尽管企业在保障多因素身份验证 (MFA) 登录流程和条件访问策略上投入了巨额资金，但仍存在一个可能导致所有防御失效的“后门”：通过技术支持部门 (Service Desks) 进行的访问恢复流程。问题在于，丢失访问权限时的验证标准通常远弱于常规登录标准，这为社会工程学攻击敞开了大门。
基于知识的验证模式的崩溃
许多技术支持部门至今仍依赖传统的身份验证方法，例如提出基于知识的验证问题 (Knowledge-based verification)，包括直属经理姓名、部门或其他个人详细信息。在当今的数字时代，这种模式已不再安全；攻击者可以轻松地从 LinkedIn、公司官网甚至泄露的数据中收集这些信息。
一旦攻击者获得了这些详细信息，他们就可以冒充员工，说服技术支持人员重置密码或注册新的身份验证设备，从而在无需技术性入侵原始账户的情况下绕过 MFA 防护。
人工智能：社会工程学的新武器
攻击已不再局限于传统的网络钓鱼邮件，得益于生成式人工智能，攻击已升级到更复杂的水平。数据显示，攻击者的手段发生了危险的转变：
- 深度伪造 (Deepfakes)：攻击者可以使用语音伪造技术模仿员工的语调，使技术支持人员极难区分真实来电者和欺诈者。
- 攻击成功率上升：根据 2026 年 Verizon 的报告，通过短信和语音通话进行的社会工程学攻击成功率比电子邮件钓鱼高出 40%。
- 规模扩大：Gartner 的一项调查显示，去年有 62% 的企业遭受了深度伪造攻击或自动化社会工程学操作。
实际发生了什么变化？
弥补这一漏洞不仅需要员工培训，还需要对账户恢复流程的结构进行根本性变革。仅仅依靠“直觉”或员工辨别声音或风格的能力已不再足够，必须将验证过程转变为强制性的、不可协商的技术步骤。
向安全数字验证的转变包括：
- 用数字验证手段取代基于知识的问题，例如通过电子邮件、短信 (SMS) 或外部身份验证应用程序（如 Duo）发送的代码。
- 将验证流程整合到技术支持部门的工作流中，确保只有在数字验证成功后，才能执行任何敏感操作（如重置密码）。
- 减少在“此人是否确实是员工？”这一决策上对人为因素的依赖，并将其转变为基于数字证据的技术决策。
忽视对访问恢复路径的保护不仅构成安全风险，还会导致高昂的运营成本；据估计，单次密码重置的成本约为 70 美元，更不用说因入侵或无序的支持请求而导致的员工生产力中断和停机时间。