Verificación de identidad en el service desk
Un atacante no necesita una contraseña si el service desk se la restablece. La verificación técnica sustituye las preguntas de conocimiento y el criterio de un solo empleado por un control que el propio llamante debe superar. DeepCalls le ayuda a elegir qué solución se ajusta a su organización, y muestra lo que resuelve y lo que no.
- Resumen de soluciones
- Contrastado con sus vulnerabilidades
- Incluye lo que una solución no cubre
- Escenarios de prueba para su prueba de concepto
El problema
MFA es tan fuerte como su restablecimiento
Muchas organizaciones han implantado MFA. Pero quien llama diciendo que tiene un teléfono nuevo pide al service desk que vuelva a configurar precisamente esa protección.
El service desk tiene entonces que determinar si quien llama es quien dice ser. A menudo lo hace con preguntas, un número de devolución de llamada o una valoración personal.
La culpa no es de los empleados. El proceso exige un juicio bajo presión de tiempo sobre alguien a quien no pueden ver, mientras un compañero al teléfono quiere volver a trabajar cuanto antes.
El riesgo no es teórico. La CISA y el FBI estadounidenses describen en su aviso sobre Scattered Spider cómo los atacantes se hacen pasar por empleados ante el helpdesk. Así consiguen que se restablezcan contraseñas y que MFA se transfiera a un dispositivo que ellos mismos controlan.
Lo que vemos
Dónde deja margen la verificación en la práctica
En nuestras evaluaciones vemos patrones recurrentes en la verificación, el traspaso y los permisos. Son características del proceso, no errores de las personas.
Una medida técnica puede cerrar gran parte de ello.
Las soluciones
Dos formas de verificar a quien llama
La verificación técnica hace que la decisión deje de depender de si alguien conoce las respuestas correctas. Quien llama tiene que demostrar algo. Hay dos enfoques, y algunas soluciones ofrecen ambos.
| Verificación de presencia | Verificación con documento de identidad | |
|---|---|---|
| Qué demuestra quien llama | Que en este momento tiene acceso a sus propios medios y datos | Que es la persona que figura en el directorio |
| Cómo | MFA existente, combinado con datos dinámicos de la empresa, como inicios de sesión recientes, tickets o accesos con tarjeta. Cada control suma puntos. Solo cuando se alcanza el umbral que usted fija por rol y tipo de solicitud, se realiza el restablecimiento. | En un teléfono, con un documento de identidad que se coteja con el propio registro en el directorio, más una verificación facial con la foto de ese documento |
| Adecuado cuando | Quiere utilizar el MFA y los datos existentes en lugar de un nuevo paso de registro | Quien llama ya no dispone de sus propios medios. Se puede verificar a cualquier persona con un registro en el directorio. |
Verificación de presencia
- Qué demuestra quien llama
- Que en este momento tiene acceso a sus propios medios y datos
- Cómo
- MFA existente, combinado con datos dinámicos de la empresa, como inicios de sesión recientes, tickets o accesos con tarjeta. Cada control suma puntos. Solo cuando se alcanza el umbral que usted fija por rol y tipo de solicitud, se realiza el restablecimiento.
- Adecuado cuando
- Quiere utilizar el MFA y los datos existentes en lugar de un nuevo paso de registro
Verificación con documento de identidad
- Qué demuestra quien llama
- Que es la persona que figura en el directorio
- Cómo
- En un teléfono, con un documento de identidad que se coteja con el propio registro en el directorio, más una verificación facial con la foto de ese documento
- Adecuado cuando
- Quien llama ya no dispone de sus propios medios. Se puede verificar a cualquier persona con un registro en el directorio.
Lo que tienen en común
Para quién
Para organizaciones en las que una sola llamada puede abrir mucho
Relevante para cualquier organización en la que el service desk pueda restablecer contraseñas o MFA por teléfono, en particular:
También si ya utiliza el restablecimiento de contraseña en autoservicio o un Temporary Access Pass. Mientras el service desk pueda restablecer manualmente, el teléfono sigue siendo una vía.
- Multinacionales con varias entidades, un service desk central o externalizado e IT local
- Bancos y entidades financieras
- Administraciones públicas y organizaciones sujetas a la Cyberbeveiligingswet (la ley neerlandesa de ciberseguridad)
- Organizaciones con muchos empleados a los que el service desk nunca ve en persona
Normativa
Ley de ciberseguridad y NIS2
Desde el 15 de agosto de 2026 está en vigor la ley de ciberseguridad, la transposición neerlandesa de NIS2. La dirección es la responsable última de la gestión de los riesgos cibernéticos.
NIS2 incluye la gestión de accesos y el uso de la autenticación multifactor entre las medidas obligatorias (artículo 21). La directiva no menciona ningún método específico para verificar a quien llama. Sin embargo, un restablecimiento de MFA a través del service desk es un punto lógico para comprobar si esas medidas resisten en la práctica. Para las entidades financieras se aplica además DORA.
El enfoque
De la evaluación a una verificación que funciona
- 01
Evaluación.
Ponemos a prueba su service desk con llamadas realistas y determinamos dónde deja margen el proceso.
- 02
Resumen de soluciones.
Para cada solución: cómo funciona, cuáles de sus vulnerabilidades cierra, qué no cubre y qué exige al llamante y al empleado.
- 03
Contacto con proveedores.
Le ponemos en contacto con los proveedores adecuados. La decisión es suya.
- 04
Prueba de concepto.
Los escenarios de la evaluación se convierten en los casos de prueba de su prueba de concepto.
- 05
Nueva evaluación.
Tras la implantación volvemos a evaluar.
Transparencia sobre nuestras colaboraciones
Describimos cada solución de la misma manera, incluido lo que no cubre. El resumen incluye a los proveedores con los que colabora DeepCalls. La decisión es siempre suya.
Preguntas frecuentes
¿No basta con MFA?
¿Cuál es la mejor solución?
¿Tienen que usar los empleados un documento de identidad?
¿Y si alguien llama en nombre de otra persona?
¿Funciona con ServiceNow o TOPdesk?
Reunión inicial
¿Quiere saber qué verificación se ajusta a su service desk?
En una reunión inicial hablamos de su situación y de cuál es el siguiente paso lógico.
Concertar una reunión