Assurez-vous qu'il existe une méthode permettant aux utilisateurs de réinitialiser leurs propres mots de passe et établissez une politique selon laquelle le service d'assistance initiera une réinitialisation de mot de passe si un mot de passe leur est révélé.

Les utilisateurs auront tendance à téléphoner lorsque ils ne peuvent pas se connecter, et par conséquent, déclencher le même processus de réinitialisation de mot de passe qu'ils le peuvent eux-mêmes les amène à apprendre lentement que cela n'aide pas à téléphoner.

Malheureusement, certains utilisateurs le feront toujours, mais vous pouvez ajouter de l'audio au message d'introduction et conserver de la musique, en rappelant que les utilisateurs ne doivent pas fournir de mots de passe par téléphone.

En termes simples, il n'y a aucun moyen d'écarter complètement cela. Cependant, il existe des politiques et des procédures que vous pouvez mettre en place pour le réduire:

• Envoyez des messages de sensibilisation à la sécurité (autonomes ou des pieds de page vers d'autres messages) réitérant que les mots de passe sont privés et ne doivent jamais être fournis à n'importe qui.
• Former le personnel du Helpdesk à interrompre les clients avant qu'ils ne puissent donner leur mot de passe.
• Mettre en œuvre une politique selon laquelle si un client donne un mot de passe au helpdesk, ce mot de passe doit être immédiatement réinitialisé.
• Assurez-vous que les sections en libre-service sont bien visibles et bien annoncées (pour les réinitialisations / récupérations de mot de passe).

La plupart d'entre elles ont un coût associé au service (inconvénient, généralement, et paperasse supplémentaire), qui devrait être pris en compte avant la mise en œuvre, mais c'est la direction générale.

Je pense qu'en plus de la réinitialisation immédiate du mot de passe, il peut être approprié de rappeler aux utilisateurs les conditions d'utilisation ( exemples de conditions d'utilisation).

Vous êtes le seul utilisateur autorisé de votre compte. Vous êtes responsable du maintien de la confidentialité de tout mot de passe fourni par Vous ou par Zimride pour accéder au Service. Vous êtes seul et entièrement responsable de toutes les activités qui se produisent sous Votre mot de passe ou compte. Zimride n'a aucun contrôle sur l'utilisation du compte de tout utilisateur et décline expressément toute responsabilité en découlant. Si vous soupçonnez qu'une partie non autorisée peut utiliser votre mot de passe ou votre compte ou si vous soupçonnez une autre violation de la sécurité, vous nous contacterez immédiatement.

Dites à l'utilisateur qu'il a enfreint les conditions de service en divulguant le mot de passe et que vous réinitialisez le mot de passe pour le remettre en conformité.

Cela dépend également du type de service que vous fournissez. Pour moi personnellement, si je n'attache aucune valeur monétaire à mon compte, je ne me soucierai probablement pas beaucoup des conditions de service. D'un autre côté, si je pose des questions sur mon compte de retraite et qu'il est sous-entendu que de fréquentes violations des conditions de service peuvent être utilisées comme preuve pour exonérer l'entreprise de sa responsabilité financière en cas de faille de sécurité, je ferai certainement attention.

Par exemple, certains pirates volent mon argent en utilisant une faille de sécurité sans rapport avec la sécurité, mais la société ne veut pas réparer, alors ils utilisent mes divulgations de mot de passe comme preuve de mon insouciance.

J'ai un processus simple qui a appris aux utilisateurs assez rapidement à ne pas nous donner leur mot de passe. Si un utilisateur vous indique son mot de passe, faites la même chose que vous feriez si vous saviez que l'utilisateur a dit le mot de passe à quelqu'un d'autre, forcez-le à définir un nouveau mot de passe. Terminez l'appel / l'interaction, puis informez l'utilisateur que pour la sécurité, vous devez maintenant réinitialiser son mot de passe, n'oubliez pas de ne jamais dire à personne (y compris son responsable ou son personnel informatique) son mot de passe et, le cas échéant, d'en informer immédiatement le service informatique afin que vous puissiez réinitialisez-le.

