Mise à jour avec une nouvelle proposition de solution:
Que faire si vous avez commencé chaque conversation en demandant à un client la réponse à une phrase de passe que lui seul devrait connaître? Une option similaire a été utilisée comme mesure supplémentaire pendant longtemps dans une entreprise pour laquelle je travaillais auparavant, où la sécurité est relativement élevée, et j'ai le sentiment que cela peut aider à contourner des problèmes comme le vôtre.
La façon dont cela fonctionne est la suivante: Lorsqu'un client appelle et donne son nom, vous recherchez ses informations, y compris un jeu de questions et de réponses en texte brut. Demandez-leur maintenant immédiatement de vérifier leur identité en répondant à la question que vous leur avez lue.
À quoi cela servirait-il?
Deux choses, j'espère espérer : Premièrement, cela devrait améliorer votre sécurité, même si ce n'est que marginalement. Les informations peuvent être stockées en texte brut, avec accès à toutes les personnes travaillant au service d'assistance, et il est probable que la plupart des réponses seraient facilement devinables, surtout si un attaquant faisait un peu de recherche avant de vous appeler. Même dans ce cas, cela devrait encore rendre un peu plus difficile l'usurpation de l'identité de l'un de vos clients par téléphone sans susciter de soupçon.
Deuxièmement, et plus important encore pour votre problème particulier, cela devrait indiquer clairement à l'appelant que vous l'avez en fait identifié et que vous consultez actuellement les données de ses clients. L'idée ici est que vous permettez à votre client d'être utile . C'est, après tout, probablement pourquoi ils sont si désireux de vous donner leur mot de passe, n'est-ce pas?
En gros, vous leur fournissez alors un moyen simple de s'identifier sans révéler l'élément le plus sensible de info qui est leur mot de passe personnel.
Ma réponse précédente:
Vous pouvez et devez continuer à essayer d'éduquer vos utilisateurs sur des problèmes comme celui-ci, mais il y aura toujours des utilisateurs qui l'ignorent ou qui ne le prennent pas au sérieux. Chaque fois que cela se produit, assurez-vous d'en informer poliment à nouveau vos utilisateurs et dites-leur que vous avez une politique qui les oblige à réinitialiser leur mot de passe maintenant qu'il a été révélé .
S'il s'agit d'un problème récurrent, vous voudrez peut-être aussi chercher pourquoi cela se produit. Les personnes de votre service d'assistance ont-elles réellement besoin d'accéder aux comptes clients, même si ce n'est que pour une courte période pour les aider? Peut-être pouvez-vous trouver une solution où l'accès temporaire est donné avec un mot de passe temporaire? Si cela inclut une solution annoncée qui vous simplifie la tâche pour aider vos utilisateurs, tout en étant également évident pour eux que vous pouvez y accéder sans qu’ils aient à vous fournir leur mot de passe, alors peut-être qu’ils ne se sentiront pas le besoin de vous «aider» à accéder à leurs comptes?
Évidemment, cela nécessiterait une journalisation chaque fois qu'un employé accède à un compte utilisateur, de préférence avec une brève description de pourquoi, ce qui a été fait, etc., ainsi que une politique stricte de confidentialité et des directives sur ce que les employés peuvent et ne peuvent pas faire, etc.