اهمیت امنیت بازیابی حساب
اگر مهاجم موفق به دستیابی به اطلاعات احراز هویت کاربر شود، احراز هویت چندعاملی (MFA) همچنان با قرار دادن یک عامل احراز هویت دوم، مانع دسترسی مستقیم او به حساب کاربری می‌شود.
این سطح از حفاظت زمانی تقویت می‌شود که سازمان‌ها استفاده از روش‌های ضعیف‌تری مانند پیامک را کنار گذاشته و به سمت اپلیکیشن‌های احراز هویت، کلیدهای امنیتی FIDO و کلیدهای عبور (Passkeys) حرکت کنند.
از سوی دیگر، احراز هویت مقاوم در برابر فیشینگ باعث می‌شود سرقت اطلاعات احراز هویت به‌سادگی منجر به دسترسی مهاجم به حساب کاربری نشود. همچنین، دسترسی مشروط و اعتماد به دستگاه با بررسی عواملی مانند دستگاه مورد استفاده، موقعیت مکانی و شرایط ورود، لایه‌های امنیتی بیشتری را پیش از اعطای دسترسی اعمال می‌کنند.
این موارد به این معنا نیست که احراز هویت چندعاملی (MFA) کارایی خود را از دست داده است. در بسیاری از موارد، ماجرا دقیقاً برعکس است؛ MFA آن‌قدر مؤثر است که مهاجمان به‌جای هدف قرار دادن مستقیم آن، تلاش می‌کنند راه‌هایی برای دور زدن این سازوکار امنیتی پیدا کنند.
مهاجمان برای دور زدن احراز هویت چندعاملی (MFA) ممکن است به روش‌هایی مانند سرقت توکن‌های نشست، سوءاستفاده از نشست‌های احراز هویت‌شده یا هدف قرار دادن فرآیندهای احراز هویت خارج از روند معمول ورود به حساب روی بیاورند. در میان این فرآیندها، بازیابی حساب یکی از مهم‌ترین مسیرهایی است که می‌تواند مورد سوءاستفاده قرار گیرد.
با وجود این لایه‌های امنیتی، هر سامانه احراز هویت قدرتمندی باید برای یکی از مسائل رایج کاربران نیز راهکاری مشخص داشته باشد: اگر کاربر مجاز به هر دلیلی دسترسی خود را از دست بدهد، چگونه می‌توان دسترسی او را به‌صورت امن بازگرداند؟ در چنین شرایطی، امنیت حساب فقط به فناوری احراز هویت چندعاملی (MFA) وابسته نیست؛ بلکه نحوه بازنشانی و بازیابی دسترسی نیز می‌تواند نقش تعیین‌کننده‌ای در حفظ امنیت حساب داشته باشد.
وقتی مسیر بازیابی به مسیر حمله تبدیل می‌شود
کاربران ممکن است به دلایل مختلفی دسترسی خود به حساب کاربری را از دست بدهند؛ برای مثال، تلفن همراه جدیدی تهیه کنند، کلید امنیتی را گم کنند، شماره تلفن را تغییر دهند، دستگاه آسیب ببیند یا اطلاعات ورود را فراموش کنند. در چنین شرایطی، بازیابی حساب برای بازگرداندن دسترسی کاربر به یک فرآیند ضروری تبدیل می‌شود. در برخی موارد نیز ممکن است کاربر به اپلیکیشن احراز هویت دسترسی نداشته باشد و نتواند از این طریق وارد حساب کاربری شود.
اگر کاربر نتواند از طریق بازیابی خودکار دسترسی خود را بازگرداند، معمولاً سرویس دسک به مسیر بازگشت او به حساب کاربری تبدیل می‌شود.
