Engenharia social no suporte técnico: por que o processo de recuperação de conta é o ponto fraco

As empresas passaram anos reforçando a segurança do ponto de acesso principal com métodos como SSO, MFA, chaves de acesso e Zero Trust. No entanto, todo programa de identidade ainda precisa de um caminho de recuperação. Quando um usuário perde um dispositivo ou fica sem acesso, a organização precisa decidir se deve redefinir a MFA, emitir novas credenciais ou vincular um novo dispositivo.

Esse caminho de recuperação de conta também faz parte do ponto de entrada principal. Simplesmente não recebeu a mesma atenção, pois é o único ponto em que esses controles são projetados para serem contornados. Os invasores nem sempre precisam burlar a autenticação multifatorial (MFA) diretamente quando conseguem convencer uma central de atendimento ou um fluxo de trabalho de recuperação a contorná-la.

Na verdade, trata-se de verificar o que alguém possui ou sabe, e não se a pessoa certa está realmente presente.

Como a recuperação de conta realmente funciona hoje em dia

Antes de analisarmos como a recuperação é alvo de ataques, vale a pena esclarecer como a maioria das organizações realmente a gerencia.

Em uma empresa típica, um funcionário que teve seu acesso bloqueado tem duas maneiras de recuperar o acesso.

Redefinição de senha por autoatendimento (SSPR): um funcionário confirma algo que sabe ou algo que possui: perguntas de segurança, um código de identificação de funcionário ou um código de acesso único enviado para um número registrado ou e-mail alternativo. O sistema redefine a credencial ou cadastra um novo dispositivo.

Central de atendimento: O procedimento assistido geralmente consiste em uma ligação para o suporte técnico de TI. Costuma ser utilizado quando o funcionário perde o dispositivo ou o autenticador do qual o SSPR depende. O atendente faz uma breve série de perguntas de verificação, geralmente baseadas nos registros do RH, e então realiza a redefinição manualmente. Para contas com privilégios, pode haver uma etapa de aprovação. Muitas vezes, porém, isso não ocorre.

Em última análise, nenhuma das duas formas verifica a identidade da pessoa. Ambas verificam dados sobre a pessoa, e esses dados estão em sistemas que os invasores violam ou em perfis que os invasores acessam. Essa distinção é importante, pois os casos que o SSPR não consegue lidar são exatamente aqueles com os maiores riscos e as verificações mais fracas.

A recuperação pelo serviço de suporte técnico é agora uma via comprovada para violações

Isso não é mera teoria. Sabemos que a engenharia social pode contornar controles de identidade reforçados ao ter como alvo os fluxos de trabalho de suporte e recuperação, e que a recuperação por meio do help desk é o método de invasão documentado em algumas das invasões mais prejudiciais dos últimos dois anos.

Na verdade, a Gartner descreve a recuperação de contas devido ao esquecimento de senhas ou à perda de credenciais como “a parte mais arriscada do ciclo de vida do gerenciamento de identidade”.

A Aranha Dispersa usou isso na MGMe, novamente, nos ataques de 2025 contra M&S, Co-op e Qantas. Na MGM, bastou uma única ligação telefônica de dez minutos para contornar uma infraestrutura de segurança de vários milhões de dólares. Após os incidentes no varejo do Reino Unido, o NCSC instou especificamente as organizações a revisarem os processos de redefinição de senha do suporte técnico, incluindo a forma como os funcionários são autenticados antes das redefinições, especialmente para contas com privilégios elevados.

A magnitude do caso está documentada. Uma denúncia do Departamento de Justiça dos EUA, divulgada em setembro de 2025, alegava pelo menos 120 invasões de rede envolvendo 47 entidades americanas, com vítimas que pagaram pelo menos US$ 115 milhões em resgates. Os promotores descreveram um método consistente em quase todos os casos: ligar para o suporte técnico, solicitar a redefinição de senha, assumir o controle de uma conta administrativa e, em seguida, usar esse acesso para extrair dados.

A questão não é que os agentes sejam descuidados; é que o processo exige que eles tomem uma decisão de identidade de alto risco com base em sinais que os invasores podem facilmente fabricar em grande escala. A recuperação de conta não deveria depender de alguém decidir se uma solicitação parece legítima; ela deveria exigir prova de presença genuína.

