El service desk ayuda cada día a compañeros que no pueden iniciar sesión. Restablecer una contraseña o vincular un nuevo dispositivo para MFA es rutina. Pero ¿cómo sabe con certeza el service desk que quien llama es realmente ese compañero? Si no lo consigue, una sola llamada puede bastar para apoderarse de una cuenta. Esto se denomina account takeover a través del service desk.
¿Qué es el account takeover?
En un account takeover (ATO), también llamado toma de control de cuentas, un atacante obtiene acceso a la cuenta de otra persona. Puede entonces iniciar sesión, leer el correo y utilizar sistemas como si fuera esa persona. Con todos los permisos de esa cuenta.
Hay varias vías para llegar a una cuenta. Este artículo trata de la vía a través del service desk: el atacante llama, se hace pasar por un empleado y consigue que restablezcan la contraseña o vuelvan a configurar MFA. Es una forma de voice phishing, también llamado vishing.
¿Por qué a través del service desk?
El service desk está para que los compañeros vuelvan a trabajar cuanto antes. Por eso un atacante no necesita hackear nada: un proceso normal le da el acceso. Para el service desk parece trabajo habitual. Un ticket, un restablecimiento, un llamante satisfecho.
La culpa no es de los empleados. Tienen que determinar quién llama sin ver a esa persona, y a menudo bajo presión de tiempo. El riesgo está en el proceso, no en las personas.
Por qué MFA no lo impide
MFA protege el inicio de sesión. Pero MFA también tiene que poder volver a configurarse, por ejemplo cuando alguien tiene un teléfono nuevo. Quien consigue que el service desk lo haga, rodea MFA. Su MFA es, por tanto, tan fuerte como su restablecimiento.
¿Ocurre de verdad?
Sí. La CISA y el FBI estadounidenses describen en un aviso conjunto sobre el grupo Scattered Spider cómo los atacantes se hacen pasar por empleados ante el helpdesk. Así consiguen que se restablezcan contraseñas y que MFA se transfiera a un dispositivo que ellos mismos controlan.
En los Países Bajos es además un asunto de la dirección. Desde el 15 de agosto de 2026 está en vigor la Cyberbeveiligingswet (la ley neerlandesa de ciberseguridad). La dirección es la responsable última de la gestión de los riesgos cibernéticos, y NIS2 incluye la gestión de accesos y la autenticación multifactor entre las medidas obligatorias.
¿Cómo sabe si su service desk lo impide?
Un procedimiento sobre el papel dice poco de lo que ocurre al teléfono. Para saberlo, tiene que ponerlo a prueba. En una evaluación de account takeover, DeepCalls llama a su service desk como lo haría un atacante. Siempre dentro de una autorización firmada y de acuerdos fijados de antemano.
¿Qué puede hacer?
- Pruebe la práctica. Una evaluación de account takeover muestra si su service desk entrega una cuenta a alguien que llama.
- Examine el proceso. Un análisis de procesos muestra dónde divergen la política y la práctica.
- Considere la verificación técnica. Las medidas técnicas sustituyen el criterio de un solo empleado por un control que el propio llamante debe superar.