Vous auriez pu poser cette question sur UIX.StackExchange - ici personne ne semble poser la question "Pourquoi vous disent-ils leur mot de passe?". Je pense qu'essayer d'éduquer les gens avec des messages audio ou des avertissements ne résoudra pas l'affaire. La plupart des gens savent qu'ils ne devraient pas divulguer leur mot de passe à qui que ce soit sans une bonne raison.

Si tant de personnes appellent votre support pour affirmer "P4ssW0rd est mon mot de passe, non?" Il semble que votre interface utilisateur les laisse ignorants si c'est vraiment leur mot de passe. Cela peut avoir plusieurs raisons - si vous avez d'anciens clients, cela pourrait simplement être qu'ils oublient leur mot de passe, mais les gens qui savent qu'ils ne se souviennent pas facilement de certaines choses l'écriront généralement.

Peut-être ont-ils des problèmes pour se connecter et recevez le message habituel "Vous avez entré un nom d'utilisateur ou un mot de passe erroné" - Il est naturel de demander à l'assistance si le nom d'utilisateur ou le mot de passe que vous avez entré était erroné. Peut-être qu'ils reçoivent le même message si leur compte est verrouillé? Ou peut-être qu'ils obtiennent leur premier mot de passe par courrier électronique et qu'il ne "ressemble" pas à un mot de passe. Ou l'application ne simplifie pas assez la tâche pour savoir quel est votre mot de passe.

Vous devriez demander aux utilisateurs pourquoi ils ont besoin de clarifier leur mot de passe et vous trouverez probablement une raison dans la communication avec l'utilisateur / dans le interface utilisateur qui amène tant de personnes à ressentir le besoin de clarifier leur mot de passe par téléphone.

Mise à jour avec une nouvelle proposition de solution:

Que faire si vous avez commencé chaque conversation en demandant à un client la réponse à une phrase de passe que lui seul devrait connaître? Une option similaire a été utilisée comme mesure supplémentaire pendant longtemps dans une entreprise pour laquelle je travaillais auparavant, où la sécurité est relativement élevée, et j'ai le sentiment que cela peut aider à contourner des problèmes comme le vôtre.

La façon dont cela fonctionne est la suivante: Lorsqu'un client appelle et donne son nom, vous recherchez ses informations, y compris un jeu de questions et de réponses en texte brut. Demandez-leur maintenant immédiatement de vérifier leur identité en répondant à la question que vous leur avez lue.

À quoi cela servirait-il?
Deux choses, j'espère espérer : Premièrement, cela devrait améliorer votre sécurité, même si ce n'est que marginalement. Les informations peuvent être stockées en texte brut, avec accès à toutes les personnes travaillant au service d'assistance, et il est probable que la plupart des réponses seraient facilement devinables, surtout si un attaquant faisait un peu de recherche avant de vous appeler. Même dans ce cas, cela devrait encore rendre un peu plus difficile l'usurpation de l'identité de l'un de vos clients par téléphone sans susciter de soupçon.

Deuxièmement, et plus important encore pour votre problème particulier, cela devrait indiquer clairement à l'appelant que vous l'avez en fait identifié et que vous consultez actuellement les données de ses clients. L'idée ici est que vous permettez à votre client d'être utile . C'est, après tout, probablement pourquoi ils sont si désireux de vous donner leur mot de passe, n'est-ce pas?

En gros, vous leur fournissez alors un moyen simple de s'identifier sans révéler l'élément le plus sensible de info qui est leur mot de passe personnel.

Ma réponse précédente:

Vous pouvez et devez continuer à essayer d'éduquer vos utilisateurs sur des problèmes comme celui-ci, mais il y aura toujours des utilisateurs qui l'ignorent ou qui ne le prennent pas au sérieux. Chaque fois que cela se produit, assurez-vous d'en informer poliment à nouveau vos utilisateurs et dites-leur que vous avez une politique qui les oblige à réinitialiser leur mot de passe maintenant qu'il a été révélé .

