Las empresas han invertido grandes esfuerzos en blindar el acceso de sus empleados. La autenticación multifactor (MFA), las políticas de acceso condicional y otros controles de identidad complican que los atacantes logren entradas no autorizadas. No obstante, esas defensas pueden quedar neutralizadas si el procedimiento para recuperar el acceso no exige el mismo nivel de rigor.
Cuando un empleado necesita recuperar el acceso a su cuenta, normalmente es el service desk quien gestiona el restablecimiento de la contraseña o la recuperación de la cuenta. Aun así, la verificación de identidad sigue apoyándose con frecuencia en preguntas de conocimiento, como el nombre del responsable del empleado o su departamento.
Esto genera una brecha en la seguridad de identidad: una ruta más débil hacia la cuenta puede eludir una protección de inicio de sesión más robusta. Y a medida que los ataques de ingeniería social resultan más convincentes, esa brecha es cada vez más peligrosa.
Por qué la verificación basada en conocimiento ya no es fiable
Los atacantes pueden reunir una cantidad sorprendente de información antes de realizar una llamada. Los perfiles de LinkedIn, las webs corporativas, las redes sociales y los datos filtrados pueden revelar desde cargos y colegas hasta ubicaciones de oficinas y datos personales.
Con esa información, un atacante puede responder correctamente a las preguntas de verificación y hacerse pasar por un empleado legítimo.
La situación es especialmente peligrosa cuando superar esas comprobaciones basta para autorizar un restablecimiento de contraseña o recuperar una cuenta. Un atacante podría acceder a esa cuenta sin necesidad de comprometer las credenciales originales del empleado.
Los riesgos de la autenticación basada en conocimiento están bien documentados. Las directrices de identidad digital del NIST ya no consideran las preguntas de seguridad un método de autenticación aceptable. Frente al panorama de amenazas de 2026, conocer información sobre alguien no constituye prueba de su identidad.
La IA y la ingeniería social agravan la brecha
Grupos de cibercriminales como Scattered Spider han convertido el service desk en un objetivo preferente. En lugar de intentar eludir la MFA directamente, los atacantes se hacen pasar por empleados y convencen a los agentes del service desk para que restablezcan contraseñas o registren nuevos dispositivos MFA. Una llamada telefónica convincente puede bastar para acceder a una cuenta.
La IA generativa está haciendo que estos ataques sean más difíciles de detectar y más fáciles de escalar. Los atacantes pueden emplear IA para construir historias creíbles, generar conversaciones con un tono natural e incluso suplantar la voz de los empleados. Esto complica cada vez más que los agentes del service desk distingan a los interlocutores legítimos de los atacantes.
Una encuesta de Gartner de 2025 concluyó que el 62% de las organizaciones había sufrido un ataque de deepfake con ingeniería social o procesos automatizados durante el año anterior.
Entretanto, el informe DBIR de Verizon de 2026 encontró que la ingeniería social mediante mensajes de texto y llamadas de voz tenía una tasa de éxito un 40% superior al phishing tradicional por correo electrónico.
Los agentes del service desk ya no pueden fiarse de lo convincente que suene una persona. La verificación de identidad debe basarse en comprobaciones seguras y consistentes, no en la capacidad del agente para reconocer un intento de suplantación.
No es solo un problema de seguridad
La recuperación de accesos también tiene un coste. Los bloqueos de cuenta generan tickets de service desk que interrumpen el trabajo de los empleados y presionan a equipos de TI sobrecargados. Cuando alguien pierde el acceso fuera del horario laboral, incluso un restablecimiento rutinario puede implicar horas de inactividad.
También hay un coste económico: un único restablecimiento de contraseña en el help desk cuesta alrededor de 70 dólares. Multiplicado por cientos o miles de solicitudes, el gasto se acumula rápidamente.
La recuperación segura de autoservicio puede ayudar a los empleados a recuperar el acceso sin contactar con el service desk, mientras que una verificación de identidad optimizada ayuda a los agentes a gestionar las solicitudes que aún requieren asistencia. Con los procesos adecuados, las organizaciones pueden reducir la carga de trabajo sin debilitar la seguridad.
Cerrar la brecha: cómo es una verificación segura en el service desk
No es realista esperar que los agentes del service desk se conviertan en expertos en detectar intentos de ingeniería social asistidos por IA. La formación sigue siendo esencial, y los agentes deben sentirse seguros al rechazar solicitudes o escalarlas cuando algo no encaje.
Además, necesitan una forma fiable de verificar identidades antes de realizar cambios sensibles en las cuentas. La verificación debe ser un paso obligatorio, no una decisión basada en lo convincente que suene alguien.
Soluciones como Specops Secure Service Desk ayudan a las organizaciones a ponerlo en práctica mediante un proceso sencillo de cuatro pasos:
- Un empleado contacta con el service desk: un empleado, ‘John Doe’, llama porque no puede acceder a su cuenta. El agente inicia una solicitud de recuperación a través de Specops Secure Service Desk.
- El agente localiza la cuenta: con los datos de John, el agente encuentra su cuenta e inicia el proceso de verificación.
- Se realiza la verificación de identidad: Specops Secure Service Desk admite diversos métodos de verificación, como correo electrónico, SMS y autenticadores de terceros como Duo, de modo que las organizaciones pueden elegir el método adecuado para cada solicitud, tenga o no el interlocutor acceso a un smartphone.
- El agente continúa cuando la verificación se completa: solo después de que John haya verificado su identidad correctamente puede el agente ejecutar la acción solicitada, como restablecer su contraseña.
El objetivo es convertir la verificación segura de identidad en una parte consistente de los flujos de trabajo del service desk, sin añadir fricción innecesaria para agentes o empleados.
Hacer la recuperación de cuentas tan segura como el inicio de sesión
Una protección sólida del inicio de sesión sirve de poco si los atacantes pueden eludirla con una llamada convincente al service desk. Los restablecimientos de contraseña y la recuperación de cuentas necesitan una verificación igual de robusta que los controles de autenticación que protegen.
Sustituyendo las preguntas de conocimiento por una verificación segura y consistente, las organizaciones pueden reducir el riesgo de suplantación sin complicar la vida a empleados ni a agentes del service desk.
¿Quiere ver cómo funciona? Realice el recorrido interactivo de Specops Secure Service Desk para comprobar cómo los agentes pueden verificar identidades de forma segura antes de ejecutar cambios sensibles en las cuentas.
Si le interesa conocer cómo Specops puede respaldar su estrategia de seguridad de identidad, contacte hoy con ellos.
Patrocinado y redactado por Specops Software.
Deja una respuesta