Hur fungerar Caller authentication egentligen?

Caller authentication ska besvara en enda fråga: Är personen i samtalet den de utger sig för att vara?

Men hur detta görs har förändrats en hel del genom åren.

Låt oss titta på några traditionella metoder och sedan gå igenom hur autentisering i samtal med e-legitimation fungerar idag.

Traditionella metoder för autentisering i samtal

Historiskt sett har företag förlitat sig på flera alternativ för att verifiera kunden:

1. Säkerhetsfrågor: "I vilken stad föddes du?" Dessa är enkla att komma ihåg men också enkla att gissa. (I vissa fall kan bedragare klara dessa kontroller i över 90 % av fallen).
2. PIN-koder eller lösenord: Ange en förvald kod via knappsatsen. Denna metod är sårbar för phishing och social manipulation.
3. Personnummer: "De fyra sista siffrorna i ditt personnummer?" Problemet är att sådan information inte bevisar att du är rätt person. Personnummer sprids lätt i vardagliga sammanhang eller via dataläckor.
4. Engångslösenord (OTP): Engångskoder som skickas till användarens telefon eller e-post. De är bättre än statiska lösenord men är fortfarande sårbara för SIM-kapning och phising.
5. Matchning av telefonnummer via automatisk nummeridentifiering (ANI): "Finns numret i vårt system?" Detta förhindrar inte samtal från stulna telefoner eller spoofade nummer.
6. Röstbiometri: Försök att identifiera och matcha kundens röst mot en befintlig kund. Tyvärr gör dagens AI-baserade röstkloning den här metoden mycket mindre tillförlitlig än den brukade vara.

Var och en av dessa klassiska metoder kommer med sina egna avvägningar. Vissa är enkla att implementera men mindre säkra. Andra erbjuder bättre säkerhet men skapar ytterligare friktion.

Men det finns ett bättre sätt.

Ökningen av autentisering med e-legitimation

Allt fler företag använder sig av autentisering med e-legitimation.

Istället för att ställa förutbestämda frågor eller hantera koder kan användarna styrka sin identitet med samma nationella e-legitimationsapp som de redan använder. Dessutom sker hela processen på deras egen enhet, separat från själva samtalet.

Detta gör e-legitimationer för autentisering av kunder är både säkrare och enklare att använda än traditionella metoder.

Under ett samtal kan den här typen av autentisering initieras på två sätt:

1. Av telefonsystemet, antingen automatiskt för befintliga kunder eller efter att kunden har identifierat sig via IVR-menyn (interaktiv röstsvar). Detta kan  ske medan kunden står i telefonkö.
2. Av handläggaren som är en del av samtalet. Det ger handläggaren en möjlighet att avgöra om och när de ska initiera CIBA-flödet.

I båda fallen ser resten av processen i stort sett likadan när den har initierats.

Låt oss nu titta på vad som faktiskt händer i nästa steg.

Tre parter i processen

Varje flöde för autentisering av kund med e-legitimationer involverar tre parter:

1. Handläggaren: Callcenteragenten eller systemet som initierar autentiseringsförfrågan.
2. Kunden som ringer: Personen som ska verifiera sig med e-legitimation.
3. Auktoriseringsservern: Mellanhanden som hanterar själva verifieringen.

Såhär ser det ut för respektive part. 

Vad upplever handläggaren?

Ur handläggarens perspektiv är processen ganska enkel.

Det enda som krävs är att ange kundens identifierare för att starta CIBA-flödet. Sedan är det bara att...vänta.

När kunden har verifierat visas en "Verifierad"-status på skärmen.

Och så är det klart.

Handläggaren kan gå vidare och hjälpa kunden.

Vad upplever kunden som ringer?

För kunden som ringer är processen något mer omfattande, men liknar hur e-legitimation används i andra sammanhang.

Först visas, beroende på e-legitimation, en pushnotis i telefonen som ber användaren att starta autentiseringen.

Som en del av detta steg kan de också bli ombedda att bekräfta om de faktiskt ringde företaget. Det minskar risken för bedrägerier och ger kunden en chans att avbryta flödet om det behövs.

Om kunden godkänner förfrågan är resten en välbekant process: kunden verifierar sig i sin nationella e-legitimationsapp.

Därefter kan de fortsätta samtalet med handläggaren, efter att identitet är bekräftad.

Vad händer bakom kulisserna?

Kort sagt: mycket.

Auktoriseringsservern hanterar större delen av processen och förmedlar förfrågningar och notifieringar mellan de andra parterna.

Flödet ser ut ungefär så här:

1. När handläggaren initierar processen skickas en autentiseringsbegäran till auktorisationsservern med bland annat kundens identifierare.
2. Servern svarar med en unik "identifierare för auktoriseringsbegäran" som används för att bekräfta och spåra ärendet.
3. Servern skickar vidare förfrågan till kundens enhet och ber användaren att verifiera sig.
4. När verifieringen är klar skickar serven resultatet till handläggarens system i form av särskilda tokens som bekräftar kundens identitet.

För en mer teknisk genomgång, se: En introduktion till CIBA (Client Initiated Backchannel Authentication)

Vad krävs för att komma igång?

Om ditt företag vill införa autentisering med e-legitimation av kunden behövs några saker:

• En kompatibel callcenterplattform: Ditt befintliga telefonsystem bör stödja CIBA-flöden.
• Identifierare för kunder: Du behöver kunna koppla kunden till en unik identifierare som kan initiera processen.
• En e-legitimationsleverantör: I många länder krävs en certifierad aktör som Idura för att hantera den juridiska och tekniska implementationen.

Autentisering av kunden har utvecklats mycket sedan tiden med säkerhetsfrågor. Nationella e-legitimationer erbjuder ett hållbart sätt framåt.

Och det skadar verkligen inte att användningen av e-legitimationer är nästan universell i Norden. De verktyg du behöver finns redan i dina kunders fickor.