Social engineering nell’help desk: perché il processo di recupero dell’account è l’anello debole

Le aziende hanno dedicato anni a rafforzare la sicurezza dell'accesso principale con metodi quali SSO, MFA, passkey e Zero Trust. Tuttavia, ogni programma di gestione delle identità necessita comunque di un percorso di ripristino. Quando un utente smarrisce un dispositivo o non riesce più ad accedere, l'organizzazione deve decidere se reimpostare l'autenticazione a più fattori (MFA), emettere nuove credenziali o associare un nuovo dispositivo.

Anche quel percorso di recupero dell'account fa parte della "porta d'ingresso". Semplicemente non ha ricevuto la stessa attenzione, perché è l'unico punto in cui tali controlli sono progettati per fare un passo indietro. Gli aggressori non hanno sempre bisogno di aggirare direttamente l'autenticazione a più fattori (MFA) quando riescono a convincere un help desk o un flusso di lavoro di recupero a bypassarla.

In realtà si tratta di verificare ciò che una persona possiede o sa, non se la persona giusta sia effettivamente presente.

Come funziona effettivamente oggi il recupero dell'account

Prima di esaminare in che modo il recupero venga messo in discussione, vale la pena chiarire con precisione come la maggior parte delle organizzazioni lo gestisca effettivamente.

In un’azienda tipica, un dipendente che è stato escluso dal posto di lavoro ha due possibilità per rientrare.

Reimpostazione della password in modalità self-service (SSPR): un dipendente conferma qualcosa che conosce o qualcosa che possiede: domande di sicurezza, un tesserino identificativo o un codice di accesso monouso inviato a un numero registrato o a un indirizzo e-mail di riserva. Il sistema reimposta le credenziali o registra un nuovo dispositivo.

Help desk: La procedura assistita consiste solitamente in una telefonata all’help desk IT. Viene spesso richiesta quando il dipendente ha smarrito il dispositivo o l’autenticatore da cui dipende l’SSPR. L’operatore pone una breve serie di domande di verifica, solitamente tratte dai registri delle risorse umane, quindi esegue manualmente il ripristino. Per gli account con privilegi, potrebbe essere prevista una fase di approvazione. Spesso non è così.

In definitiva, nessuna delle due procedure verifica l’identità della persona. Entrambe verificano i dati relativi alla persona, e tali dati si trovano nei sistemi violati dagli hacker o nei profili da loro consultati. Questa distinzione è importante, perché i casi che l’SSPR non è in grado di gestire sono proprio quelli in cui la posta in gioco è più alta e i controlli sono più deboli.

Il ripristino dell’help desk è ormai una via comprovata per le violazioni

Non si tratta di una questione teorica. Sappiamo che l’ingegneria sociale può aggirare i controlli di identità più rigorosi prendendo di mira i flussi di lavoro di assistenza e ripristino, e che il ripristino tramite help desk è il metodo di accesso documentato in alcune delle intrusioni più dannose degli ultimi due anni.

Infatti, Gartner descrive il recupero dell’account a seguito di password dimenticate o credenziali smarrite come «la parte più rischiosa del ciclo di vita della gestione delle identità».

Lo ha usato Scattered Spider alla MGMe di nuovo negli attacchi del 2025 contro M&S, Co-op e Qantas. Alla MGM, è bastata una singola telefonata di dieci minuti per aggirare un sistema di sicurezza del valore di svariati milioni di dollari. Dopo gli incidenti verificatisi nel settore della vendita al dettaglio nel Regno Unito, l’ NCSC ha esortato specificamente le organizzazioni a rivedere le procedure di reimpostazione delle password dell’help desk, compresa la modalità di autenticazione del personale prima della reimpostazione, in particolare per gli account con privilegi elevati.

La portata del fenomeno è documentata. Una denuncia del Dipartimento di Giustizia degli Stati Uniti resa pubblica nel settembre 2025 ha riportato almeno 120 intrusioni nelle reti di 47 entità statunitensi, con vittime che hanno versato almeno 115 milioni di dollari in riscatti. I pubblici ministeri hanno descritto un modus operandi ricorrente in quasi tutti i casi: chiamare l’help desk, richiedere la reimpostazione della password, assumere il controllo di un account amministrativo e quindi utilizzare tale accesso per sottrarre dati.

Il punto non è che gli agenti siano negligenti; è che la procedura richiede loro di prendere una decisione cruciale in materia di identità basandosi su segnali che gli hacker possono facilmente falsificare su larga scala. Il recupero dell’account non dovrebbe dipendere dal fatto che qualcuno decida se una richiesta sembri legittima; dovrebbe invece richiedere la prova di una presenza autentica.

