Une seule demande d'assistance convaincante peut permettre de récupérer le compte d'un client. Comblez le déficit de recouvrement.

« J’ai perdu mon téléphone. Je n’ai plus accès à mes e-mails. Veuillez changer mon numéro pour que je puisse y accéder à nouveau. »

Un client légitime peut envoyer ce message. De même, une personne en possession de ses données personnelles divulguées peut le faire. Si votre procédure d'assistance permet à l'appelant de modifier le canal de récupération et de recevoir ensuite le code de réinitialisation, l'attaquant peut mener à bien toutes les étapes restantes.

Il s'agit d'un scénario illustratif, et non d'un rapport. Toden Incident client. Il soulève une question pratique : quelles preuves autorisent votre équipe à rendre le contrôle ?

Trouvez le moment où le soutien peut changer de propriétaire

Dressez la liste de toutes les actions que votre personnel peut effectuer pendant la récupération : supprimer un deuxième facteur d’authentification, remplacer un numéro de téléphone, modifier une adresse électronique, enregistrer un appareil ou approuver une réinitialisation de mot de passe.

Pour chaque action, consignez les preuves requises, le rôle du personnel habilité à l'approuver et le système qui applique la décision. Prévoyez une exception en cas d'urgence. Les attaquants n'ont pas besoin d'utiliser la procédure que vous avez documentée si un autre écran leur permet de la contourner.

Le nom, la date de naissance ou les détails des transactions récentes d'un client peuvent aider à retrouver son dossier. Toutefois, ces informations seules ne devraient pas autoriser une réinitialisation de données sensibles. Un récit convaincant ne constitue pas une preuve plus solide simplement parce que l'appelant semble en détresse.

Prouvez le lien avec le compte que vous connaissez déjà.

Une pièce d'identité valide présentée lors d'une demande de recouvrement ne suffit pas si elle appartient à une personne autre que le titulaire du compte. La décision de recouvrement doit établir un lien entre le demandeur et le dossier existant.

les directives du NIST sur la récupération de compte (s’ouvre dans un nouvel onglet) décrivent des méthodes telles que les codes de récupération, les contacts de récupération et la vérification d'identité répétée. Concernant cette vérification répétée, elles exigent une cohérence avec le compte précédemment créé. Elles imposent également l'envoi de notifications de récupération. Ces directives constituent des références utiles en matière de conception, et non une affirmation selon laquelle toutes les fintechs doivent suivre les mêmes règles de récupération obligatoires.

Lorsque vous utilisez un selfie en direct et une comparaison faciale, sélectionnez la référence fiable parmi les comptes existants sur votre serveur. Ne permettez pas au demandeur de télécharger à la fois le nouveau selfie et la référence originale supposée. Utilisez une autre méthode de vérification si la référence est inadéquate ou si le client ne peut pas finaliser le processus biométrique.

Lier la preuve à une réinitialisation

Définissez précisément ce que les preuves autorisent. Une vérification de récupération réussie pour un client ne doit pas constituer une autorisation réutilisable pour réinitialiser un autre compte ou modifier tous les paramètres de sécurité.

Votre système dorsal doit vérifier le résultat, l'associer au compte et à la requête concernés, respecter sa durée de vie autorisée et interdire toute réutilisation une fois l'action terminée. Un écran de confirmation côté client ou une capture d'écran envoyée au support ne constituent pas un enregistrement de la décision.

Conservez le nouveau numéro de téléphone ou l'adresse courriel séparément des justificatifs ayant servi à son approbation. Confirmer qu'une personne contrôle une boîte de réception nouvellement fournie indique où elle peut recevoir des messages, mais ne prouve pas qu'elle en est la propriétaire.

Fournir au personnel une voie d'exception sécurisée

Certains clients légitimes ne passeront pas le contrôle automatisé. Prévoyez une procédure qui demande des justificatifs supplémentaires pertinents et désigne un examinateur agréé.

Une politique illustrative pourrait permettre à un agent d'entamer une procédure de recouvrement tout en réservant les cas exceptionnels à haut risque à un second examinateur autorisé. Il convient de consigner le motif, les preuves et l'approbateur. Il est préférable d'adapter les restrictions au cas par cas plutôt que de récompenser la persévérance par une dérogation.

Formez les examinateurs aux limites qu'ils doivent respecter. « Le client est mécontent » justifie l'urgence, mais n'explique pas pourquoi la preuve d'identité est suffisante.

Vérifiez qui peut modifier la politique et qui peut approuver un cas. Sinon, une autorisation de récupération peut être contournée en modifiant la règle.

L'accès est distinct de l'autorisation de transférer de l'argent.

Une reprise réussie ne nécessite pas la restauration immédiate de toutes les actions sensibles. Votre police peut appliquer des conditions supplémentaires aux nouveaux bénéficiaires, aux changements de coordonnées ou aux retraits importants après une réinitialisation à risque.

Informez le client par les canaux de notification établis, lorsqu'ils sont disponibles et appropriés. Prévoyez un moyen clair de signaler toute modification non autorisée. Si la seule notification est envoyée au canal récemment remplacé par le demandeur, vous perdez une occasion unique de détecter un abus.

Mesurer le taux de récupération, le délai de rétablissement de l'accès, les exceptions, les échecs répétés, les réclamations et les prises de contrôle confirmées. Un processus bloquant indéfiniment des clients légitimes doit également être corrigé.

Où Toden convient

le parcours de récupération de compte de Toden combine la vérification de la présence du compte, la comparaison avec une photo vérifiée et une évaluation de l'activité du compte. Votre équipe peut configurer ce processus et utiliser le résultat pour prendre sa décision de récupération.

Votre application gère toujours la réinitialisation, les autorisations du personnel, les notifications et les restrictions de retrait. Une vérification faciale ne peut pas réparer un bouton de dérogation non restreint.

J'utilise déjà Toden Analysez un véritable parcours de récupération avec assistance et ingénierie. Intéressé(e) ? Commencez par un environnement de test (s’ouvre dans un nouvel onglet) et testez une récupération réelle, une personne non qualifiée, un résultat non concluant et une tentative de réutilisation avant la mise en production.