Hvordan fungerer opkaldsgodkendelse helt præcist?

Formålet med autentificering af opkaldere er at besvare ét enkelt spørgsmål: Er den, der ringer, den, vedkommende giver sig ud for at være?

Men måden, hvorpå man gør det, har ændret sig en hel del gennem årene.

Lad os se på nogle traditionelle metoder og derefter diskutere, hvordan eID-baseret opkaldsgodkendelse fungerer i dag.

Traditionelle metoder til autentificering af opkaldere

Historisk set har virksomhederne benyttet sig af flere forskellige metoder til at verificere opkaldere:

1. Sikkerhedsspørgsmål: "I hvilken by er du født?" Disse er nemme at huske, men også nemme at gætte. (I nogle tilfælde kan svindlere klare disse kontroller i over 90 % af tilfældene.)
2. PIN-koder eller adgangskoder: Indtast din forudindstillede kode via tastaturet. Denne fremgangsmåde er sårbar over for phishing og social engineering.
3. Nationale ID-numre: »De sidste fire cifre i dit CPR-nummer?« Problemet her er, at kendskab til sådanne oplysninger ikke rigtig beviser, at du er den pågældende person. Nationale ID-numre afsløres let i hverdagssamtaler eller lækkes i store datalækager.
4. Engangskoder (OTP’er): Engangskoder, der sendes til brugerens telefonnummer eller e-mail. Selvom de er bedre end faste adgangskoder, er de stadig ikke immune over for SIM-swap og phishing-angreb.
5. Sammenligning af opkalds-ID via automatisk nummeridentifikation (ANI): »Findes opkalderens nummer i vores system?« Dette gør ikke meget for at forhindre opkald fra stjålne telefoner eller nummerforfalskning.
6. Stemme-biometri: Denne metode forsøger automatisk at identificere og matche den opkaldendes stemme med en eksisterende kunde. Desværre gør moderne AI-stemmekloning denne metode langt mindre pålidelig, end den plejede at være.

Hver af disse klassiske metoder har sine egne fordele og ulemper. Nogle er nemme at implementere, men mindre sikre. Andre tilbyder bedre sikkerhed, men skaber ekstra besvær.

Men der findes en bedre løsning.

Fremkomsten af eID-baseret autentificering af opkaldere

I stigende grad går virksomheder over til eID-drevet opkaldsgodkendelse.

I stedet for at stille foruddefinerede spørgsmål eller rode med koder giver dette brugerne mulighed for at bevise deres identitet med den samme nationale eID-app, som de allerede bruger. Desuden foregår hele processen på deres egen enhed, adskilt fra selve opkaldet.

Derfor er brug af eID til opkaldsgodkendelse både mere sikker og mere brugervenlig end traditionelle metoder.

Under et opkald kan denne type autentificering udløses på to primære måder:

1. Af telefonsystemet, enten automatisk for eksisterende kunder eller efter at den, der ringer, har angivet en identifikator via IVR-menuen (interaktivt stemmesvar). Dette kan endda ske, mens den, der ringer, står i kø.
2. Af callcentermedarbejderen som en del af samtalen med den, der ringer. Dette giver medarbejderne en vis frihed til at afgøre, om og hvornår CIBA-forløbet skal igangsættes.

I begge tilfælde er resten af forløbet stort set identisk, når det først er sat i gang.

Lad os nu se på, hvad der rent faktisk sker på det tidspunkt.

Tredjepartsprocessen

Hvert autentificeringsforløb for opkaldere, der er baseret på eID'er, involverer tre parter:

1. Medarbejderen: Callcentermedarbejderen (eller systemet), der udløser autentificeringsanmodningen.
2. Opkaldstageren: Den person, der skal autentificere sig ved hjælp af sin eID.
3. Autorisationsserveren: Den "mellemmand", der håndterer selve verifikationen.

Her er, hvad hver part gør og ser fra sin side.

Hvad oplever medarbejderen?

Set fra agentens perspektiv er det hele ret ligetil.

Det eneste, de egentlig skal gøre, er at indtaste den opkaldendes identifikator for at starte CIBA-forløbet. Derefter skal de bare... vente.

Når den, der ringer, er blevet godkendt, ser agenten status "Verificeret" på skærmen.

Det er det.

Medarbejderen kan blot fortsætte med at hjælpe den nu verificerede kunde.

Hvad oplever den, der ringer?

Fra den opkaldendes side er processen lidt mere omfattende, men ikke så meget anderledes end den måde, de ville bruge deres eID på i enhver anden situation.

Først vil vedkommende, afhængigt af eID'en, se en push-besked på sin telefon med en anmodning om at starte godkendelsesprocessen.

Som en del af dette trin kan vedkommende også blive bedt om at bekræfte, om vedkommende rent faktisk har ringet til virksomheden. Dette hjælper med at forhindre indgående svindel og giver den, der ringer, mulighed for at afbryde forløbet, hvis det er nødvendigt.

Hvis den, der ringer, accepterer anmodningen, er resten en velkendt proces: Den, der ringer, bruger sin nationale eID-app til at bekræfte sin identitet som normalt.

Derefter kan vedkommende tale med callcentermedarbejderen, efter at have bekræftet sin identitet.

Hvad sker der bag kulisserne?

Kort sagt: En hel masse.

Autorisationsserveren håndterer hovedparten af processen og videresender anmodninger og meddelelser mellem de to andre parter.

Forløbet ser nogenlunde sådan ud:

1. Når medarbejderen sætter processen i gang fra sin side, modtager autorisationsserveren en autentificeringsanmodning med blandt andet opkalders identifikator.
2. Serveren svarer med en unik "autorisationsanmodnings-identifikator" som bekræftelse og for at hjælpe med at spore anmodningen.
3. Serveren videresender anmodningen til den, der ringer, og beder vedkommende om at autentificere sig.
4. Når den, der ringer, har godkendt sig, videresender serveren dette til agentens system i form af specielle tokens, der bekræfter den, der ringer, identitet.

For en mere teknisk gennemgang, se: En introduktion til klientinitieret backchannel-autentificering (CIBA)

Hvad skal du bruge for at komme i gang?

Hvis din virksomhed ønsker at implementere eID-baseret autentificering af den, der ringer, skal du have følgende:

• Kompatibel callcenterplatform: Dit eksisterende telefonsystem skal understøtte CIBA-processer.
• Kundeidentifikatorer: Du skal have en måde at matche den, der ringer, med en unik identifikator, der kan igangsætte processen.
• En eID-formidler: I mange lande kræver eID-verifikation en certificeret formidler som Idura til at håndtere den juridiske og tekniske implementering.

Opkaldsgodkendelse har udviklet sig meget siden de tidlige dage med sikkerhedsspørgsmål. Nationale eID'er tilbyder en fremtidssikret vej frem.

Og det skader bestemt ikke, at brugen af eID er næsten universel i de nordiske lande. De værktøjer, du har brug for, findes allerede i dine kunders lommer.