I responsabili della sicurezza se ne sono accorti. Nel rapporto ID IQ 2026 di RSA, il 51% delle organizzazioni ha indicato il bypass del service desk come il rischio più grave in assoluto.

I progressi nel campo dei testi generati dall'intelligenza artificiale e clonazione vocale rendono le chiamate più facili da mettere in atto. Un malintenzionato che chiama l’help desk spacciandosi per un dipendente che non riesce ad accedere al proprio account ora può avere la stessa voce di quel dipendente, il che elimina uno dei pochi controlli istintivi a disposizione dell’operatore. Ma l’attacco non dipende da questo. Un malintenzionato ben preparato può utilizzare dati rubati, informazioni tratte da LinkedIn, terminologia interna e una storia convincente. Sotto pressione, all’operatore viene chiesto di “reimpostare l’autenticazione a più fattori (MFA)” o di “aiutarmi a riottenere l’accesso al mio account”.

L'FBI e la CISA hanno documentato il meccanismo. Gli autori degli attacchi si spacciano per utenti o per il personale dell'help desk per reimpostare le password e disabilitare l'autenticazione a più fattori (MFA), quindi utilizzano quegli account validi per ottenere un accesso persistente. La reimpostazione non garantisce una sessione, ma li rende utenti fidati.

Per un’analisi completa dei requisiti relativi alla verifica dell’identità dei dipendenti, consultare il rapporto di Gartner disponibile qui.

Perché i controlli tradizionali per il recupero dei dati falliscono

La maggior parte dei flussi di recupero si basa su due tipi di fattori deboli.

• I fattori di conoscenza, quali domande di sicurezza, numeri di matricola dei dipendenti, nomi dei responsabili o date di nascita, sono segrete solo fino all’ultima violazione o all’ultima ricerca su LinkedIn. Dimostrano la conoscenza di qualcosa, non un’identità verificata.
• I fattori di possesso, quali i codici di accesso monouso inviati via SMS, le app di autenticazione o i dispositivi di backup, sono condivisibili, soggetti a phishing e spesso non disponibili proprio nel momento in cui è necessario il recupero. Se l'utente ha smarrito il dispositivo, un controllo legato al dispositivo non può essere l'unico modo per riottenere l'accesso. I codici OTP possono comunque supportare il processo di recupero, ma non dovrebbero essere considerati come prova di identità.

Le passkey e i sistemi biometrici nativi dei dispositivi sono più sicuri delle password, ma non risolvono tutti i casi limite del ciclo di vita. Le passkey richiedono comunque il recupero e la nuova registrazione quando si cambia dispositivo. Face ID e sistemi biometrici locali simili autorizzano l'uso di un dispositivo; di per sé, però, non dimostrano nuovamente all'organizzazione che il titolare dell'account sia effettivamente la persona che sta richiedendo il recupero.

La soluzione: verificare nuovamente la persona, non la credenziale

L'autenticazione deve essere verificata secondo standard almeno pari a quelli previsti per l'accesso che sostituisce. Anziché chiedersi: «Questa persona ne sa abbastanza da sembrare attendibile?», l'organizzazione dovrebbe chiedersi: «È presente in questo momento la persona giusta, quella reale?».

Ciò richiede un sistema affidabile rilevamento della vitalità, come iProov Dynamic Liveness®, che conferma che il volto presentato durante una verifica appartenga a una persona reale fisicamente presente in quel momento, anziché a una foto, una registrazione o un'immagine sintetica.

Non tutte le soluzioni sono uguali, e la differenza conta al momento della valutazione piuttosto che in questa sede. Alcuni sistemi vengono testati solo contro attacchi registrati con una telecamera. Sono meno numerosi quelli testati contro attacchi immessi direttamente nel software, aggirando del tutto la telecamera. Se si arriva alla fase di confronto tra i fornitori, questa è la domanda da porre: quali tipi di attacco sono stati testato in modo indipendente e da chi?

Durante la procedura di ripristino, il flusso cambia. L'utente conferma i propri dati di contatto, scansiona un documento d'identità se richiesto, esegue una scansione del volto con verifica di vitalità e solo allora reimposta le credenziali o ricollega un dispositivo.

E poiché il controllo produce una registrazione relativa a una persona verificata anziché a una risposta corretta a una domanda, il ripristino lascia dietro di sé le prove che il vecchio processo non aveva mai generato.

Il recupero biometrico basato su cloud può essere eseguito sia su un dispositivo nuovo che su uno vecchio, quindi il telefono smarrito non diventa l'unico punto di errore. Inoltre, solleva l'help desk dalla decisione più rischiosa, riduce il numero di richieste di ripristino e fornisce ai team di sicurezza una traccia di audit più chiara a partire dal momento del ricollegamento.

