Especialización

Account takeover a través del service desk

Un atacante no necesita una contraseña. Una llamada convincente al service desk puede bastar para que restablezcan una contraseña o vinculen un nuevo dispositivo MFA. DeepCalls comprueba si su service desk lo impide.

Concertar una reuniónCómo funciona
  • A medida para su organización
  • Dentro de una autorización firmada
  • Realizado por especialistas con experiencia
  • Incluye un resumen de medidas técnicas

Qué es

¿Qué es el account takeover a través del service desk?

En un account takeover, un atacante se apodera de la cuenta de un empleado. A través del service desk, eso es posible sin hackear nada. El atacante llama, se hace pasar por ese empleado y pide ayuda para iniciar sesión.

Si obtiene una nueva contraseña o se vincula un nuevo dispositivo MFA, tiene acceso al correo, los sistemas y los datos de ese empleado. Con los permisos de ese empleado.

La culpa no es del service desk. Su función es ayudar rápidamente a los compañeros, y tiene que determinar quién llama sin ver a esa persona. El account takeover también se conoce como toma de control de cuentas y es una forma de voice phishing o vishing.

Por qué

Su MFA es tan fuerte como su restablecimiento

01
No falla nada técnico.
El atacante no irrumpe en el sistema. Obtiene el acceso a través de un proceso normal.
02
Parece trabajo habitual.
Un ticket, un restablecimiento, un llamante satisfecho. Por eso no llama la atención por sí solo.
03
Una sola cuenta puede bastar.
Lo que un atacante puede hacer con ella depende de los permisos de esa cuenta.
04
Ocurre en la práctica.
La CISA y el FBI estadounidenses describen en su aviso sobre Scattered Spider cómo los atacantes consiguen a través del helpdesk que se restablezcan contraseñas y se transfiera MFA.
05
Es un asunto de la dirección.
Desde el 15 de agosto de 2026 está en vigor la Cyberbeveiligingswet (la ley neerlandesa de ciberseguridad). La dirección es la responsable última de la gestión de los riesgos cibernéticos, y NIS2 incluye la gestión de accesos y MFA entre las medidas.

Para quién

Para organizaciones en las que una sola cuenta puede abrir mucho

Relevante para cualquier organización en la que el service desk pueda restablecer contraseñas o MFA a petición de quien llama. En particular:

No necesita saber con exactitud qué quiere evaluar. En la entrevista inicial decidimos juntos qué tiene sentido.

  • Multinacionales y organizaciones complejas con varias entidades, sedes o idiomas
  • Organizaciones con un service desk externalizado, o con IT local además de un service desk central
  • Bancos, aseguradoras y otras entidades financieras
  • Administraciones públicas, centros educativos y organizaciones sujetas a la ley de ciberseguridad
  • Organizaciones que han invertido en MFA y quieren saber si también resiste por teléfono

La evaluación

Evaluamos el proceso, no a las personas

En una evaluación de ATO llamamos a su service desk como lo haría un atacante, dentro de acuerdos fijados de antemano. Nos fijamos en:

01
Verificación de identidad.
Cómo determina el service desk quién llama.
02
Restablecimientos de contraseña y MFA.
Si los procedimientos resisten en la práctica.
03
Escalado y traspaso.
Qué ocurre cuando una solicitud pasa a otro departamento o a IT local.
04
Resiliencia bajo presión.
Si el proceso se mantiene cuando quien llama insiste.
No evalúo a personas, evalúo procesos. Por eso trato todo de forma anónima. Un service desk quiere ayudar, y un buen procedimiento y la verificación técnica adecuada hacen que pueda hacerlo de forma segura.

Lara Hemstede

fundadora de DeepCalls

Qué recibe

  • Un informe con las conclusiones de cada llamada

  • Opcional: un análisis de procesos que muestra dónde el procedimiento deja margen, para que pueda mejorar el proceso

  • Un resumen de medidas técnicas para la verificación de identidad en el service desk

  • Una presentación final para su equipo

El proceso

De la entrevista inicial a la comprensión

  1. 01

    Entrevista inicial.

    Hablamos de su organización, sus procesos y su perfil de riesgo, y dejamos constancia de los acuerdos.

  2. 02

    Desarrollo de escenarios.

    A medida para su sector y su organización. Nada de guiones estándar.

  3. 03

    Ejecución.

    Las llamadas con su service desk, dentro de una autorización firmada.

  4. 04

    Informe y presentación final.

    Usted recibe el informe y presentamos los resultados a su equipo.

Dentro de lo acordado

Realista, pero controlado

Cada evaluación se realiza dentro de una autorización firmada y de unas reglas acordadas de antemano. Trabajamos conforme al RGPD y sin interrumpir sus operaciones. Las conclusiones se comunican de forma anónima y confidencial.

Preguntas frecuentes

¿Puede alguien hacer que el helpdesk restablezca mi contraseña?
Si el service desk no puede determinar bien quién llama, sí. Una evaluación de ATO muestra si ese es su caso.
Tenemos MFA. ¿Sigue siendo necesario?
MFA protege el inicio de sesión. Si el service desk puede restablecer MFA o vincular un nuevo dispositivo, existe una vía telefónica que rodea MFA.
¿En qué se diferencia de una simulación de phishing?
Una simulación de phishing comprueba si los empleados reaccionan a un correo electrónico. Una evaluación de ATO comprueba si el service desk entrega una cuenta a alguien que llama.
¿Es esto una prueba de penetración?
No. Es una prueba de un proceso por teléfono. Las pruebas de penetración técnicas las ofrecemos a través de nuestra red de partners.
¿Se puede evaluar también un service desk externalizado?
Sí. La empresa externa que gestiona su service desk da su consentimiento para la prueba. El contrato y los acuerdos se gestionan a través de usted como cliente.
¿Qué hacemos después de la evaluación?
Con el informe, en su caso el análisis de procesos y el resumen de medidas técnicas, usted decide qué cambiar.

Reunión inicial

¿Sabe qué hace su service desk cuando llamamos nosotros?

En una reunión inicial hablamos de su situación y de si una evaluación de ATO es adecuada.

Concertar una reunión