Seguridad del service desk: cómo defenderse de la ingeniería social

Durante años endurecimos el perímetro, desplegamos MFA resistente al phishing y le dijimos a todo el mundo que el humano era el eslabón más débil. Los atacantes estuvieron de acuerdo, y entonces encontraron al único humano cuyo trabajo consiste precisamente en ayudar a las personas bloqueadas a volver a entrar. El service desk de TI es hoy una superficie de ataque principal, y si tu servicio de soporte puede restablecer una contraseña o volver a registrar la MFA a partir de una llamada convincente, tienes una puerta principal sin cerradura. La misma llamada con pretexto es una vía clásica en el espionaje corporativo, donde el objetivo son los datos de un competidor y no un rescate.

Por qué el service desk se convirtió en el objetivo

Las intrusiones de 2023 atribuidas a Scattered Spider en MGM Resorts y Caesars Entertainment no empezaron con un zero-day. Según se informó, ambas comenzaron con ingeniería social contra el soporte de TI; en MGM, con una llamada al service desk. Un atacante que ha hecho diez minutos de investigación en LinkedIn llama al soporte, se hace pasar por un empleado, transmite la urgencia justa y pide al agente que restablezca una contraseña o pase la MFA a un dispositivo nuevo. El agente, al que se mide por el tiempo de gestión de las llamadas y al que se ha formado para ser servicial, cumple. Minutos después, el atacante tiene una identidad válida dentro de tu tenant, y cada control técnico que compraste trabaja ahora a su favor.

Esto es vishing, phishing por voz, y funciona porque ataca los procesos y la psicología, no el código. Por eso la defensa también es de procesos y de psicología, reforzada con controles de identidad que hacen que las buenas intenciones del agente no influyan en el resultado. A continuación tienes los siete controles técnicos y de procedimiento que todo equipo de seguridad debería implantar, con su razonamiento y su implementación, seguidos del manual humano que los une.

Los siete controles que necesita el service desk

Trata lo que sigue como una línea base, no como un menú. Cada control cierra un movimiento concreto del manual del atacante, y son más fuertes en combinación: un canal de devolución de llamada es mucho más potente cuando se activa automáticamente en cada restablecimiento, y el cumplimiento de los dispositivos es mucho más potente cuando además se vigilan los nuevos registros.

