Gli attacchi più efficaci all'help desk non sfruttano le vulnerabilità del software. Sfruttano una lacuna di processo: l'utente in linea che non è in grado di produrre un autenticatore registrato. Un appaltatore al primo giorno. Un partner che chiama per ripristinare l'accesso. Questi utenti sono sempre stati ai margini della copertura della verifica dell'identità e gli aggressori li hanno sistematicamente presi di mira.
Per le agenzie governative, i servizi finanziari e altre organizzazioni ad alta affidabilità, si tratta di un rischio inaccettabile.
L'ultimo aggiornamento di Verifica in tempo reale dell'help desk RSA colma questo divario.
L'originale Verifica in tempo reale dell'help desk RSA ha affrontato una delle superfici di attacco più pericolose per la sicurezza aziendale: le chiamate all'help desk. Gli attacchi di social engineering, di bypass dell'MFA e le truffe di assistenza tecnica che hanno come obiettivo gli help desk IT sono costati alle organizzazioni centinaia di milioni di dollari in perdite e multe. La versione iniziale di RSA Help Desk Live Verify ha affrontato questi rischi con un modello di verifica bidirezionale in attesa di brevetto, in grado di confermare sia l'identità dell'utente che quella dell'agente senza che nessuno dei due condivida PIN, password o dati personali.
Ma richiedeva che gli utenti avessero un autenticatore RSA registrato. Ciò lasciava una categoria di utenti completamente al di fuori del modello di protezione: appaltatori senza un dispositivo fornito, dipendenti il cui dispositivo di autenticazione era stato perso o rubato, lavoratori temporanei e partner esterni. Per questi utenti, le organizzazioni dovevano ricorrere ad approcci più vecchi, come porre domande di sicurezza, leggere i dettagli dell'account o saltare completamente la verifica.
Prima di esaminare le novità di RSA Help Desk Live Verify, è utile comprendere il meccanismo sottostante:
- Quando un utente contatta l'help desk, l'agente avvia una sessione RSA Help Desk Live Verify, indirizzando l'utente a un sito web di proprietà dell'azienda.
- Lì, all'utente viene offerta una serie di opzioni di verifica senza password (comprese le passkey). Queste opzioni derivano dalle politiche di accesso adattive dell'organizzazione e dai segnali di rischio in tempo reale dell'utente.
- L'utente verifica la propria identità utilizzando l'opzione più comoda a sua disposizione
- Se la verifica ha esito positivo, l'utente riceve un codice di verifica che fornisce all'agente dell'help desk.
- L'agente dell'help desk inserisce quindi il codice nella console di amministrazione, verificando l'utente, e continua a fornire assistenza alla richiesta.
Nessuna delle due parti parla di credenziali o fornisce informazioni personali. È importante notare che la verifica è bidirezionale: il processo conferma anche l'identità dell'agente all'utente, eliminando il classico attacco del tipo ‘sono dell'help desk, resettiamo la password’.
L'accesso ad applicazioni e risorse sensibili o riservate attiva automaticamente un'autenticazione più forte in base a chi lo chiede, dove si trova e a cosa sta accedendo. L'autenticazione progressiva viene applicata automaticamente quando il contesto e il comportamento dell'utente indicano un rischio.
Le organizzazioni possono anche aggiungere RSA® Blocco mobile e RSA® Rischio AI per rendere RSA Help Desk Live Verify ancora migliore. Mobile Lock monitora l'ambiente di autenticazione mobile e può bloccare le richieste di verifica se il dispositivo mostra segni di compromissione (trojan, malware per la condivisione dello schermo o altri indicatori che indicano che il flusso di autenticazione viene osservato o intercettato). Risk AI valuta dinamicamente il comportamento dell'utente e i segnali di rischio, automatizzando le sfide di autenticazione step-up se giustificate.
RSA Help Desk Live Verify introduce un percorso di verifica parallelo per gli utenti che non hanno accesso a un autenticatore registrato, fornito da ID Dataweb. Invece di autenticarsi con un autenticatore RSA, questi utenti passano attraverso un flusso di verifica ID: inviano una credenziale rilasciata dal governo - patente di guida, passaporto o altro documento di identità - che viene verificata in tempo reale rispetto a fonti di dati di identità autorevoli. L'agente vede il risultato della verifica nella stessa interfaccia della console di amministrazione. Nessuna credenziale viene condivisa ad alta voce. Il modello di garanzia bidirezionale è ancora valido.
Il flusso di verifica può essere controllato attraverso i criteri di accesso adattivi di RSA. Gli amministratori possono configurare quali popolazioni di utenti vengono indirizzate alla verifica basata sull'autenticatore rispetto alla verifica ID e possono incorporare Identity Confidence con Risk AI per aggiungere segnali di rischio contestuali alla decisione. Una richiesta ad alto rischio, ad esempio un utente che accede da una postazione insolita, in orari non lavorativi, che richiede determinati flussi di lavoro o che mostra altre anomalie comportamentali, può attivare un percorso di verifica più rigoroso.
