Mientras las organizaciones invierten sumas cuantiosas en asegurar los procesos de inicio de sesión mediante sistemas de autenticación multifactor (MFA) y políticas de acceso condicional, sigue existiendo una "puerta trasera" que podría derribar todas estas defensas: el proceso de recuperación de acceso a través de las mesas de ayuda (Service Desks). El problema radica en que los estándares de verificación ante la pérdida de acceso suelen ser mucho más débiles que los estándares de inicio de sesión habituales, lo que abre una amplia puerta a la ingeniería social.
El colapso del modelo de verificación basado en el conocimiento
Muchas mesas de ayuda aún dependen de métodos tradicionales para verificar la identidad, como realizar preguntas basadas en el conocimiento (Knowledge-based verification) que incluyen el nombre del jefe directo, el departamento u otros detalles personales. Este modelo se ha vuelto inseguro en la era digital actual; los atacantes pueden recopilar fácilmente esta información de plataformas como LinkedIn, sitios web oficiales de empresas o incluso a través de datos filtrados.
Una vez que el atacante obtiene estos detalles, puede suplantar la identidad del empleado y convencer al personal de soporte técnico para que restablezca la contraseña o registre un nuevo dispositivo de autenticación, eludiendo así la protección MFA sin necesidad de hackear técnicamente la cuenta original.
Inteligencia artificial: una nueva arma para la ingeniería social
Los ataques ya no se limitan a los correos electrónicos fraudulentos tradicionales, sino que han pasado a un nivel más complejo gracias a la inteligencia artificial generativa. Los datos indican un cambio peligroso en las tácticas de los atacantes:
- Deepfakes: Los atacantes pueden utilizar técnicas de falsificación de voz para imitar el tono de voz del empleado, lo que hace muy difícil para el personal de soporte técnico distinguir entre el interlocutor real y el estafador.
- Aumento del éxito de los ataques: Según el informe de Verizon de 2026, las operaciones de ingeniería social a través de mensajes de texto y llamadas de voz registraron una tasa de éxito un 40% mayor en comparación con el phishing por correo electrónico.
- Expansión del alcance: Una encuesta de Gartner mostró que el 62% de las organizaciones sufrieron ataques de deepfake o procesos de ingeniería social automatizados durante el último año.
¿Qué está cambiando en la práctica?
Superar esta brecha no solo requiere capacitar a los empleados, sino que exige un cambio radical en la estructura de los procesos de recuperación de cuentas. Ya no es suficiente confiar en la "intuición" o en la capacidad del empleado para distinguir la voz o el estilo; el proceso de verificación debe transformarse en un paso técnico obligatorio y no negociable.
La transición hacia la verificación digital segura incluye:
- Reemplazar las preguntas basadas en el conocimiento por medios de verificación digital, como códigos enviados por correo electrónico, mensajes de texto (SMS) o aplicaciones de autenticación externas (como Duo).
- Integrar los procesos de verificación dentro del flujo de trabajo de la mesa de ayuda, de modo que no se ejecute ninguna acción sensible (como el restablecimiento de una contraseña) sin que la verificación digital haya sido exitosa.
- Reducir la dependencia del factor humano al tomar la decisión de "¿es esta persona realmente el empleado?" y convertirla en una decisión técnica basada en evidencia digital.
Descuidar la seguridad de la ruta de recuperación de acceso no solo representa un riesgo de seguridad, sino que conlleva costos operativos elevados; se estima que el costo de restablecer una sola contraseña es de unos 70 dólares, sin mencionar la interrupción de la productividad de los empleados y las horas de inactividad causadas por procesos de hackeo o incluso solicitudes de soporte desorganizadas.