بسته به ساختار سازمان و سطح دسترسی کاربر، کارشناس سرویس دسک می‌تواند اقدامات مختلفی را برای بازگرداندن دسترسی انجام دهد، از جمله:
- بازنشانی رمز عبور یا تنظیم مجدد احراز هویت چندعاملی (MFA)
- حذف یکی از روش‌های احراز هویت ثبت‌شده
- صدور اعتبارنامه‌های موقت
- تأیید ثبت یک اپلیکیشن احراز هویت جدید
- بازگرداندن دسترسی کاربر از روش‌های دیگر
اگرچه این اقدامات برای پشتیبانی از کاربران ضروری هستند، اما از نظر امنیتی جزو اقدامات حساس مدیریت هویت (Identity Management) محسوب می‌شوند. به همین دلیل، احراز هویت و بررسی هویت کاربر پیش از بازنشانی یا تغییر روش‌های احراز هویت اهمیت زیادی دارد.
برای مثال، اگر کاربر برای ورود به حساب خود باید چند عامل احراز هویت را تأیید کند، اما برای حذف یا جایگزینی همان عوامل تنها به چند سؤال پاسخ دهد، فرآیند بازیابی می‌تواند به راهی ساده‌تر برای دسترسی غیرمجاز به حساب تبدیل شود.
این موضوع دیگر فقط یک مسئله معمول در سرویس دسک نیست و به بخشی از فرآیند اطمینان از هویت تبدیل شده است. برای مثال، مایکروسافت در انترا آی‌دی (Entra ID)، فرآیند بازیابی حساب را یک فرآیند حساس می‌داند که باید با سطح اطمینان بالایی انجام شود. در روش‌های قدیمی، کارشناسان سرویس دسک معمولاً با پرسیدن چند سؤال، هویت کاربر را بررسی می‌کردند؛ اما روش‌های جدید به احراز هویت قوی‌تر متکی هستند تا هویت کاربر پیش از بازگرداندن دسترسی با اطمینان بیشتری تأیید شود.
اصل موضوع ساده است: فرآیند تغییر یا جایگزینی یک روش احراز هویت باید به‌گونه‌ای باشد که بتوان هویت مالک حساب را با اطمینان تأیید کرد. اگر هویت فرد به‌درستی تأیید نشود، مسیر بازیابی می‌تواند به راهی برای حمله و دسترسی غیرمجاز به حساب تبدیل شود.
حملات اخیر، ریسک‌های امنیتی در فرآیند بازیابی حساب را آشکار می‌کنند
تاکتیک‌هایی که گروه هکری Scattered Spider به کار گرفته، نمونه روشنی از چالش‌هایی است که سرویس دسک با آن مواجه است. بر اساس یک هشدار مشترک از سوی آژانس امنیت سایبری و امنیت زیرساخت آمریکا (CISA)، اف‌بی‌آی (FBI) و شرکای بین‌المللی، اعضای این گروه خود را به‌جای کارکنان سازمان معرفی کرده‌اند تا کارشناسان واحد فناوری اطلاعات و سرویس دسک را متقاعد کنند رمز عبور حساب‌ها را بازنشانی کرده و احراز هویت چندعاملی (MFA) را به دستگاه‌هایی تحت کنترل مهاجمان منتقل کنند.
بر اساس این هشدار، مهاجمان ممکن است پیش از اجرای حمله، طی چند تماس با سازمان درباره فرآیند بازنشانی رمز عبور اطلاعات جمع‌آوری کنند. این تماس‌ها به مهاجمان کمک می‌کند سازوکارهای داخلی سازمان را بهتر بشناسند و در زمان مناسب، فرآیند بازیابی حساب را برای دستیابی غیرمجاز به حساب کاربر هدف قرار دهند.
حمله سال 2025 به شرکت Marks & Spencer نیز نشان داد که جعل هویت حرفه‌ای تا چه اندازه می‌تواند پیامدهای جدی به همراه داشته باشد. اعضای Scattered Spider با جعل هویت یکی از کارکنان، یکی از نیروهای شرکت طرف قرارداد را فریب دادند تا رمز عبور حساب را بازنشانی کند و از این طریق به دسترسی اولیه دست یابند. مهاجمان پس از آن با نفوذ به حساب‌های بیشتر، باج‌افزار را در سراسر شبکه این شرکت مستقر کردند.
