk dalla decisione più rischiosa, riduce il numero di richieste di ripristino e fornisce ai team di sicurezza una traccia di audit più chiara a partire dal momento del ricollegamento.

Cosa dovrebbe dimostrare un ottimo processo di recupero degli account?

I responsabili della sicurezza non hanno bisogno di un’altra soluzione di ripiego poco affidabile. Hanno bisogno di una strategia di ripristino che risponda alle seguenti domande:

• Si tratta di una nuova verifica dell'identità della persona o semplicemente di un nuovo controllo delle credenziali?
• Funziona anche se il dispositivo originale dell'utente non è più disponibile?
• Viene registrato chi è stato verificato, e non solo il fatto che sia stata seguita una procedura?
• La sua capacità di "liveness" è stata sottoposta a test indipendenti e rispetto a quali criteri?
• Riesce a stare al passo con le minacce emergenti, le nuove tecniche di ingegneria sociale e le tattiche di furto d’identità?

Se la risposta è no, il processo di recupero potrebbe essere più vulnerabile agli attacchi rispetto alla procedura di accesso che dovrebbe proteggere.

Il recupero dell'account non è più solo un inconveniente amministrativo. È proprio in questa fase che i sistemi di identificazione più solidi falliscono se l'utente non viene nuovamente verificato. Le organizzazioni che stanno anticipando questa tendenza stanno passando dalle domande "Cosa sai?" e "Cosa possiedi?" a "Puoi dimostrare di essere la persona giusta e reale?".

Guarda la sessione completa

Questo articolo si basa sulla nostra sessione dedicata ai deepfake sul posto di lavoro, che comprende dimostrazioni dal vivo e il contesto più ampio del ciclo di vita dell’identità, dall’assunzione a distanza alle riunioni e alle azioni ad alto rischio del personale.

Guarda Stranger Things sul posto di lavoro: come proteggere la tua organizzazione dal mondo capovolto dei deepfake, poi scopri come iProov Workforce Solution Suite garantisce il recupero dell'account e il ricollegamento del dispositivo: i momenti in cui i controlli basati sulle credenziali sono più vulnerabili.