Lunedì mattina, ore 8.45. La coda dei ticket all’help desk è già lunga e il motivo è quasi sempre lo stesso: «Ho dimenticato la password», «Il mio account è bloccato». Una scena così ordinaria da sembrare innocua, che però nasconde due problemi seri. Il primo è di efficienza: ogni reset gestito a mano consuma tempo del supporto IT e lascia un collaboratore fermo davanti a uno schermo. Il secondo, meno evidente, è di sicurezza: l’help desk che reimposta credenziali al telefono è diventato uno dei bersagli preferiti degli attaccanti. Il gruppo noto come Scattered Spider, per esempio, ha costruito la propria fama su telefonate al supporto tecnico in cui si spacciava per dipendenti in difficoltà.
Il ciclo di vita di una password
Una credenziale aziendale nasce con l’onboarding, vive nell’uso quotidiano, a volte scade, spesso va reimpostata e, infine, deve essere revocata quando il dipendente lascia l’azienda. Ognuna di queste fasi è un potenziale punto debole.
Su alcune abitudini radicate, peraltro, le linee guida internazionali hanno cambiato rotta. La revisione 4 della NIST SP 800-63B, pubblicata nell’agosto 2025, chiede di non imporre cambi periodici delle password, se non in presenza di indizi di compromissione, di privilegiare la lunghezza rispetto alla complessità, con almeno 15 caratteri quando la password è l’unico fattore e 8 quando fa parte di un’autenticazione multifattore, e di verificare ogni nuova password contro elenchi di credenziali note o già violate. Le aziende che ancora obbligano al rinnovo ogni 90 giorni, in altre parole, non solo non guadagnano sicurezza, ma alimentano proprio quella valanga di dimenticanze che intasa il supporto.
Il peso nascosto sull’help desk
Le stime di settore citate da anni collocano le richieste di reset tra le voci più frequenti nel carico di lavoro del supporto IT, con percentuali che in molte organizzazioni toccano una quota rilevante del totale dei ticket. Il costo non è solo quello del tecnico: c’è la produttività persa da chi aspetta, magari fuori orario, in trasferta o in smart working, quando nessuno risponde al telefono.
Come funziona il recupero autonomo
Il principio è semplice: l’utente dimostra di essere chi dice di essere e reimposta da solo la propria credenziale, senza intermediari. Il processo si articola in tre momenti.
La registrazione. Al primo accesso il dipendente associa al proprio account uno o più metodi di verifica: un’app di autenticazione sullo smartphone, un token, una chiave di sicurezza, un indirizzo email secondario.
La verifica. Quando serve un reset, dalla schermata di login del PC o da qualsiasi dispositivo, il sistema chiede di confermare l’identità con i metodi registrati, idealmente più di uno.
La reimpostazione. L’utente sceglie una nuova password, che viene controllata rispetto alle policy aziendali e sincronizzata con le directory e le applicazioni collegate, a partire da Active Directory. Se l’account era bloccato, viene sbloccato.
È qui che un sistema di self service password reset ben progettato mostra il suo valore: riduce i ticket, rende gli utenti autonomi a qualunque ora e, soprattutto, sottrae agli attaccanti una delle leve più sfruttate dell’ingegneria sociale, cioè la buona fede di un operatore al telefono.
Le garanzie di sicurezza
Un reset autonomo è sicuro quanto il suo anello più debole. Per questo alcune scelte fanno la differenza.
Meglio evitare di affidarsi soltanto all’SMS, esposto agli attacchi di SIM swap, e alle classiche domande di sicurezza: la NIST le sconsiglia esplicitamente, perché le risposte sono spesso reperibili sui social o facili da indovinare. Preferibili le app di autenticazione con notifiche push e conferma numerica, le chiavi FIDO2 o le passkey.
Servono poi limiti ai tentativi, blocchi temporanei dopo errori ripetuti e una notifica all’utente a ogni reset, così che un’operazione non riconosciuta venga segnalata subito. Ogni evento va registrato in un log consultabile, meglio ancora se inoltrato al sistema di monitoraggio della sicurezza.
Gli account privilegiati meritano un percorso dedicato, con verifiche più stringenti o l’esclusione dal self service. E l’help desk, quando resta l’ultima risorsa, deve seguire una procedura di verifica dell’identità robusta, per esempio con videochiamata e conferma da parte del responsabile.
Far funzionare il progetto
La tecnologia, da sola, non basta. Il successo dipende dal tasso di registrazione dei metodi di verifica, che conviene rendere obbligatoria al primo accesso, e da una comunicazione chiara: spiegare ai colleghi dove si trova il servizio e perché il supporto non reimposterà più le password al telefono. Misurare il calo dei ticket nei mesi successivi aiuta a dimostrare il ritorno dell’investimento.