رئیس هیئت‌مدیره Marks & Spencer در پارلمان بریتانیا اعلام کرد که این حمله می‌تواند حدود 300 میلیون پوند از سود شرکت کم کند؛ البته بخشی از این زیان ممکن است در ادامه جبران شود. این رخداد نشان می‌دهد که حملات مهندسی اجتماعی با سوءاستفاده از هویت کارکنان، فقط یک تهدید برای حساب‌های کاربری نیستند و در صورت موفقیت می‌توانند خسارت مالی سنگینی به یک کسب‌وکار وارد کنند.
احراز هویت را به بخشی از فرآیند سرویس دسک تبدیل کنید
برای کاهش این ریسک، فرآیند احراز هویت در سرویس دسک نباید بر پرسش‌هایی مانند «آیا این فرد همان کاربری است که ادعا می‌کند؟» یا «آیا می‌تواند به سؤالات احراز هویت پاسخ دهد؟» متکی باشد. سؤال اصلی باید این باشد:
- آیا این فرد می‌تواند هویت خود را به‌عنوان مالک حساب، به‌صورت امن و قابل‌اعتماد اثبات کند؟
به همین دلیل، احراز هویت کاربر باید به یکی از مراحل الزامی فرآیندهای حساس سرویس دسک تبدیل شود. در این فرآیند نباید صرفاً به اطلاعاتی مانند رمز عبور، شماره تلفن یا پاسخ به سؤالاتی تکیه کرد که مهاجم می‌تواند آن‌ها را حدس بزند یا از طریق فیشینگ به دست آورد. همچنین، تصمیم‌گیری درباره هویت کاربر نباید صرفاً به قضاوت کارشناس سرویس دسک وابسته باشد؛ زیرا مهاجمان در حملات مهندسی اجتماعی می‌توانند از همین قضاوت‌ها برای فریب کارشناسان استفاده کنند.
یکی از راهکارها، استفاده از اطلاعات هویتی ثبت‌شده در اکتیو دایرکتوری (Active Directory) و انترا آی‌دی (Entra ID) و یکپارچه‌سازی این سامانه‌ها با سرویس‌های احراز هویت است. پشتیبانی از روش‌های مختلف احراز هویت چندعاملی (MFA) نیز امکان بررسی هویت کاربران با روش‌های گوناگون را فراهم می‌کند، بدون اینکه برای هر روش به فرآیند ثبت‌نام جداگانه‌ای نیاز باشد.
نکته مهم دیگر این است که تأیید هویت باید پیش از انجام هرگونه اقدام حساس انجام شود. کارشناسان سرویس دسک تنها پس از تأیید هویت کاربر باید بتوانند اقداماتی مانند بازنشانی رمز عبور، رفع مسدودی حساب یا وادار کردن کاربر به تغییر رمز عبور در ورود بعدی را انجام دهند.
همچنین، ثبت سوابق تأیید هویت به سازمان کمک می‌کند فرآیندهای احراز هویت را بهتر زیر نظر بگیرد و بررسی‌های امنیتی دقیق‌تری انجام دهد. این سوابق را می‌توان به پلتفرم‌های مدیریت اطلاعات و رویدادهای امنیتی (SIEM) و سامانه‌های تحلیل داده ارسال کرد تا در فرآیندهای ممیزی (Audit) و فعالیت‌های مرکز عملیات امنیت (SOC) به کار گرفته شوند. در این رویکرد، بازیابی حساب نیز باید بخشی از فرآیند احراز و تأیید هویت باشد و صرفاً به‌عنوان یک فرآیند پشتیبانی در نظر گرفته نشود.
امنیت حساب‌های کاربری فقط به فرآیند ورود محدود نمی‌شود. بازنشانی رمز عبور و بازیابی دسترسی نیز باید با همان سطح از دقت و کنترل امنیتی انجام شوند. به همین دلیل، تأیید هویت کاربر پیش از انجام اقدامات حساسی مانند بازنشانی رمز عبور یا تغییر روش‌های احراز هویت، باید به بخشی جدایی‌ناپذیر از فرآیند امنیت هویت در سرویس دسک تبدیل شود.
