Os ataques mais eficazes ao help desk não exploram vulnerabilidades de software. Eles exploram uma lacuna no processo: o usuário na linha que não consegue produzir um autenticador registrado. Um contratado no primeiro dia. Um parceiro que liga para redefinir o acesso. Esses usuários sempre existiram no limite da cobertura de verificação de identidade, e os invasores os têm visado sistematicamente.
Para órgãos governamentais, serviços financeiros e outras organizações de alta segurança, esse é um risco inaceitável.
A última atualização do RSA Help Desk Live Verify fecha essa lacuna.
O original RSA Help Desk Live Verify O lançamento do novo produto abordou uma das superfícies de ataque mais perigosas da segurança empresarial: a chamada ao help desk. A engenharia social, os ataques de desvio de MFA e os golpes de suporte técnico direcionados aos help desks de TI custaram às organizações centenas de milhões de dólares em perdas e multas. A versão inicial do RSA Help Desk Live Verify abordou esses riscos com um modelo de verificação bidirecional com patente pendente que pode confirmar as identidades do usuário e do agente sem que nenhum dos lados compartilhe um PIN, senha ou detalhes pessoais.
Mas exigia que os usuários tivessem um autenticador RSA registrado. Isso deixava uma categoria de usuários totalmente fora do modelo de proteção: prestadores de serviços sem um dispositivo provisionado, funcionários cujo dispositivo autenticador foi perdido ou roubado, trabalhadores temporários e parceiros externos. Para esses usuários, as organizações tiveram que recorrer a abordagens mais antigas, incluindo fazer perguntas de segurança, ler os detalhes da conta ou ignorar totalmente a verificação.
Antes de falar sobre as novidades do RSA Help Desk Live Verify, é útil entender o mecanismo subjacente:
- Quando um usuário entra em contato com o help desk, o agente inicia uma sessão do RSA Help Desk Live Verify, direcionando o usuário para um site de propriedade da empresa
- Lá, é oferecida ao usuário uma variedade de opções de verificação sem senha (inclusive chaves de acesso). Essas opções resultam das políticas de acesso adaptável da organização e dos sinais de risco em tempo real do usuário
- O usuário verifica sua identidade usando a opção mais conveniente disponível para ele
- Após a verificação bem-sucedida, o usuário recebe um código de verificação que deve ser fornecido ao agente do help desk
- O agente do help desk insere o código no console de administração, verificando o usuário, e continua a ajudar com a solicitação
Nenhum dos lados fala uma credencial ou fornece informações pessoais. É importante ressaltar que a verificação é bidirecional por design - o processo também confirma a identidade do agente para o usuário, eliminando o clássico estilo de ataque ‘Sou do seu help desk - vamos redefinir sua senha’.
O acesso a aplicativos e recursos confidenciais ou restritos aciona automaticamente uma autenticação mais forte com base em quem está perguntando, onde está e o que está acessando. A autenticação intensificada é aplicada automaticamente quando o contexto e o comportamento do usuário indicam risco.
As organizações também podem adicionar camadas RSA® Trava móvel e RSA® IA de risco para tornar o RSA Help Desk Live Verify ainda melhor. O Mobile Lock monitora o ambiente de autenticação móvel e pode bloquear solicitações de verificação se o dispositivo mostrar sinais de comprometimento - trojans, malware de compartilhamento de tela ou outros indicadores de que o fluxo de autenticação está sendo observado ou interceptado. O Risk AI avalia dinamicamente o comportamento do usuário e os sinais de risco, automatizando os desafios de autenticação por etapas, se necessário.
O RSA Help Desk Live Verify apresenta um caminho de verificação paralelo para os usuários que não têm acesso a um autenticador registrado, desenvolvido pela ID Dataweb. Em vez de se autenticarem com um autenticador RSA, esses usuários passam por um fluxo de verificação de ID: eles enviam uma credencial emitida pelo governo - uma carteira de motorista, passaporte ou outro documento de identidade - que é verificada em relação a fontes de dados de identidade autorizadas em tempo real. O agente vê o resultado da verificação na mesma interface do console de administração. Nenhuma credencial é compartilhada em voz alta. O modelo de garantia bidirecional ainda se aplica.