S'il s'agit d'un problème récurrent, vous voudrez peut-être aussi chercher pourquoi cela se produit. Les personnes de votre service d'assistance ont-elles réellement besoin d'accéder aux comptes clients, même si ce n'est que pour une courte période pour les aider? Peut-être pouvez-vous trouver une solution où l'accès temporaire est donné avec un mot de passe temporaire? Si cela inclut une solution annoncée qui vous simplifie la tâche pour aider vos utilisateurs, tout en étant également évident pour eux que vous pouvez y accéder sans qu’ils aient à vous fournir leur mot de passe, alors peut-être qu’ils ne se sentiront pas le besoin de vous «aider» à accéder à leurs comptes?

Évidemment, cela nécessiterait une journalisation chaque fois qu'un employé accède à un compte utilisateur, de préférence avec une brève description de pourquoi, ce qui a été fait, etc., ainsi que une politique stricte de confidentialité et des directives sur ce que les employés peuvent et ne peuvent pas faire, etc.

Je voulais juste ajouter ceci aux autres options ici (qui sont bonnes.)

Je ne sais pas quel type de système téléphonique vous utilisez, mais en plus de ceux suggérés ci-dessus, serait-il possible qu'un court message audio automatisé soit lu à l'utilisateur appelant pour l'informer de ne pas partager son mot de passe avec des représentants de service et tout cela? Ce message automatisé pourrait à la fois éduquer les utilisateurs avant qu'ils n'arrivent à contacter les représentants, et empêcher tout représentant malveillant de demander des mots de passe (je ne sais pas quel est le problème.)

Je poste ce commentaire en guise de réponse car je pense que c'est une très bonne réponse à la question

Personnellement, si quelqu'un ignore déjà qu'il ne doit pas indiquer son mot de passe au service d'assistance, puis la réinitialisation réactive de leur mot de passe les mettrait probablement en colère - même s'il est bon de s'assurer que seuls eux connaissent leur mot de passe. S'il s'agit d'informations extrêmement sensibles, c'est un must. Sinon, je pense qu'avoir une sorte d'enregistrement avant qu'un appel ne soit pris peut aider - "Votre appel peut être enregistré à des fins d'assurance qualité. N'oubliez pas de ne jamais révéler votre mot de passe à qui que ce soit, y compris au service d'assistance."

- @Jake

Un autre venant du champ de gauche, essayant d'arrêter la fuite, plutôt que de nettoyer le sol.

Si votre mot de passe contient des lettres et des chiffres, assez souvent nous obtenons un beaucoup de problèmes avec les polices non monotypes. '1' 'i' 'l' a tous le même aspect '0' 'O' aussi. Alors peut-être utiliser une image, ou forcer le navigateur à utiliser un monotype, lors de l'affichage de leur passe?

Ou obtenir votre passer l'algorithme pour ne pas utiliser l'un des éléments ci-dessus.

Il s'agit généralement d'un symptôme de mauvaise communication, procédures, organisation, politiques et stratégies de l'entreprise envers le client.

Pour certains de mes comptes bancaires, même je ne comprends pas de quoi il s'agit entre le code PIN, la phrase de sécurité, le numéro de sécurité, le mot de passe, l'identifiant client, le nom de connexion, nom de connexion, adresse e-mail, adresse e-mail et une autre adresse e-mail, qui sont parfois différents et parfois non. (notez les doublons!). Ensuite, il y a les cartes d'identité et les codes à deux facteurs à suivre.

Par exemple. mon FAI m'a demandé de saisir une adresse e-mail pour créer un compte afin d'obtenir leur service qui fournissait une adresse e-mail [voir (1)], puis mon identifiant ADSL téléphonique était également une «adresse e-mail». Alors, avec qui dois-je me connecter - les deux en fonction de la page Web!

