Nonostante anni di rafforzamento dell'autenticazione, le aziende sono sempre più vulnerabili agli attacchi che sfruttano le debolezze nei processi di verifica dell'identità durante onboarding e recupero account. Soluzioni come Specops Verified ID puntano a colmare questa lacuna.
Negli ultimi anni, le aziende hanno investito molto per rafforzare i sistemi di autenticazione, adottando strumenti come l'autenticazione a più fattori (MFA) e il controllo degli accessi condizionale. Tuttavia, questi strumenti non risolvono tutte le criticità legate all'identità digitale. I momenti più delicati restano quelli in cui la fiducia viene stabilita o ristabilita: l'ingresso di un nuovo dipendente, il recupero di un account, il reset di una password o di un fattore MFA, e le richieste di modifiche sensibili al service desk.
Gli attaccanti, invece di puntare solo al furto di credenziali o all'aggiramento della MFA, sfruttano sempre più spesso le debolezze nei processi di verifica dell'identità. Attraverso tecniche di social engineering, cercano di convincere il service desk di essere il vero titolare dell'account, mettendo così sotto pressione le aziende affinché rafforzino non solo il login, ma anche le procedure di onboarding e recupero.
Onboarding e recupero: i punti deboli della verifica identità
Nel luglio 2026, il Dipartimento di Stato USA e i partner di Giappone, Canada e Regno Unito hanno lanciato un allarme: lavoratori IT nordcoreani si fingevano cittadini stranieri per ottenere impieghi, falsificando documenti e utilizzando immagini fornite da terzi per registrare account. Una volta superati i controlli iniziali, ottenevano accessi apparentemente legittimi agli ambienti aziendali. Questo dimostra come la fase di onboarding sia cruciale: se la verifica fallisce, l'attaccante entra indisturbato.
Lo stesso rischio si presenta durante il recupero degli account. Gruppi come Scattered Spider sono noti per la loro abilità nel social engineering: impersonano dipendenti e contattano il service desk per ottenere il reset delle password, come avvenuto nell'attacco ransomware che nel 2025 ha colpito M&S, causando perdite operative stimate in 400 milioni di dollari.
La domanda chiave resta: quanto può essere sicura un'organizzazione nell'identificare chi richiede l'accesso?
Le password di Active Directory e il ruolo di Specops Password Policy
Secondo il Data Breach Investigation Report di Verizon, il furto di credenziali è coinvolto nel 44,7% delle violazioni. Strumenti come Specops Password Policy permettono di rafforzare Active Directory, bloccando miliardi di password compromesse e riducendo i rischi e i costi di supporto.
Autenticazione forte? Solo se la verifica identità è solida
Quando un utente chiama il service desk dichiarando di aver perso l'accesso, l'operatore deve poter verificare con certezza la sua identità. Tuttavia, molte aziende si affidano ancora a controlli deboli, come la richiesta di ID dipendente, numero di telefono o domande di sicurezza facilmente reperibili online o tramite data breach. Anche quando vengono adottati controlli più avanzati, la manipolazione di documenti e l'uso di tecnologie AI - come profili sintetici, immagini alterate, voci clonate e deepfake - rendono sempre più difficile distinguere tra utenti reali e impostori.
Per questo motivo, è fondamentale adottare misure di verifica più robuste, soprattutto nei momenti ad alto rischio come onboarding e recupero account.
Verifica avanzata per eventi identitari critici
Soluzioni come Specops Verified ID offrono un livello di sicurezza aggiuntivo, combinando la scansione e validazione di documenti governativi con la rilevazione biometrica di liveness. Questo approccio consente di verificare che il documento sia autentico e che la persona sia realmente presente, riducendo il rischio di frodi e impersonificazioni, come quelle viste nelle campagne dei lavoratori remoti nordcoreani. La stessa metodologia può essere applicata anche ai reset di password per account privilegiati, concentrando la verifica avanzata solo dove le conseguenze di un errore sono più gravi.
Proteggere il service desk: una priorità crescente
Nonostante l'autenticazione forte resti fondamentale, gli attaccanti cercano sempre nuove vie per aggirare i controlli più robusti, puntando sui processi di verifica identità piuttosto che sul login. Che si tratti di onboarding o di recupero account, la sfida è garantire che solo la persona giusta ottenga l'accesso.
Specops Verified ID integra la validazione dei documenti governativi e la biometria nei momenti più critici, aiutando le aziende a prendere decisioni con maggiore sicurezza. Per approfondire le strategie di difesa contro attacchi di social engineering, è utile anche analizzare come i gruppi criminali sfruttino il vishing per colpire settori finanziari, come descritto in questo approfondimento sugli attacchi vishing contro hedge fund.
Per scoprire come Specops può rafforzare la verifica identità al service desk, è possibile contattare direttamente gli esperti dell'azienda.
