MFA não é infalível: um funcionário pode aprovar o próprio ataque sem perceber
Entenda como notificações repetidas, páginas falsas, códigos capturados e sessões roubadas podem permitir acessos indevidos mesmo quando a autenticação multifator está ativada.
Ativar autenticação multifator é uma das medidas mais importantes para proteger contas corporativas.
Mesmo que uma senha seja descoberta, o invasor ainda precisa superar uma segunda etapa de verificação antes de conseguir entrar.
O problema é que nem todos os métodos de MFA oferecem o mesmo nível de proteção.
Em alguns ataques, o criminoso já possui a senha e começa a gerar repetidas solicitações de autenticação no celular do funcionário.
A pessoa recebe várias notificações de aprovação e pode acreditar que existe algum erro no sistema, que alguém da equipe está tentando acessar a conta ou simplesmente aprovar uma solicitação para fazer os alertas pararem.
Nesse momento, o segundo fator deixa de bloquear o ataque e passa a depender de uma decisão humana.
Também existem páginas falsas capazes de solicitar senha e código de autenticação em tempo real, além de ataques voltados ao roubo de sessões já autenticadas.
Por isso, implementar MFA é apenas o começo.
A empresa também precisa escolher métodos mais resistentes, monitorar autenticações suspeitas e ensinar os usuários a nunca aprovar solicitações que não iniciaram.
Neste artigo, você vai entender:
- ✓O que é fadiga de MFA
- ✓Por que uma aprovação no celular pode liberar um invasor
- ✓Como páginas falsas podem capturar códigos temporários
- ✓Por que alguns métodos de MFA são mais fortes que outros
- ✓Como tornar a autenticação da empresa mais resistente a phishing
Os riscos que continuam existindo mesmo com MFA ativado
Fadiga de MFA
O usuário recebe várias solicitações de aprovação até aceitar uma delas por engano, confusão ou cansaço.
Aprovações sem contexto
Algumas notificações mostram apenas os botões de aceitar ou negar, sem informações suficientes sobre a tentativa de acesso.
Phishing em tempo real
Páginas falsas podem solicitar senha e código de autenticação enquanto o invasor tenta utilizar essas informações imediatamente.
Códigos digitáveis
Métodos baseados em códigos podem ser repassados voluntariamente pelo usuário a uma página ou pessoa falsa.
SMS interceptado
Mensagens podem estar expostas a riscos relacionados ao número telefônico, redirecionamentos ou comprometimento do dispositivo.
Roubo de sessão
Um invasor pode tentar utilizar uma sessão já autenticada sem necessariamente repetir todo o processo de login.
Dispositivos não confiáveis
Uma autenticação legítima realizada em um equipamento comprometido ainda pode colocar informações corporativas em risco.
Aprovações por hábito
Usuários acostumados a receber muitas notificações podem passar a confirmá-las automaticamente.
Engenharia social
O criminoso pode se passar por suporte técnico e pedir que a vítima aprove uma solicitação de login.
MFA aplicado somente a algumas contas
Sistemas antigos, contas administrativas ou aplicações externas podem continuar protegidos apenas por senha.
Recuperação de conta fraca
Um processo de redefinição inseguro pode permitir que o invasor contorne a autenticação configurada.
Excesso de confiança
A empresa pode acreditar que a simples presença de MFA elimina a necessidade de monitorar acessos e comportamentos suspeitos.
O MFA adiciona uma barreira importante. Mas uma barreira que pode ser aprovada pelo usuário ainda precisa ser protegida contra manipulação.
Como tornar a autenticação mais resistente a ataques
A proteção mais eficiente combina autenticação forte, contexto de acesso, monitoramento e treinamento. Sempre que possível, a empresa deve evoluir de métodos que dependem de códigos ou aprovações simples para tecnologias resistentes a phishing.
Utilizar MFA resistente a phishing
Priorize métodos baseados em padrões como FIDO2 e WebAuthn quando os sistemas utilizados oferecerem suporte.
Adotar passkeys
Passkeys podem reduzir a dependência de senhas e dificultar que credenciais sejam entregues a páginas falsas.
Ativar correspondência de números
Quando notificações push forem utilizadas, peça ao usuário para confirmar um número exibido durante o processo de login.
Mostrar informações da tentativa
Sempre que possível, apresente aplicativo, localização, dispositivo e contexto antes da aprovação.
Bloquear aprovações inesperadas
Oriente colaboradores a negar qualquer solicitação de autenticação que não tenha sido iniciada por eles.
Criar um canal de denúncia
O usuário deve saber exatamente como avisar a equipe responsável quando receber uma solicitação suspeita.
Monitorar repetidas negativas
Muitas solicitações ou rejeições em pouco tempo podem indicar tentativa de comprometimento.
Aplicar políticas de acesso condicional
Avalie localização, dispositivo, risco, aplicação e comportamento antes de liberar determinados acessos.
Exigir dispositivos confiáveis
Sistemas sensíveis podem restringir autenticações a equipamentos gerenciados ou aprovados pela empresa.
Proteger contas administrativas
Usuários privilegiados devem utilizar métodos de autenticação mais fortes e políticas de acesso mais restritivas.
Reduzir métodos fracos
Sempre que houver alternativa mais segura, evite depender exclusivamente de SMS ou códigos facilmente transferíveis.
Controlar duração das sessões
Sessões não devem permanecer válidas indefinidamente, especialmente em ambientes sensíveis.
