La ingeniería social es una táctica donde los atacantes manipulan a las personas para que entreguen acceso o información sensible. Puede aparecer en escenarios de soporte al cliente como alguien que finge ser un usuario legítimo que está bloqueado de su cuenta.
Incluso con buenas prácticas de autenticación, es difícil prevenir completamente estos casos, por lo que es importante entrenar a tu equipo y configurar tu espacio de trabajo de forma defensiva.
Esta guía explica cómo puedes usar las funciones de Intercom para reducir tu exposición y ayudar a tu equipo a responder eficazmente cuando una conversación pueda ser sospechosa.
1️⃣ Asegura tu Messenger
Si usas Intercom para users autenticados, siempre debes autenticar a tus users con un JSON Web Token (JWT). Esto asegura que el Messenger solo se active para sesiones reales y autenticadas de tus users. Cualquier intento de suplantar identidad (por ejemplo, iniciar una conversación como otro user) fallará si el JWT no es válido. Para más información, consulta: Authenticating users in the Messenger with JSON web tokens (JWTs)
Verifica si tu Messenger está en un estado seguro en la configuración de seguridad de tu Messenger
Ten en cuenta que esto solo funciona para users, con user_ids, sigue leyendo para saber cómo proteger a tu equipo contra conversaciones sospechosas de leads.
Diferenciando entre Leads y Users
Al ver conversaciones en el Inbox:
Leads son personas que inician conversaciones mientras están desconectadas. A menudo aparecen con información mínima o sin información identificativa.
Users son aquellos que están conectados y autenticados, o que se autentican durante la conversación.
Leads y users se identifican en el panel lateral dentro del Inbox. Es útil notar cómo se identifican. Aquí hay un lead que ha iniciado una conversación en el Messenger sin ingresar una dirección de correo electrónico:
Aquí está el mismo lead después de ingresar una dirección de correo electrónico en el Messenger.
ℹ️ Intercom no verifica que los leads sean propietarios de las direcciones de correo electrónico proporcionadas en el Messenger.
Si el user está conectado, en su lugar aparecerá como un user.
Si un user inicia sesión en el mismo navegador después de comenzar una conversación como lead, como se muestra en la captura de pantalla, será actualizado a user.
Para más información sobre la diferencia entre leads y users, consulta: How do visitors, leads and users work in Intercom?
Para aprender más sobre la fusión de user y lead, consulta: Merge lead and user profiles
Configura automatizaciones para recopilar información identificativa
Las automatizaciones y Workflows son formas muy poderosas de configurar Intercom para adaptarse a tus procesos. Dependiendo del lead, user o contenido del mensaje, puedes tomar acciones específicas.
Usando Automatizaciones Simples, puedes configurar Intercom para:
Pedir a los leads que proporcionen su dirección de correo electrónico antes de comenzar a chatear
Solicitar contexto adicional como nombre, empresa o ID de cuenta
Asignar esos chats a inboxes o equipos específicos para revisión adicional
Construye workflows personalizados para escenarios de riesgo
Puedes crear workflows que respondan de manera diferente dependiendo de quién inicia la conversación
🟡 ¿Es alguien que solo está navegando? Haz preguntas ligeras o dirige a contenido de autoservicio.
🔁 ¿Es un user real que olvidó iniciar sesión? Solicita el inicio de sesión y verifica el correo electrónico.
🚨 ¿Es un user real que está bloqueado de su cuenta?: Dirige a un flujo seguro con verificación de datos, notas para compañeros y expectativas claras de tiempo de respuesta.
Puedes configurar Fin para:
Pedir a los leads que inicien sesión antes de continuar
Ofrecer opciones de recuperación de cuenta (por ejemplo, botón “Estoy bloqueado”)
Escalar a un humano si es necesario — y etiquetar la conversación claramente para que tu compañero sepa que debe tener precaución
Aquí hay un ejemplo de configuración de workflow para Leads. En este caso, estamos tratando de cubrir los 3 escenarios anteriores:
Tener inboxes y vistas separadas
Para mayor protección, también podrías separar las conversaciones con leads no autenticados a un inbox diferente para que quede claro que todo en ese inbox merece vigilancia extra.
Puedes lograr esto con Team Inboxes. Consulta más en Organise team inboxes
Mantente vigilante contra la ingeniería social
Incluso con las mejores automatizaciones, los agentes humanos juegan un papel clave.
Prepara a tu equipo para:
Entrenarlos para que siempre verifiquen los detalles del user antes de hacer cambios en la cuenta
Animarlos a verificar registros de users coincidentes, direcciones de correo electrónico e historial de inicio de sesión
Agregar notas internas y etiquetas para comunicar sospechas internamente
Preguntas frecuentes
¿Cómo puedo verificar que los leads son propietarios de las direcciones de correo electrónico que ingresan en el Messenger?
Actualmente no tenemos una función para verificar las direcciones de correo electrónico ingresadas en el Messenger. Si deseas esta función, por favor envía una solicitud a nuestro equipo de soporte. Mientras tanto, recomendamos configurar workflows para impulsar a los leads a registrarse, iniciar sesión o tratar las conversaciones con más precaución.
Dicho esto, podrías potencialmente usar un conector de datos para verificar direcciones si esta funcionalidad la tienes en otro lugar.