O fluxo de verificação pode ser controlado por meio das políticas de acesso adaptáveis da RSA. Os administradores podem configurar quais populações de usuários são encaminhadas para a verificação baseada em autenticador versus a verificação de ID e podem incorporar o Identity Confidence com o Risk AI para adicionar sinais de risco contextuais à decisão. Uma solicitação de alto risco - por exemplo, um usuário que faz login em um local incomum, fora do horário de expediente, solicitando determinados fluxos de trabalho ou apresentando outra anomalia comportamental - pode acionar um caminho de verificação mais rigoroso.
A atualização do RSA Help Desk Live Verify foi projetada para cobrir qualquer fluxo de trabalho confidencial, não apenas as chamadas de help desk. O mesmo mecanismo de verificação que protege uma redefinição de credencial pode proteger uma autorização de transferência eletrônica, uma solicitação de escalonamento de privilégios, um fluxo de trabalho de recuperação de VPN ou uma ação de RH que envolva dados confidenciais de funcionários. Nos serviços financeiros, isso é importante para a autorização de pagamentos em tempo real e para a aprovação de transações de alto valor, em que os requisitos de garantia de identidade são regulamentares, não opcionais. No setor governamental e de defesa, ele atende aos requisitos de verificação de identidade nos limites de acesso que se estendem a contratados e parceiros que talvez nunca recebam um autenticador gerenciado pela agência.
O impacto prático é direto: qualquer fluxo de trabalho em que uma organização precise confirmar com quem está lidando antes de realizar uma ação sensível pode agora usar o RSA Help Desk Live Verify, para qualquer usuário em sua força de trabalho estendida.
Do ponto de vista da implantação, o RSA Help Desk Live Verify é um complemento para os ambientes RSA ID Plus existentes. Não há alterações nas implantações existentes. As organizações que já usam o RSA Help Desk Live Verify podem estender a cobertura a usuários sem autenticadores, ativando o complemento ID Verification por meio do ID Dataweb. Os administradores configuram quais fluxos de trabalho e populações de usuários podem usar o Verificação de identidade por meio da mesma estrutura de política usada para o restante da RSA® ID Plus ambiente.
Para as equipes de segurança que avaliam a cobertura, a principal pergunta a ser feita sobre qualquer implementação do RSA Help Desk Live Verify é: o que acontece quando um usuário não tem acesso ao seu autenticador? Antes dessa última atualização, a resposta honesta para a maioria das organizações era que a verificação não funcionava. Com o ID Verification implementado, esse cenário é direcionado para um fluxo de verificação estruturado, auditável e resistente a phishing. Cada interação de verificação - seja por meio de um autenticador ou de uma ID governamental - é registrada e fica disponível para relatórios de auditoria e conformidade.
O RSA Help Desk Live Verify atende a um conjunto específico de ambientes e casos de uso. Ele é mais relevante para:
- Organizações com força de trabalho ampliada. Se empreiteiros, parceiros ou trabalhadores temporários interagem com seu help desk ou estão envolvidos em fluxos de trabalho confidenciais, eles têm representado historicamente uma lacuna de verificação. O RSA Help Desk Live Verify foi criado para isso.
- Instituições financeiras. A autorização de transferência eletrônica, a aprovação de pagamento em tempo real e as solicitações de acesso à conta envolvem interações confidenciais em que a garantia de identidade reduz diretamente a exposição à fraude.
- Ambientes governamentais e de alta segurança. As agências e os contratados que operam em ambientes com requisitos rigorosos de garantia de identidade se beneficiam de um modelo de verificação que funciona para os usuários em toda a fronteira de identidade, não apenas para aqueles com dispositivos gerenciados pelo governo.
- Qualquer organização que esteja usando o RSA Help Desk Live Verify hoje. Se você já tiver implantado o RSA Help Desk Live Verify para usuários equipados com autenticadores, esta versão permite estender a mesma proteção aos usuários que estão fora dessa cobertura, sem alterar a configuração existente.
O RSA Help Desk Live Verify com verificação de ID entra no Private Preview como parte da versão de junho de 2026, com disponibilidade geral planejada para o final do verão de 2026. O Private Preview já está disponível em regiões selecionadas, com implementação mais ampla até meados de junho. As organizações devem habilitar a Verificação de ID para integrar o fluxo de trabalho atualizado em seu ambiente RSA ID Plus.
Se a sua organização tem contratados, parceiros ou funcionários sem um autenticador registrado - e deseja fechar a lacuna de verificação antes da GA - o Private Preview está aberto agora. Entre em contato com o gerente de contas da RSA para habilitar seu ambiente.
Se você ainda não é um cliente da RSA, Solicite uma demonstração para ver o RSA Help Desk Live Verify em ação.
