Enquanto as organizações investem somas vultosas na segurança de processos de login por meio de sistemas de autenticação multifator (MFA) e políticas de acesso condicional, permanece uma "porta dos fundos" que pode derrubar todas essas defesas: o processo de recuperação de acesso via help desks. O problema reside no fato de que os padrões de verificação em caso de perda de acesso são frequentemente muito mais fracos do que os padrões de login habituais, o que abre uma ampla brecha para a engenharia social.
O colapso do modelo de verificação baseado em conhecimento
Muitos help desks ainda dependem de métodos tradicionais para verificar a identidade, como fazer perguntas baseadas em conhecimento (Knowledge-based verification) que incluem o nome do gestor direto, o departamento ou outros detalhes pessoais. Este modelo tornou-se inseguro na era digital atual; os atacantes podem facilmente coletar essas informações em plataformas como o LinkedIn, sites oficiais de empresas ou até mesmo por meio de dados vazados.
Assim que o atacante obtém esses detalhes, ele pode assumir a identidade do funcionário e convencer o atendente do help desk a redefinir a senha ou registrar um novo dispositivo de autenticação, contornando assim a proteção MFA sem a necessidade de hackear tecnicamente a conta original.
Inteligência Artificial: uma nova arma para a engenharia social
Os ataques não se limitam mais a e-mails de phishing tradicionais, mas evoluíram para um nível mais complexo graças à inteligência artificial generativa. Os dados indicam uma mudança perigosa nas táticas dos atacantes:
- Deepfakes: os atacantes podem usar técnicas de falsificação de voz para imitar o tom de voz do funcionário, tornando muito difícil para os atendentes do help desk distinguir entre o chamador real e o fraudador.
- Aumento do sucesso dos ataques: de acordo com o relatório da Verizon de 2026, as operações de engenharia social via mensagens de texto e chamadas de voz registraram uma taxa de sucesso 40% maior em comparação com o phishing por e-mail.
- Expansão do alcance: uma pesquisa da Gartner mostrou que 62% das organizações sofreram ataques de deepfake ou operações de engenharia social automatizadas durante o último ano.
O que está mudando na prática?
Superar essa falha não exige apenas treinamento dos funcionários, mas uma mudança radical na estrutura dos processos de recuperação de contas. Não é mais suficiente confiar na "intuição" ou na capacidade do funcionário de distinguir a voz ou o estilo; é necessário transformar o processo de verificação em uma etapa técnica obrigatória e inegociável.
A transição para a verificação digital segura inclui:
- Substituir perguntas baseadas em conhecimento por meios de verificação digital, como códigos enviados por e-mail, mensagens de texto (SMS) ou aplicativos de autenticação externos (como o Duo).
- Integrar processos de verificação ao fluxo de trabalho do help desk, de modo que nenhuma ação sensível (como a redefinição de senha) seja executada sem o sucesso da verificação digital.
- Reduzir a dependência do elemento humano na tomada de decisão sobre "se esta pessoa é realmente o funcionário" e transformá-la em uma decisão técnica baseada em evidências digitais.
Negligenciar a segurança do caminho de recuperação de acesso não representa apenas um risco de segurança, mas acarreta custos operacionais elevados; estima-se que o custo de uma única redefinição de senha seja de cerca de 70 dólares, sem mencionar a interrupção da produtividade dos funcionários e as horas de inatividade causadas por operações de invasão ou até mesmo por solicitações de suporte desorganizadas.