Os líderes de segurança perceberam isso. No Relatório ID IQ 2026 da RSA, 51% das organizações apontaram o contorno do service desk como seu maior risco isolado.

Avanços na geração de texto por IA e clonagem de voz facilitam a realização dessas ligações. Um invasor que liga para o suporte técnico alegando ser um funcionário que não consegue acessar a conta agora pode soar exatamente como esse funcionário, o que elimina uma das poucas verificações instintivas que um atendente costumava fazer. Mas o ataque não depende disso. Um invasor bem preparado pode utilizar dados vazados, informações do LinkedIn, terminologia interna e uma história convincente. Sob pressão, o atendente é solicitado a “apenas redefinir a autenticação de duas etapas” ou “me ajudar a acessar minha conta novamente”.

O FBI e a CISA documentaram o mecanismo. Os invasores se passam por usuários ou funcionários do suporte técnico para redefinir senhas e desativar a autenticação multifatorial (MFA); em seguida, usam essas contas válidas para estabelecer acesso persistente. A redefinição não concede uma sessão. Ela os torna usuários confiáveis.

Para uma análise completa dos requisitos de verificação de identidade dos funcionários, consulte o relatório da Gartner aqui.

Por que os controles de recuperação de sistemas legados falham

A maioria dos fluxos de recuperação se baseia em dois tipos de fatores fracos.

• Fatores de conhecimento, como perguntas de segurança, crachás de funcionários, nomes de gerentes ou datas de nascimento, são tão confidenciais quanto a última violação de segurança ou pesquisa no LinkedIn. Eles comprovam o conhecimento de algo, não a identidade verificada.
• Fatores de posse, como códigos de acesso únicos por SMS, aplicativos autenticadores ou dispositivos de backup, podem ser compartilhados, são vulneráveis a golpes de phishing e, muitas vezes, não estão disponíveis exatamente no momento em que a recuperação é necessária. Se o usuário perdeu o dispositivo, um controle vinculado a ele não pode ser a única forma de recuperar o acesso. Os códigos de acesso únicos (OTPs) ainda podem auxiliar no processo de recuperação, mas não devem ser tratados como prova de identidade.

Chaves de acesso e os recursos biométricos nativos dos dispositivos são mais seguros do que senhas, mas não resolvem todos os casos extremos do ciclo de vida. As chaves de acesso ainda precisam de recuperação e recadastramento quando os dispositivos são trocados. O Face ID e recursos biométricos locais semelhantes autorizam o uso de um dispositivo; por si só, eles não comprovam novamente à organização que o titular da conta é realmente a pessoa que está solicitando a recuperação no momento.

A solução: verifique novamente a pessoa, não a credencial

A recuperação deve ser verificada seguindo, no mínimo, o mesmo padrão do login que ela substitui. Em vez de perguntar: “essa pessoa tem conhecimento suficiente para parecer legítima?”, a organização deve perguntar: “a pessoa certa e real está presente neste momento?”.

Isso exige uma detecção de vida, como o iProov Dynamic Liveness®, que confirma se um rosto apresentado durante uma verificação pertence a uma pessoa real que está fisicamente presente naquele momento, e não a uma foto, uma gravação ou mídia sintética.

Nem todas as soluções são iguais, e a diferença se torna relevante na hora da avaliação, e não neste momento. Alguns sistemas são testados apenas contra ataques realizados diante de uma câmera. Um número menor é testado contra ataques injetados diretamente no software, contornando completamente a câmera. Se você chegar à fase de comparar fornecedores, essa é a pergunta a ser feita: a quais tipos de ataque este sistema foi testado de forma independente e por quem?

Na recuperação, isso altera o fluxo. O usuário confirma os dados de contato, digitaliza um documento de identidade, se necessário, realiza uma digitalização facial com verificação de vida e, só então, redefine as credenciais ou vincula novamente um dispositivo.

E como a verificação gera um registro de uma pessoa autenticada, em vez de uma resposta correta a uma pergunta, a redefinição deixa para trás as evidências que o processo antigo nunca gerou.

A recuperação biométrica baseada em nuvem pode ser executada tanto em um dispositivo novo quanto em um antigo, de modo que o celular perdido não se torne o único ponto de falha. Além disso, isenta a central de atendimento da decisão de maior risco, reduz o número de solicitações de redefinição de senha e oferece às equipes de segurança uma trilha de auditoria mais clara a partir do momento da reativação.