Cosa dovrebbe dimostrare un ottimo processo di recupero degli account?

I responsabili della sicurezza non hanno bisogno di un’altra soluzione di ripiego poco affidabile. Hanno bisogno di una strategia di ripristino che risponda alle seguenti domande:

• Si tratta di una nuova verifica dell'identità della persona o semplicemente di un nuovo controllo delle credenziali?
• Funziona anche se il dispositivo originale dell'utente non è più disponibile?
• Viene registrato chi è stato verificato, e non solo il fatto che sia stata seguita una procedura?
• La sua capacità di "liveness" è stata sottoposta a test indipendenti e rispetto a quali criteri?
• Riesce a stare al passo con le minacce emergenti, le nuove tecniche di ingegneria sociale e le tattiche di furto d’identità?

Se la risposta è no, il processo di recupero potrebbe essere più vulnerabile agli attacchi rispetto alla procedura di accesso che dovrebbe proteggere.

Il recupero dell'account non è più solo un inconveniente amministrativo. È proprio in questa fase che i sistemi di identificazione più solidi falliscono se l'utente non viene nuovamente verificato. Le organizzazioni che stanno anticipando questa tendenza stanno passando dalle domande "Cosa sai?" e "Cosa possiedi?" a "Puoi dimostrare di essere la persona giusta e reale?".

Guarda la sessione completa

Questo articolo si basa sulla nostra sessione dedicata ai deepfake sul posto di lavoro, che comprende dimostrazioni dal vivo e il contesto più ampio del ciclo di vita dell’identità, dall’assunzione a distanza alle riunioni e alle azioni ad alto rischio del personale.

Guarda Stranger Things sul posto di lavoro: come proteggere la tua organizzazione dal mondo capovolto dei deepfake, poi scopri come iProov Workforce Solution Suite garantisce il recupero dell'account e il ricollegamento del dispositivo: i momenti in cui i controlli basati sulle credenziali sono più vulnerabili.

Recupero dell'account: domande frequenti

In cosa consiste la procedura di recupero dell'account?

Il recupero dell'account è la procedura con cui un'organizzazione ripristina l'accesso quando un utente viene bloccato, smarrisce un dispositivo o dimentica le credenziali. La maggior parte delle aziende prevede due procedure. La reimpostazione della password self-service (SSPR) richiede all’utente di confermare le domande di sicurezza, un ID dipendente o un codice di accesso monouso inviato a un numero registrato. La procedura tramite help desk gestisce tutto ciò che l’SSPR non è in grado di gestire: un operatore verifica l’identità del chiamante confrontandola con i registri delle risorse umane prima di eseguire manualmente la reimpostazione. Nessuna delle due procedure verifica l’identità della persona; entrambe verificano i dati relativi alla persona.

Perché il recupero dell'account rappresenta un rischio per la sicurezza?

Il processo di ripristino è il momento in cui la maggior parte dei controlli di autenticazione viene sospesa per impostazione predefinita. Poiché si basa su fattori di conoscenza e di possesso che possono essere violati, oggetto di phishing o di ingegneria sociale, gli aggressori possono aggirare l’autenticazione a più fattori (MFA) senza nemmeno violarla. Nel rapporto ID IQ 2026 di RSA, il 51% delle organizzazioni ha indicato l’aggiramento del service desk come il proprio rischio principale.

In che modo gli hacker riescono ad aggirare l'autenticazione a più fattori (MFA) ricorrendo all'help desk?

Anziché aggirare direttamente l'autenticazione a più fattori (MFA), gli autori degli attacchi telefonano all'help desk IT spacciandosi per un dipendente a cui è stato bloccato l'accesso, utilizzando dati rubati, informazioni tratte da LinkedIn e terminologia interna per superare le domande di verifica. L'FBI e la CISA hanno documentato come il gruppo Scattered Spider si spacciasse per utenti e personale dell'help desk per reimpostare le password e disabilitare l'autenticazione a più fattori (MFA), per poi utilizzare quegli account validi per ottenere un accesso persistente.

In che modo la biometria può garantire la sicurezza del processo di recupero dell'account?

Il recupero biometrico verifica nuovamente l'identità della persona anziché ricontrollare le credenziali. L’utente conferma i propri dati di contatto, scansiona un documento d’identità se richiesto e completa una scansione facciale con verifica della vitalità prima che le credenziali vengano reimpostate o che venga associato un nuovo dispositivo. Poiché la verifica è basata sul cloud anziché essere legata a un dispositivo registrato, funziona sia su un telefono nuovo che su uno vecchio, solleva l’help desk dalla decisione più rischiosa e lascia una traccia di audit su chi è stato verificato.