Pas étonnant que les gens soient confus et que la sécurité soit compromise par tous ces prétendus «schémas» d'amélioration de la sécurité.

Ensuite J'essaie d'aider mes beaux-parents âgés (87 & 90) avec des problèmes de prothèse auditive, etc.

Il s'agit de la gestion des risques et des conséquences (en fait, ce sont des dangers, des probabilités, ...).

Assurez-vous que le service des communications améliore le format et la mise en page de ces e-mails, et qu'ils ne peuvent être confondus avec aucun autre élément au son similaire (c'est-à-dire en supprimer un, donc il n'y a AUCUN élément au son similaire!)

Je pense qu'il est préférable d'avoir un message automatisé via IVR leur disant explicitement que-

Pour des raisons de sécurité, veuillez ne jamais fournir vos mots de passe à nos représentants du service d'assistance ...

avant même qu'ils ne parlent à votre équipe d'assistance.

J'espère que cela vous aidera! :)

Je vous suggère de revenir en arrière et de vous demander pourquoi les utilisateurs font cela en premier lieu. Ce qui me vient à l'esprit, c'est qu'ils ne peuvent pas se connecter et essaient de déterminer s'ils ont oublié leur mot de passe ou si quelque chose ne va pas - le compte est bloqué, ils ont le mauvais nom d'utilisateur, etc.

Votre problème est que l'utilisateur innocent essayant de résoudre son problème d'accès est mêlé à des tentatives malveillantes d'accéder aux comptes par l'ingénierie humaine de votre personnel de support. Malheureusement, cela ne fonctionnera probablement pas de simplement demander à l'appelant qu'il est un vrai utilisateur ou un criminel.

Je n'ai pas de réponse pour vous - toute information que votre personnel est prêt à fournir ou à confirmer est potentiellement dans le cadre d'une tentative d'accès par quelqu'un qui ne le devrait pas.

Les gens ont l'habitude de faire confiance aux personnes à qui ils demandent de l'aide, sinon ils ne leur demanderaient pas ... Médecins, thérapeutes, réparation automobile, service d'électroménagers, etc. Par exemple, hier, j'ai emmené ma voiture au magasin pour une réparation. Ce serait absurde s'ils disaient: "Ne donnez en aucun cas la clé de votre voiture à un membre de notre personnel (ou à toute autre personne)!" À l'intérieur de ma voiture se trouvaient les documents habituels indiquant mon nom et mon adresse (papier d'immatriculation de la voiture, documents d'assurance) et j'ai également une clé de mon appartement cachée à l'intérieur de la voiture (au cas où je me verrouillerais d'une manière ou d'une autre, et il y a un clé de voiture de rechange dans mon portefeuille). Il est possible que de mauvaises personnes travaillent au garage, mais peu probable.

Mais dans tous les cas, personne ne peut "pirater" mon appartement ou voler ma voiture sans en fait étant ici, je n'ai donc pas à me soucier de faire confiance à 99,9999% de la population mondiale. Si j'égare ma clé de voiture en Nouvelle-Zélande, ce ne sera pas un problème. Si quelqu'un en Roumanie obtient une copie de la clé de mon appartement, toujours pas de problème. Donc, le fait est que le monde électronique est juste différent .

Je pense que la solution est de le rendre plus proche du monde réel: personne vivant en dehors de ma ville natale ne devrait pouvoir accéder à mon compte bancaire à distance. Si j'ai acheté de l'essence à la maison avec ma carte de crédit et que quelqu'un essaie de l'utiliser à 2000 km une heure plus tard, cela devrait tout simplement échouer. (Et ça l'a fait une fois. Bravo à ma coopérative de crédit pour avoir fait automatiquement ce qui était le mieux pour moi sans que je ne le demande ou que je doive payer pour ça!)