• No aceptes solicitudes entrantes desde dominios externos o no fiables: restringe quién puede siquiera llegar al soporte. Por qué: los atacantes suelen entrar desde fuera de tu frontera de identidad, usando correos o números externos suplantados para abrir un ticket o un chat. Cómo: restringe la creación de tickets, el chat y los flujos de restablecimiento a cuentas internas autenticadas y números corporativos conocidos; bloquea o pon en una cuarentena estricta las solicitudes que procedan de dominios externos o no verificados; y no dejes nunca que un canal externo entrante inicie un cambio de credenciales. Si una solicitud no puede vincularse a una identidad gestionada, no recibe un restablecimiento: se escala.
• Monitoriza y señala cualquier cambio en el método de autenticación de un usuario, sobre todo desde una ubicación extranjera o inusual. Por qué: cambiar el teléfono o la app de autenticación registrados es el objetivo del atacante, porque le da el segundo factor de forma permanente. Cómo: alerta de cada alta, cambio o baja de un método de MFA, enriquecida con el contexto de geolocalización y dispositivo. Un cambio de número de teléfono o un nuevo registro del autenticador desde un país desde el que el usuario nunca ha iniciado sesión debería generar una alerta de alta severidad e, idealmente, bloquearse hasta una confirmación humana.
• Monitoriza y cuestiona las solicitudes telefónicas de cambio de contraseña desde ubicaciones inusuales o nuevas. Por qué: el identificador de llamada dice una cosa, pero las señales de inicio de sesión y geolocalización asociadas suelen decir la verdad. Cómo: cuando se pide un restablecimiento, muestra en la consola del agente las ubicaciones de inicio de sesión recientes y la puntuación de riesgo de la cuenta. Si la cuenta muestra al mismo tiempo intentos de inicio de sesión desde una geografía anómala, el agente debe tratar la llamada como hostil hasta que se demuestre lo contrario y derivarla al manual de alto riesgo.
• Permite el inicio de sesión solo desde dispositivos unidos al dominio o gestionados y conformes. Por qué: incluso una credencial válida es mucho menos útil para un atacante si solo puede usarse desde un dispositivo que controla tu organización. Cómo: aplica Conditional Access (o su equivalente) exigiendo el cumplimiento del dispositivo o la unión al dominio para acceder a las aplicaciones sensibles. Un atacante que consigue una contraseña a base de labia choca después con un muro porque su propio portátil no es un dispositivo registrado y conforme. Este único control reduce el beneficio de un compromiso exitoso del service desk.
• Monitoriza el registro de dispositivos nuevos desde ubicaciones anómalas. Por qué: registrar un dispositivo nuevo es cómo un atacante convierte una credencial robada en un acceso duradero y un segundo factor operativo. Cómo: alerta de cada nueva unión de dispositivo o registro de dispositivo en Microsoft Entra ID, correlaciónalo con la ubicación y la hora, y señala los registros que aparecen desde geografías inesperadas o justo después de una interacción con el soporte. Un dispositivo nuevo que aparece en el extranjero minutos después de un restablecimiento telefónico es una señal de compromiso casi segura.
• Activa automáticamente una MFA reforzada o una nueva verificación de identidad para cualquiera que llame para restablecer una contraseña. Por qué: la propia llamada es el canal no fiable, así que el restablecimiento debe volver a anclarse en algo que posee el usuario real. Cómo: haz que una solicitud de restablecimiento dispare automáticamente una verificación fuera de banda: un código de un solo uso al autenticador registrado, una notificación push que el usuario debe aprobar o un código leído desde un dispositivo registrado. El agente no puede completar el restablecimiento hasta que esa verificación reforzada tenga éxito. Es el control que más directamente frustra el patrón de Scattered Spider.
• Mantén canales verificados de devolución de llamada y acepta restablecimientos solo a través de ellos. Por qué: el atacante controla la llamada entrante; no controla el número que consta en el registro. Cómo: para cualquier restablecimiento sensible, el agente termina la llamada entrante y devuelve la llamada al usuario al número guardado en el sistema de RR. HH. o de identidad, nunca a un número que facilite quien llama. En los casos de alto riesgo, añade la verificación del responsable o una videollamada en directo con comprobación de un documento de identidad con foto. Si no se puede localizar al usuario real por un canal registrado, el restablecimiento espera. La llamada entrante es una solicitud; la llamada saliente es la verificación.

Un manual de verificación de identidad para los agentes

Los controles fallan sin un guion que quite al agente la discreción de dejarse convencer para saltárselos. Da a cada agente un manual escrito y obligatorio, y el respaldo explícito de la dirección para seguirlo, también con directivos y también bajo presión.

El manual debe empezar clasificando la solicitud en un nivel de riesgo. Las solicitudes de riesgo bajo (un problema de impresora, una incidencia de una aplicación o un restablecimiento estándar de contraseña de una cuenta no privilegiada en un dispositivo ya conforme) siguen con la confirmación de identidad normal. Las solicitudes de riesgo alto (un nuevo registro de MFA o un cambio de método, cualquier cuenta privilegiada o de administración, el registro de un dispositivo nuevo, solicitudes vinculadas a una ubicación anómala o cualquier cosa que hayan señalado las alertas de monitorización) activan la ruta de verificación completa: MFA reforzada, devolución de la llamada al número registrado y aprobación del responsable fuera de banda antes de cambiar nada.