O que um excelente processo de recuperação de contas deve demonstrar?

Os líderes de segurança não precisam de mais uma solução alternativa de baixa confiabilidade. Eles precisam de uma estratégia de recuperação que responda a estas perguntas:

• Isso significa que a pessoa é avaliada novamente ou apenas que suas credenciais são verificadas novamente?
• Isso funciona quando o dispositivo original do usuário não está mais disponível?
• Isso deixa um registro de quem foi verificado, e não apenas de que o processo foi seguido?
• A capacidade de detecção de vida dessa tecnologia já foi testada de forma independente, e em relação a que?
• Será que ele acompanha o ritmo das ameaças emergentes, das novas táticas de engenharia social e de suplantação de identidade?

Se a resposta for não, o processo de recuperação pode ser mais vulnerável a ataques do que o login que ele deveria proteger.

A recuperação de contas não é mais apenas um incômodo administrativo. É nesse ponto que os sistemas de identificação mais robustos falham, caso a pessoa não seja verificada novamente. As organizações que estão se antecipando a essa tendência estão mudando a abordagem de “o que você sabe?” e “o que você tem?” para “você pode provar que é a pessoa certa e real?”.

Assista à sessão completa

Este artigo se baseia em nossa sessão sobre deepfakes no ambiente de trabalho, que inclui demonstrações ao vivo e o contexto mais amplo do ciclo de vida da identidade, desde a contratação remota até reuniões e ações de alto risco da força de trabalho.

Assista “Stranger Things” no ambiente de trabalho: como proteger sua organização contra o “Upside Down” das deepfakese, em seguida, descubra como o iProov Workforce Solution Suite garante a recuperação de contas e a reatribuição de dispositivos – os momentos em que os controles baseados em credenciais são mais vulneráveis.

Recuperação de conta: perguntas frequentes

Como funciona o processo de recuperação de conta?

A recuperação de conta é o processo pelo qual uma organização restaura o acesso quando um usuário tem sua conta bloqueada, perde um dispositivo ou esquece uma credencial. A maioria das empresas utiliza dois métodos. A redefinição de senha por autoatendimento (SSPR) solicita que o usuário confirme perguntas de segurança, um número de identificação de funcionário ou um código de acesso único enviado para um número registrado. A via do suporte técnico lida com tudo o que a SSPR não consegue resolver, com um agente verificando a identidade do solicitante em relação aos registros do RH antes de realizar a redefinição manualmente. Nenhuma das duas vias verifica a identidade da pessoa. Ambas verificam os dados sobre a pessoa.

Por que a recuperação de conta representa um risco à segurança?

A recuperação é o momento em que a maioria dos controles de autenticação é suspensa por padrão. Como esse processo recorre a fatores de conhecimento e de posse que podem ser violados, alvo de phishing ou de engenharia social, os invasores podem contornar a autenticação multifatorial (MFA) sem precisar quebrá-la. No Relatório ID IQ 2026 da RSA, 51% das organizações apontaram o contorno da central de atendimento como seu maior risco isolado.

Como os invasores contornam a autenticação multifatorial (MFA) por meio do suporte técnico?

Em vez de contornar diretamente a autenticação multifatorial (MFA), os invasores ligam para o suporte técnico de TI se passando por um funcionário que não consegue acessar a conta, utilizando dados vazados, informações do LinkedIn e terminologia interna para passar pelas perguntas de verificação. O FBI e a CISA documentaram que o grupo Scattered Spider se passava por usuários e funcionários do suporte técnico para redefinir senhas e desativar a MFA, utilizando depois essas contas válidas para estabelecer acesso persistente.

Como a biometria pode garantir a segurança do processo de recuperação de conta?

A recuperação biométrica verifica novamente a identidade da pessoa, em vez de verificar novamente uma credencial. O usuário confirma os dados de contato, digitaliza um documento de identidade, se necessário, e realiza uma digitalização facial com verificação de vitalidade antes que as credenciais sejam redefinidas ou um novo dispositivo seja vinculado. Como a verificação é baseada na nuvem, em vez de estar vinculada a um dispositivo registrado, ela funciona tanto em um celular novo quanto em um antigo, isenta a central de atendimento da decisão mais arriscada e deixa um registro de auditoria indicando quem foi verificado.