L'aggiornamento RSA Help Desk Live Verify è stato progettato per coprire qualsiasi flusso di lavoro sensibile, non solo le chiamate all'help desk. Lo stesso motore di verifica che protegge l'azzeramento delle credenziali può proteggere l'autorizzazione di un bonifico bancario, una richiesta di escalation dei privilegi, un workflow di recupero VPN o un'azione HR che coinvolge dati sensibili dei dipendenti. Nei servizi finanziari, questo è importante per l'autorizzazione dei pagamenti in tempo reale e l'approvazione di transazioni di alto valore, dove i requisiti di garanzia dell'identità sono regolamentari, non facoltativi. Nel settore governativo e della difesa, si tratta di requisiti per la verifica dell'identità ai confini dell'accesso che si estendono agli appaltatori e ai partner che potrebbero non ricevere mai un autenticatore gestito dall'agenzia.
L'impatto pratico è immediato: qualsiasi flusso di lavoro in cui un'organizzazione ha bisogno di confermare chi sta trattando prima di intraprendere un'azione sensibile può ora utilizzare RSA Help Desk Live Verify, per qualsiasi utente della sua forza lavoro estesa.
Dal punto di vista della distribuzione, RSA Help Desk Live Verify è un'aggiunta agli ambienti RSA ID Plus esistenti. Non sono previste modifiche alle distribuzioni esistenti. Le organizzazioni che già utilizzano RSA Help Desk Live Verify possono estendere la copertura agli utenti senza autenticatore abilitando il componente aggiuntivo ID Verification tramite ID Dataweb. Gli amministratori configurano quali flussi di lavoro e popolazioni di utenti possono usare Verifica dell'ID attraverso lo stesso quadro politico utilizzato per il resto della RSA® ID Plus ambiente.
Per i team che si occupano di sicurezza e che stanno valutando la copertura, la domanda chiave da porsi per qualsiasi implementazione di RSA Help Desk Live Verify è: cosa succede quando un utente non ha accesso al proprio autenticatore? Prima di quest'ultimo aggiornamento, la risposta onesta per la maggior parte delle organizzazioni era che la verifica si interrompeva. Con ID Verification, questo scenario passa invece a un flusso di verifica strutturato, verificabile e resistente al phishing. Ogni interazione di verifica, sia attraverso un autenticatore che attraverso un ID governativo, viene registrata e resa disponibile per i rapporti di audit e conformità.
RSA Help Desk Live Verify si rivolge a una serie specifica di ambienti e casi d'uso. È particolarmente importante per:
- Organizzazioni con forza lavoro estesa. Se appaltatori, partner o lavoratori temporanei interagiscono con l'help desk o sono coinvolti in flussi di lavoro sensibili, storicamente rappresentano un gap di verifica. RSA Help Desk Live Verify è stato creato per questo.
- Istituzioni finanziarie. L'autorizzazione dei bonifici, l'approvazione dei pagamenti in tempo reale e le richieste di accesso al conto corrente comportano interazioni delicate in cui la garanzia dell'identità riduce direttamente l'esposizione alle frodi.
- Ambienti governativi e ad alta affidabilità. Le agenzie e gli appaltatori che operano in ambienti con requisiti rigorosi di garanzia dell'identità traggono vantaggio da un modello di verifica che funziona per gli utenti in tutto il perimetro dell'identità, non solo per quelli con dispositivi gestiti dal governo.
- Tutte le organizzazioni che utilizzano RSA Help Desk Live Verify oggi stesso. Se si è già implementato RSA Help Desk Live Verify per gli utenti dotati di autenticatore, questa release consente di estendere la stessa protezione agli utenti attualmente non coperti, senza modificare la configurazione esistente.
RSA Help Desk Live Verify con ID Verification entra in Private Preview come parte della release di giugno 2026, con disponibilità generale prevista per la fine dell'estate 2026. L'anteprima privata è disponibile da subito in regioni selezionate, con un rollout più ampio fino a metà giugno. Le organizzazioni devono abilitare ID Verification per integrare il flusso di lavoro aggiornato nel loro ambiente RSA ID Plus.
Se la vostra organizzazione ha appaltatori, partner o dipendenti senza un autenticatore registrato e volete colmare il gap di verifica prima della GA, l'anteprima privata è aperta ora. Contattate il vostro Account Manager RSA per abilitare il vostro ambiente.
Se non siete ancora clienti RSA, Richiedi una demo per vedere RSA Help Desk Live Verify in azione.
