От години екипите по сигурност правят превземането на акаунти все по-трудно. Многофакторната автентификация (MFA) добави ключова защита към автентификацията само с парола, докато условният достъп и доверието в устройството добавят допълнителни проверки, преди потребителите да могат да достигнат до чувствителни системи.

Въпреки това, тези контроли дават причина на атакуващите да търсят друг маршрут. Някои атаки, които стават все по-чести, са насочени към процесите около механизмите за автентификация, по-специално възстановяването на акаунт. В края на краищата, защо да крадете втория фактор на потребителя, ако можете да убедите някого с права да го управлява да го замени вместо вас?

Това прави центъра за обслужване на клиенти (service desk) нещо повече от функция за поддръжка. Прави го част от границата на сигурността на идентичността на организацията.

MFA увеличи цената за превземане на акаунт

Дори ако атакуващ придобие идентификационните данни на потребител, MFA означава, че втори фактор за автентификация все още стои между него и акаунта.

Допълнително укрепване на тази бариера е фактът, че много организации се отдалечават от по-слаби фактори като SMS и се насочват към приложения за автентификация, FIDO ключове за сигурност и passkeys. Защитената от фишинг автентификация може значително да затрудни превръщането на кражбата на идентификационни данни в достъп до акаунт, докато условният достъп и доверието в устройството добавят допълнителни проверки въз основа на фактори като устройството, местоположението и контекста на влизане.

Нищо от това не означава, че MFA се е провалила. В много случаи е вярно обратното: MFA работи достатъчно добре, така че киберпрестъпниците имат стимул да търсят начини да я заобиколят, вместо да я атакуват директно.

Това може да означава кражба на сесийни токени, злоупотреба с съществуващи автентифицирани сесии или насочване към процеси за автентификация, които се намират извън нормалния поток на влизане. И един от най-важните процеси е възстановяването на акаунт.

Всяка система за силна автентификация все още се нуждае от отговор на рутинен проблем: какво се случва, когато легитимен служител загуби достъп до нея? В този момент сигурността на акаунта може да зависи по-малко от технологията MFA, която го защитава, и повече от процеса, използван за неговото нулиране.

Когато пътят за възстановяване се превърне в вектор на атака

Служителите сменят телефони, губят ключове за сигурност, променят номера, повреждат устройства и забравят идентификационни данни. Понякога даден инструмент за автентификация просто става недостъпен.

Когато самообслужването за възстановяване вече не е възможно, центърът за поддръжка обикновено се превръща в маршрута обратно към акаунта.

В зависимост от организацията и привилегиите на потребителя, операторът може да е в състояние да нулира парола или MFA, да премахне съществуващ метод за автентификация, да издаде временни идентификационни данни, да одобри регистрацията на нов инструмент за автентификация или по друг начин да възстанови достъпа.

Въпреки че това са необходими функции за поддръжка, от гледна точка на сигурността те също са чувствителни действия по управление на идентичността. Това прави стъпката за проверка преди нулирането критично важна. Ако от даден потребител обикновено се изисква да удовлетвори множество фактори за автентификация, за да достъпи акаунт, но трябва само да отговори на шепа въпроси, за да замени тези фактори, процесът на възстановяване може да се превърне в по-слабия път към същата идентичност.

Това все повече се третира като проблем с гарантирането на идентичността, а не като конвенционален проблем на help desk. Microsoft, например, сега описва възстановяването на акаунт в Entra ID като процес с „висока степен на увереност“ (high-assurance) и противопоставя традиционното възстановяване чрез въпроси в help desk на по-силна проверка на идентичността, предназначена да възстанови доверието преди достъпът да бъде върнат.

Принципът е прост: процесът, използван за замяна на метод за автентификация, трябва да осигурява увереност, че лицето, заявяващо промяната, е лицето, което притежава акаунта. Ако не го прави, пътят за възстановяване може бързо да се превърне във вектор на атака.

Скорошни атаки подчертават риска

Тактиките, използвани от хакерската група Scattered Spider, са ясен пример за предизвикателството, пред което са поставени центровете за обслужване. Съвместно бюлетин от CISA, FBI и международни партньори посочва, че групата се е представяла за служители, за да убеди ИТ и help desk персонала да нулира пароли и да прехвърли MFA към устройства, контролирани от атакуващите.

В същото съобщение се отбелязва, че киберпрестъпниците могат да прекарат няколко обаждания в разучаване на процеса за нулиране на парола в дадена организация, преди да опитат превземането.

Атаката от 2025 г. срещу Marks & Spencer показва колко разрушително може да бъде сложната имперсонация. Scattered Spider се представи за служител, за да подведе външен изпълнител да нулира паролата му и така да получи достъп. Оттам групата компрометира още акаунти и в крайна стук разгърна зловреден софтуер от тип ransomware в мрежата на търговеца.

Председателят на M&S Арчи Норман заяви пред Парламента, че се очаква инцидентът да намали печалбата с около £300 милиона преди възстановяванията, подчертавайки как една успешна социално-инженерна атака, насочена към идентичността, може да се превърне в сериозен бизнес инцидент.

Направете проверката на идентичността част от работния поток на Service Desk

Затварянето на тази празнина означава изместване на фокуса на центъра за обслужване от въпроси като „Звучи ли това лице легитимно?“ или „Може ли да отговори на нашите контролни въпроси?“ към по-силен такъв: Може ли това лице сигурно да докаже, че е служителят, свързан с акаунта?

Тук се вписва Specops Secure Service Desk. Той прави проверката на идентичността задължителна част от чувствителните работни потоци на центъра за обслужване, като помага за намаляване на зависимостта от лесно отгатвана или фишинрана информация и субективна преценка, която специалист по социално инженерство би могъл да манипулира.

Specops Secure Service Desk може да използва съществуващи данни за идентичност в Active Directory или Entra ID и да се интегрира с услуги за автентификация като Duo, Okta, PingID и Symantec VIP. Поддържайки над 15 MFA фактора, центровете за обслужване могат да потвърждават идентичността на различни типове потребители, без да въвеждат отделен процес на регистрация.

Изключително важно е, че проверката се намира директно преди високорискови действия. Операторите могат да нулират пароли, да отключват акаунти и да изискват промяна на паролата при следващо влизане едва след като обаждащият се е успешно потвърден. Събитията по потвърждаване могат също да бъдат експортирани към SIEM и аналитични платформи в подкрепа на процесите по одит и SOC.

Защитете своя Service Desk със Specops

Силната автентификация работи само ако процесът, използван за нейното нулиране или възстановяване, е също толкова сигурен. Третирането на проверката в центъра за обслужване като част от процеса по сигурност на идентичността помага за намаляване на риска от социално инженерство, без да затруднява легитимната поддръжка.

Specops помага на организациите да внедрят по-силна проверка на идентичността преди високорискови действия в центъра за обслужване, като нулиране на пароли и отключване на акаунти.

Свържете се със Specops днес, за да видите как можете да укрепите проверката на идентичността и да защитите своя център за обслужване

Спонсорирано и написано от Specops Software.