Identyfikacja rozmówcy, czyli jak agent głosowy sprawdza, z kim naprawdę rozmawia

Dlaczego rozpoznanie po głosie i imieniu to za mało

Człowiek w recepcji też się myli, ale ma coś, czego agentowi brakuje: zna twarze i pamięta historię rozmów sprzed tygodnia. Agent głosowy AI słyszy tylko głos i to, co ktoś akurat powie, więc bez jasnej procedury uwierzy na słowo.

Ktoś, kto mówi „dzień dobry, tu pan Kowalski, dzwonię w sprawie mojej polisy”, może naprawdę być panem Kowalskim. Może też być kimś, kto zna tylko jego imię i nazwisko, na przykład od wspólnego znajomego albo z podsłuchanej rozmowy. Agent, który po tych słowach odczytuje szczegóły polisy, niczego nie zweryfikował.

Identyfikacja to więc bramka: dopiero za nią agent odpowiada na dalsze pytania.

Numer telefonu to wskazówka, nie dowód

Numer, z którego dzwoni klient, wygląda jak naturalny punkt startu. System widzi go od razu i dopasowuje do kartoteki, zanim ktokolwiek się przedstawi. Kłopot w tym, że numer da się podrobić, czyli podszyć się pod cudzy numer, a odbierający połączenie nie ma jak tego zauważyć. Numer bywa też po prostu wspólny: rodzina dzwoni z telefonu babci, a firma z centrali, przez którą przechodzi kilku pracowników. Zdarza się też, że numer jest zastrzeżony i nie ma z czym dopasowywać. Dopasowanie po numerze mówi więc tylko „prawdopodobnie ten klient”.

Pytania kontrolne, które nie zdradzają odpowiedzi same z siebie

Dobre pytanie kontrolne różni się od złego jedną rzeczą: nie podpowiada odpowiedzi. „Czy Pana polisa kończy się w marcu?” zdradza miesiąc każdemu, kto akurat zadzwoni. „Proszę podać miesiąc, w którym kończy się Pana polisa” niczego nie podpowiada.

W warsztacie do informacji, że auto jest gotowe, wystarczy numer rejestracyjny. Przy zmianie zlecenia lepszy jest numer z karty naprawy albo data ostatniej wizyty, bo markę i numer rejestracyjny widać z parkingu przed budynkiem. W przychodni, przy sprawach wrażliwszych niż zmiana godziny, lepiej sprawdza się PESEL zestawiony z datą najbliższej wizyty niż samo imię i nazwisko, które słyszy każdy w poczekalni. Gdy klient zmienia swoje dane, pytania kontrolne stają się częścią osobnego scenariusza, czyli weryfikacji danych.

Kod jednorazowy i oddzwonienie na numer z umowy

Przy zmianach, które bolą, gdy trafią w niewłaściwe ręce, same pytania kontrolne to za mało. Dwie metody dają więcej pewności.

Pierwsza to kod jednorazowy z SMS-a, wysłany na numer zapisany w systemie, ale tylko wtedy, gdy to klient zadzwonił pierwszy. Jeśli agent sam dzwoni do klienta, kod traci sens, bo klient nie ma jak sprawdzić, że dzwoni właściwa firma, a nie ktoś, kto się pod nią podszywa.

Druga to oddzwonienie na numer z umowy, nie na ten, z którego akurat ktoś dzwoni. Wolniejsze, ale trudniejsze do obejścia. Dobrze sprawdza się tam, gdzie sprawa może poczekać kilka minut, na przykład przy zmianie rachunku do zwrotu.

Czego agent nigdy nie pyta, i dlaczego to chroni przed oszustami

PIN-u, hasła do bankowości, pełnego numeru karty i kodu BLIK agent nie pyta nigdy, w żadnej sprawie, obojętnie jak bardzo klient się śpieszy. Te dane nie są mu do niczego potrzebne, bo płatności idą przez link albo przy odbiorze.

Ta zasada chroni też markę. Klient, który wie, że twój agent nigdy nie zapyta o kod z SMS-a od banku, od razu rozpozna oszusta podszywającego się pod twoją firmę i pytającego o taki kod. Firma, która czasem robi wyjątek „bo to pilne”, uczy klientów, że wyjątki się zdarzają, a na tym żerują oszuści.

Zasada dotyczy też danych, które nie są tajne, ale nie są do niczego potrzebne. Jeśli do zmiany terminu wizyty wystarczy imię i telefon, agent nie pyta o PESEL tylko dlatego, że pole w formularzu jest wolne. Jak wyglądają próby wyłudzenia takich danych i jak je przetestować, pokazuje osobna strona: ataki na agenta.

Kiedy ktoś podszywa się pod twoją firmę

Podszycie działa też w drugą stronę: ktoś podaje się za twoją firmę i dzwoni do klientów, żeby wyłudzić dane albo pieniądze, czasem z podrobionym numerem, czasem nawet z podrobionym głosem znanej osoby z firmy.

Głos też nie jest dowodem tożsamości. Krótkie nagranie z internetu, choćby z filmiku w mediach społecznościowych, czasem wystarcza do stworzenia podobizny czyjegoś głosu, a taka podobizna to deepfake głosowy.

Kto to rozumie, nie opiera żadnej ważnej decyzji wyłącznie na tym, że „to na pewno on, poznaję głos”.

Pomaga jedna zasada: ani agent, ani pracownicy nie proszą przez telefon o hasła, PIN-y, dane karty ani kody BLIK, a kod z SMS-a tylko wtedy, gdy klient sam zadzwonił do firmy. Kto dzwoni pierwszy i prosi o kod, ten nie jest z twojej firmy.

Dopasuj metodę weryfikacji do tego, co jest na szali

Nie każda rozmowa zasługuje na ten sam poziom podejrzliwości. Zmiana godziny wizyty u fryzjera i zmiana numeru konta do wypłaty odszkodowania to dwie różne skale ryzyka, więc mogą mieć różne procedury.

Ustalenie tej skali to robota na jedno spotkanie z osobą, która zna twoje procesy, nie na domysł programisty stawiającego agenta. Podobne progi ustala się przy przekazywaniu rozmowy człowiekowi, tylko dla innej decyzji.