Il vero punto debole è il servizio desk, non i sistemi
Il varco non è la password in sé, ma la procedura che la reimposta. Se un attaccante riesce a convincere il service desk, ottiene gli stessi poteri usati dagli operatori per aprire account, cambiare MFA o avviare sessioni di supporto remoto, e passa dalla porta frontale senza toccare lo stack difensivo.
M&S, Co-op e Harrods hanno mostrato lo stesso schema con Scattered Spider: impersonare un dipendente e ottenere un reset da un service desk terzo. Carnival ha poi segnalato un accesso limitato al proprio ambiente IT, e l'FBI ha avvertito su Silent Ransom Group, che si è finto supporto IT per indurre utenti a entrare in sessioni remote legittime. Awareness, regole più rigide e arresti non hanno chiuso il canale: il controllo della fiducia resta più fragile del software protetto.
Per chi dipende da service desk interni o esterni, il rischio è strutturale: l'accesso può essere concesso da un processo legittimo che l'attaccante sa imitare, non da una vulnerabilità da patchare.