Регулярная перезагрузка пароля не так безопасна, как вы думаете.

[zender]

По оценкам Forrester, каждая операция по сбросу пароля обходится примерно в 70 долларов. Поскольку это один из наиболее распространенных запросов в службу поддержки, многие организации внедрили инструменты самостоятельного сброса паролей (SSPR) для снижения нагрузки. Однако, несмотря на эти инструменты, команды службы поддержки по-прежнему обрабатывают значительное количество запросов на сброс паролей, будь то поддержка регистрации в SSPR или решение нестандартных ситуаций.


Сброс пароля — естественная цель для злоумышленников, которые знают, что если им удастся убедить агента сбросить пароль, они смогут обойти многофакторную аутентификацию (MFA) и получить прямой доступ к учетной записи. Поэтому защита процесса сброса пароля начинается с понимания того, где могут возникнуть ошибки.

Как одна перезагрузка может привести к полному компромиссу​

в апреле 2025 года В результате атаки на британскую розничную сеть Marks & Spencer (M&S) работа магазинов была нарушена по всей стране, что привело к пятидневной приостановке онлайн-продаж и ежедневным убыткам в среднем в размере 3,8 миллиона фунтов стерлингов (5,1 миллиона долларов США).


Предполагается, что злоумышленники, связанные с хакерской группой Scattered Spider, получили первоначальный доступ, выдав себя за сотрудника M&S и связавшись со службой поддержки сторонней компании. После этого был произведен сброс пароля, что позволило им получить легитимные учетные данные и исключить необходимость использования каких-либо технических уязвимостей.


Затем злоумышленники использовали уязвимость Active Directory для извлечения файла NTDS.dit, базы данных, хранящей хеши паролей всех пользователей домена. Scattered Spider смог взломать эти хеши в автономном режиме и восстановить дополнительные учетные данные.


Имея действительные учетные записи и постепенно повышающиеся привилегии, злоумышленники, используя стандартные инструменты и обычную активность при входе в систему, расширяли свой доступ в течение нескольких недель. Получив достаточные привилегии, они запустили программу-вымогатель, зашифровав системы, поддерживающие платежи, электронную коммерцию и логистику. Компания M&S была вынуждена отключить свои сервисы, что нарушило работу и транзакции с клиентами.

Обеспечение безопасности стойки обслуживания​

Сложность атак с использованием методов социальной инженерии, подобных взлому M&S, заключается в том, что они не выглядят подозрительно. С точки зрения службы поддержки, это просто очередной пользователь, запрашивающий сброс пароля .


Именно поэтому служба поддержки является такой уязвимой мишенью, и именно поэтому полагаться на элементарные проверки недостаточно для обеспечения безопасности процесса сброса настроек. Без надежного способа проверить, кто находится на другом конце линии, обычный запрос легко может стать точкой проникновения.


Решения, подобные Specops Secure Service Desk, позволяют командам технической поддержки подтверждать личность пользователя перед сбросом настроек. Вместо того чтобы полагаться на информацию, которую можно найти или угадать, агенты могут отправить одноразовый код на доверенное устройство или использовать существующих поставщиков идентификационных данных, таких как Duo или Okta.




Служба поддержки Specops Secure Service Desk

Каждый запрос проходит одни и те же этапы, и проверка не является необязательной и не зависит от человека, принимающего звонок. Это означает, что злоумышленники не могут использовать те же тактики, что и в деле M&S. Даже если у них есть убедительная информация о прошлом пользователя, им все равно потребуется доступ к зарегистрированному устройству или идентификационному фактору пользователя, что гораздо сложнее подделать по телефону.

Рекомендации по сбросу паролей​

Для организаций, которые уже используют такое решение, как Specops Secure Service Desk, следующие рекомендации помогут командам обеспечить последовательное соблюдение этих стандартов.


1. По возможности поощряйте самообслуживание.


Не каждый раз для сброса пароля необходимо обращаться в службу поддержки. На самом деле, уменьшение этой зависимости — один из самых простых способов снизить как затраты, так и риски.


Если у вас уже есть решение для самостоятельного сброса паролей, основное внимание следует уделить повышению его внедрения. Убедитесь, что пользователи знают, как зарегистрироваться, понимают, как это работает, и чувствуют себя уверенно, используя его при необходимости. Это может быть так же просто, как создание краткого руководства с четкими инструкциями по вводу в эксплуатацию для новых пользователей.


2. Используйте безопасные временные учетные данные.


Даже проверенный сброс пароля представляет собой риск, если передача данных осуществляется ненадёжно. Передача временного пароля по голосовому вызову или по незашифрованной электронной почте создаёт окно возможностей для перехвата. Временные учетные данные должны быть надёжными, одноразовыми и передаваться по зашифрованному каналу. Если сброс пароля остаётся активным дольше нескольких минут, это представляет собой постоянную уязвимость.


3. Отслеживайте активность сброса паролей.


Отслеживание того, как и когда происходят сбросы настроек, может выявить как риски безопасности, так и пробелы в процессах. Ищите закономерности, такие как частые сбросы настроек, повторные обращения в службу поддержки или трудности пользователей с самообслуживанием. Это может указывать на что угодно, от плохого пользовательского опыта до потенциального неправомерного использования.


Регулярный мониторинг также помогает закрепить полезные привычки. Если пользователи не используют самообслуживание или постоянно сталкиваются с проблемами, это возможность вмешаться и дать более четкие инструкции. Со временем такая прозрачность снижает нагрузку на службу поддержки и делает сброс настроек более предсказуемым и, что важно, более безопасным.


4. Оснастить и обучить персонал службы поддержки.


Служба поддержки по-прежнему вмешивается, когда что-то не соответствует стандартному порядку действий или пользователям требуется дополнительная помощь. Это работает только при наличии необходимых инструментов и четких инструкций. Проверка личности должна быть последовательной, а не оставлена на произвол судьбы.


Агенты также должны иметь доступ к информации о сбросе настроек и четко определенную политику реагирования на аномалии. При правильной настройке служба поддержки становится ключевым элементом контроля в предотвращении несанкционированного доступа.