¿Cómo verifico a un usuario por teléfono?

Confiar en la información de conocimiento público es problemático. Es poco probable que el almacenamiento de preguntas y respuestas de seguridad personal se escale bien si muchos otros adoptan el mismo enfoque.

Si desea autenticar a alguien que está usando su servicio , hágales preguntas sobre su asociación con usted. Los ejemplos incluyen:

1. Proporcione a todos los usuarios un número de cuenta, número de transacción para el problema, etc.
2. Pregunte sobre transacciones / pedidos pasados (y asegúrese de que esto sea algo a lo que puedan acceder fácilmente)

Volver a llamarlos a un número de teléfono dado también es un enfoque útil y agrega defensa en profundidad. Sin embargo, debe pensar en la autenticación mutua: ¿cómo puede asegurarse de que el usuario confíe en la llamada? Si se hace correctamente, esto puede aumentar aún más la seguridad de su sistema.

Asegúrese de utilizar algún tipo de limitación de velocidad y realice un seguimiento de los intentos de autenticación. Asegúrese de que estos intentos se comuniquen al usuario "fuera de banda".

La premisa de la identificación sin que se basen físicamente en la capacidad de verificar información que el público no podría conocer fácilmente. Por lo general, tienen que verificar información como los últimos cuatro números del seguro social en los EE. UU., En algunos casos, los empleados reciben una identificación de empleado y una frase de contraseña que se asigna al azar a ese nombre de usuario específicamente para esta circunstancia. Además, a veces se les pide que identifiquen cosas como números de cuenta, direcciones en el archivo, etc.