Cada restablecimiento, de riesgo bajo o alto, se registra: quién llamó, qué cuenta, qué nivel, qué verificación se hizo, qué agente actuó y cuál fue el resultado. Ese registro es a la vez tu rastro de auditoría y tu conjunto de datos de detección: un grupo de restablecimientos de cuentas privilegiadas desde una misma región es un patrón que solo puedes ver si lo apuntas todo. En el caso concreto de las cuentas privilegiadas, exige la aprobación del responsable fuera de banda como requisito obligatorio: el agente contacta con el responsable del titular de la cuenta por un canal separado y verificado y obtiene su visto bueno explícito antes de tocar la credencial.

¿No sabes cuánto expuesto está tu patrimonio de identidades a este patrón exacto? Nuestra calculadora de riesgo de identidades (Pro) te guía por las preguntas (cobertura de MFA, higiene de las cuentas privilegiadas, cumplimiento de los dispositivos y proceso del service desk) y puntúa dónde se sitúa el soporte en tu riesgo global de identidad.

Forma contra la fatiga de MFA y la urgencia

Las dos palancas de las que más tiran los atacantes son la fatiga y la urgencia. La fatiga de MFA (bombardear con solicitudes de aprobación hasta que un usuario cansado pulsa Aceptar) debe contrarrestarse técnicamente con la coincidencia de números y la limitación de solicitudes, y culturalmente enseñando a cada empleado que una solicitud inesperada es algo que hay que comunicar, no una molestia que descartar. La urgencia es toda la caja de herramientas del atacante de vishing: el falso plazo, el directivo impaciente, la amenaza de perder un negocio. Enseña a los agentes que la urgencia es en sí misma una señal de alarma, que la política de verificación no se negocia y se aplica a todo el mundo, y que ir más despacio es exactamente lo que espera la dirección. El poder del atacante se evapora en el momento en que al agente se le permite de verdad decir que no.

Lista de comprobación para endurecer el service desk

• Restringe quién puede llegar al soporte: bloquea los flujos de restablecimiento iniciados desde dominios externos o no fiables y números no verificados.
• Alerta de cada alta, cambio o baja de un método de MFA, con enriquecimiento de ubicación y dispositivo.
• Alerta y cuestiona las llamadas de cambio de contraseña que coinciden con una geografía de inicio de sesión anómala.
• Aplica Conditional Access exigiendo dispositivos unidos al dominio o conformes para las aplicaciones sensibles.
• Alerta de cada registro de dispositivo nuevo y señala las ubicaciones anómalas o la coincidencia temporal con una llamada.
• Activa automáticamente una MFA reforzada o una nueva verificación en cada restablecimiento de contraseña telefónico.
• Devuelve la llamada al usuario al número registrado, nunca a un número que facilite quien llama.
• Añade la verificación del responsable o una comprobación por vídeo o documento de identidad en los restablecimientos de alto riesgo y privilegiados.
• Clasifica cada solicitud en riesgo bajo o alto y derívala en consecuencia.
• Registra cada restablecimiento: llamante, cuenta, nivel, verificación realizada, agente y resultado.
• Exige la aprobación del responsable fuera de banda como requisito obligatorio en todas las cuentas privilegiadas.
• Implanta la coincidencia de números y la limitación de solicitudes, y forma al personal para que comunique las solicitudes de MFA inesperadas.
• Da a los agentes un permiso escrito y respaldado por la dirección para ir más despacio y negarse bajo presión.
• Haz simulaciones periódicas de vishing contra el soporte e incorpora los resultados a la formación.

Ninguno de estos controles es exótico, y precisamente de eso se trata. El manual de Scattered Spider funciona no porque sea sofisticado, sino porque la mayoría de los servicios de soporte se diseñaron para optimizar la amabilidad y la rapidez, nunca para resistir a un mentiroso decidido al teléfono. Rehaz el proceso para que un restablecimiento solo pueda completarse por un canal verificado y fuera de banda, rodéalo de una monitorización que vigile los movimientos delatores del atacante, y la llamada telefónica dejará de ser una vía de entrada.