Reautenticar operações críticas
Alterações financeiras, administrativas ou de segurança podem exigir nova confirmação da identidade.
Revisar métodos cadastrados
Telefones, dispositivos, chaves e aplicativos de autenticação associados às contas devem ser conferidos periodicamente.
Proteger a recuperação de contas
Redefinições de senha e trocas de métodos de MFA precisam confirmar a identidade do usuário de maneira segura.
Treinar com situações reais
Explique aos colaboradores como reconhecer solicitações inesperadas, páginas falsas e pedidos de aprovação feitos por supostos técnicos.
Verifique quais métodos de MFA sua empresa utiliza atualmente. Identifique quais contas ainda dependem de SMS, códigos digitáveis ou notificações simples de “aprovar” e “negar”.
O que muda quando o MFA é tratado como parte de uma estratégia
Antes
- ✓Qualquer solicitação no celular pode ser aprovada
- ✓Usuários recebem notificações sem contexto
- ✓Códigos podem ser entregues em páginas falsas
- ✓Todos os métodos de MFA são tratados como equivalentes
- ✓Tentativas repetidas passam despercebidas
- ✓A empresa confia apenas na presença do segundo fator
Depois
- ✓Aprovações exigem contexto adicional
- ✓Métodos resistentes a phishing são priorizados
- ✓Solicitações anormais podem gerar alertas
- ✓Dispositivos e locais de acesso são considerados
- ✓Contas privilegiadas recebem proteção reforçada
- ✓A autenticação passa a fazer parte de uma política contínua de segurança
MFA funciona melhor quando o usuário não precisa decidir sozinho se uma tentativa de login é verdadeira.
Perguntas frequentes
MFA ainda vale a pena?
Sim. A autenticação multifator reduz significativamente o risco de comprometimento quando comparada ao uso exclusivo de senha. O importante é escolher métodos adequados e configurá-los corretamente.
O que é fadiga de MFA?
É uma técnica em que várias solicitações de autenticação são enviadas ao usuário na tentativa de fazê-lo aprovar uma delas.
Se eu receber uma solicitação de MFA sem tentar entrar, o que devo fazer?
Negue a solicitação e comunique imediatamente a equipe responsável pela segurança ou TI.
Correspondência de números resolve completamente o problema?
Ela reduz o risco de aprovações acidentais e ataques de repetição de notificações, mas não substitui métodos resistentes a phishing.
Código de aplicativo autenticador é seguro?
É geralmente mais seguro do que utilizar apenas senha, mas códigos digitados manualmente ainda podem ser capturados em determinados ataques de phishing.
SMS pode ser utilizado como MFA?
Pode oferecer uma camada adicional de proteção, mas existem métodos mais resistentes que devem ser priorizados quando disponíveis.
O que é MFA resistente a phishing?
É um método de autenticação desenvolvido para impedir que o usuário entregue uma credencial válida a um site falso. Tecnologias baseadas em FIDO2 e WebAuthn são exemplos.
Uma passkey é MFA?
Dependendo da implementação e do mecanismo utilizado para desbloqueá-la, uma passkey pode oferecer autenticação forte e resistente a phishing sem depender de uma senha tradicional.
O invasor pode entrar mesmo sem saber meu código de MFA?
Em determinados cenários, ataques podem tentar explorar aprovações indevidas, sessões autenticadas ou processos fracos de recuperação de conta.
Contas administrativas precisam de um MFA diferente?
Devem receber os métodos mais fortes disponíveis, além de políticas adicionais de acesso e monitoramento.
Por onde começar?
Priorize e-mails corporativos, VPNs, contas administrativas, sistemas financeiros, armazenamento em nuvem e aplicações que possuam dados sensíveis.
Conclusão
A autenticação multifator mudou significativamente a segurança das contas corporativas.
Uma senha vazada deixou de ser suficiente em muitos ambientes porque o atacante ainda precisa superar uma segunda etapa de autenticação.
Mas os criminosos também adaptaram suas técnicas.
Em vez de tentar quebrar o segundo fator diretamente, muitos ataques procuram convencer o próprio usuário a aprovar o acesso ou capturar informações durante um processo aparentemente legítimo de autenticação.
Por isso, a pergunta deixou de ser apenas “a empresa possui MFA?”.
Também é necessário perguntar qual método está sendo utilizado, como as solicitações são apresentadas, quais acessos são monitorados e o que acontece quando uma autenticação apresenta comportamento anormal.
Quanto menos a segurança depender de o usuário perceber sozinho que está diante de uma fraude, maior será a resistência do ambiente.
MFA não deve ser apenas uma etapa adicional no login. Deve ser uma barreira projetada para continuar funcionando mesmo quando alguém tenta enganar o usuário.
Seu MFA realmente impediria um acesso indevido ou bastaria alguém clicar em “aprovar”?
Revise os métodos de autenticação utilizados pela sua empresa, fortaleça contas críticas e substitua aprovações frágeis por mecanismos capazes de resistir a phishing e engenharia social.
Referências técnicas
- NIST Digital Identity Guidelines – Authentication and Authenticator Management SP 800-63B-4
- CISA – Require Multifactor Authentication
- CISA – Implementing Number Matching in MFA Applications
- Microsoft Entra ID – Protecting Authentication Methods
- NCSC – Multi-factor Authentication for Corporate Online Services