Vous ne pouvez pas expliquer aux gens ou empêcher des hypothèses fondées sur un monde de confiance vérifiable si le monde que vous «vendez» n'a pas de tels avantages. Changez le monde que vous vendez aux gens. Rendre un mot de passe qui a été volé aussi inutile que ma clé de voiture se trouve en Nouvelle-Zélande. La technologie doit fonctionner pour les gens , et non l'inverse. SI les éléments que vous créez ne sont pas sécurisés, travaillez plus dur. Nous avons considérablement amélioré la sécurité des avions, des voitures et de l'électricité, nous ne nous sommes pas contentés de dire: Oh, eh bien, il faut plus d'éducation.

Je travaille pour un service d'assistance, et nous avons récemment lancé un service en ligne où nos membres peuvent se connecter.

Il est dommage qu'un problème de conception dresse la tête et vous, en première ligne, devez vous en occuper, alors que ce devraient être les architectes qui devraient avoir à répondre aux commentaires fournis dans ce QA.

Je note deux choses (en italique le mien):

Un problème que nous rencontrons est que les utilisateurs qui nous appellent nous demandent souvent de confirmer que le mot de passe qui leur a été remis est correct. Ce faisant, ils divulguent leur mot de passe par téléphone. Comment pouvons-nous éviter cela?

et:

Environ 90% de nos appelants sont des nouveaux appelants. Puisqu'ils le font la première fois qu'ils appellent, il est difficile de les éduquer. Ce sont des retraités , donc ils ont généralement moins d'expérience des services authentifiés que l'utilisateur moyen de l'ordinateur.

Le problème ici n'est pas la conception du système de mot de passe, le problème est l'utilisation de mots de passe en premier lieu, par un public inadapté.

Si je concevais ce système, j'éviterais les mots de passe, ou sinon, je fournirais un moyen d'authentification alternatif approprié pour un moins- public technique. Mes options préférées incluent:

• Mots de passe à usage unique provenant d'une clé RSA ou similaire (utilisé dans un système d'authentification à un facteur),
• Certificats côté client de l'un ou l'autre une carte à puce ou une carte à puce virtuelle (sécurisée par un code PIN) ou à partir d'un dongle USB sécurisé
• «Picture Passwords» (une série de clics / tapotements sur une grande image), du point de vue infosec, c'est la même chose que un mot de passe et il est plausible qu'il soit moins sécurisé si la séquence de points de clic est évidente, mais cela rend plus difficile à oublier et ne se prête pas facilement au partage par téléphone.
• Utilisez les PII (informations personnellement identifiables) comme mot de passe. Aux États-Unis, son numéro de sécurité sociale sert souvent à cet endroit, car (généralement) tout le monde sait qu'il devrait être gardé secret, mais les gens semblent d'accord avec les sites Web de leurs banques qui le demandent pour confirmer leur identité - peut-être un analogue moins critique. pourrait être utilisé, comme une date de naissance et un nom de rue actuel, bien qu'ils ne soient guère secrets, si le système utilise des identifiants d'utilisateurs numériques ou attribués au hasard (par opposition à des adresses e-mail ou des noms d'utilisateurs en texte libre), ce serait tout aussi sûr que un mot de passe, à condition que les utilisateurs ne divulguent pas leurs identifiants.

Le risque ici semble être davantage du côté des techniciens du support technique qui se font dire le mot de passe. Si vous ne pouvez pas leur faire confiance pour ne pas abuser de leurs connaissances, vous avez un problème à résoudre.

Faire en sorte que les utilisateurs cessent de donner leur mot de passe est une question de les éduquer. Cela devrait se produire au besoin quand cela se produit.

Si un utilisateur donne un mot de passe à une personne du service d'assistance, il devrait y avoir un processus en place pour verrouiller ce mot de passe et le forcer à en créer un nouveau. Encore une fois, vous devez faire confiance à la personne du service d'assistance pour lancer cela, mais c'est pourquoi vous les contrôleriez avant d'être embauché.