O que é a autenticação multifatorial? Como funciona a MFA e em que casos ela falha

A autenticação multifatorial (MFA) é um método de login que exige pelo menos dois tipos diferentes de comprovação antes de permitir o acesso: algo que você sabe, como uma senha; algo que você possui, como seu celular; ou algo que define quem você é, como sua impressão digital. Assim, uma senha roubada por si só não é mais suficiente para invadir uma conta. Isso torna a MFA uma das medidas de segurança mais eficazes que uma organização pode adotar.

Mas a autenticação multifatorial (MFA) não é um campo de força. Os invasores aprenderam a bombardear os funcionários com solicitações de login até que alguém clique em “aprovar”, a roubar cookies de sessão por meio de páginas de login falsas e a convencer as equipes de suporte técnico a redefinir um número de telefone. Este artigo explica como a MFA funciona, quais formas são seguras e quais são vulneráveis, como os invasores conseguem contorná-la e quais são as expectativas dos órgãos reguladores no Reino Unido, na União Europeia e nos Estados Unidos.

Como funciona a autenticação multifatorial

Cada fator de login pertence a uma das três categorias. A autenticação multifatorial (MFA) só é considerada multifatorial quando os fatores pertencem a categorias diferentes; duas senhas ainda constituem um único fator.

• Algo que você sabe. Uma senha, um PIN ou a resposta a uma pergunta de segurança.
• Algo que você possui. Um celular com um aplicativo autenticador, uma chave de segurança de hardware ou um cartão inteligente.
• Algo que é característico de você. Uma impressão digital, um reconhecimento facial ou outra característica biométrica, geralmente verificada no seu próprio dispositivo.

A autenticação de dois fatores (2FA) é simplesmente a MFA com exatamente dois fatores e, na prática, os termos são usados de forma intercambiável. O que importa mais do que o número de fatores é o grau de resistência de cada um deles ao phishing e à manipulação.

Formas de MFA, da mais fraca à mais forte

1. Códigos por SMS e voz. São melhores do que apenas uma senha, mas vulneráveis à troca de SIM, em que um criminoso convence uma operadora de celular a transferir seu número para o cartão SIM dele.
2. Códigos por e-mail. São tão seguros quanto a caixa de correio, que muitas vezes é protegida pela mesma senha que o invasor já possui.
3. Códigos do aplicativo autenticador. Um código de seis dígitos que muda a cada 30 segundos. Muito mais seguro do que o SMS, mas um funcionário ainda pode digitá-lo em uma página de login falsa.
4. Notificações push com verificação de número. O aplicativo solicita que você confirme o login e digite o número exibido na tela. Isso impede aprovações automáticas, embora um invasor determinado ainda possa tentar orientar alguém a fazer isso.
5. Chaves de acesso e chaves de segurança. Baseadas no padrão FIDO2, elas só funcionam no site original, de modo que uma página de phishing não consegue nada. É isso que as agências de segurança chamam de MFA resistente a phishing.

Como os invasores contornam a autenticação multifatorial (MFA)

• Fadiga de MFA. Com uma senha roubada, o invasor gera uma solicitação de login atrás da outra, geralmente à noite, até que o funcionário aprove uma delas apenas para que as notificações parem.
• Phishing do tipo “adversário no meio”. Uma página de login falsa encaminha todas as informações para o site verdadeiro em tempo real, incluindo o código de autenticação multifatorial (MFA), e rouba o cookie de sessão que mantém a vítima conectada. Nossa visão geral dos tipos de ataques de phishing mostra o quanto essas páginas se tornaram convincentes.
• Troca de chip. O invasor assume o controle do número de telefone da vítima e recebe os códigos por SMS.
• Engenharia social no suporte técnico. Uma pessoa que liga se faz passar por um funcionário que “perdeu o celular” e pede ao suporte técnico de TI para registrar um novo aparelho. Isso funciona com uma frequência surpreendente, pois os profissionais do suporte técnico são treinados para ajudar.

O que essas técnicas têm em comum é que elas não burlam a tecnologia. Elas convencem a pessoa a permitir o acesso do invasor. É por isso que a autenticação multifatorial (MFA) e a conscientização andam de mãos dadas.

Fadiga do MFA: quando um funcionário aprova o invasor

A “fadiga de MFA”, também conhecida como “push bombing”, ganhou ampla notoriedade em 2022, quando um invasor conseguiu acessar a rede da Uber dessa forma. Após uma enxurrada de solicitações de autenticação push, o invasor entrou em contato com o funcionário pelo WhatsApp, fingindo ser do suporte de TI, e afirmou que as notificações cessariam assim que uma delas fosse aprovada. O funcionário aprovou a solicitação, e o invasor conseguiu acesso.

A defesa é, em parte, técnica e, em parte, humana. A verificação de números e os limites para solicitações repetidas dificultam o ataque. Igualmente importante é uma regra simples que todo funcionário sabe de cor: nunca aprove um login que você mesmo não tenha iniciado e comunique imediatamente quaisquer solicitações inesperadas de autenticação multifatorial (MFA), pois isso significa que alguém já está de posse da sua senha.

O que os órgãos reguladores esperam: MFA no Reino Unido, na União Europeia e nos EUA

• Reino Unido. O Cyber Essentials exige a autenticação multifatorial (MFA) para serviços em nuvem sempre que estiver disponível, e o NCSC a recomenda para todas as contas importantes.
• União Europeia. A NIS2 inclui explicitamente a autenticação multifatorial entre as medidas de segurança que as entidades essenciais e importantes devem considerar, e o GDPR exige medidas técnicas adequadas para proteger os dados pessoais.
• Estados Unidos. A CISA recomenda que as organizações adotem a autenticação multifatorial (MFA) resistente a ataques de phishing, e a Regra de Proteção da FTC exige a MFA para muitas instituições financeiras que lidam com dados de clientes.

A tendência é a mesma em todos os lugares: a autenticação multifatorial (MFA) está se tornando um padrão básico, e os órgãos reguladores perguntam cada vez mais não apenas se ela está ativada, mas também se ela resiste a tentativas de phishing e se os funcionários sabem como usá-la com segurança.

Como implementar a autenticação multifatorial (MFA) em cinco etapas

1. Comece pelas contas mais importantes. E-mail, acesso remoto, contas de administrador, sistemas financeiros e tudo o que possa ser acessado pela internet.
2. Escolha o método mais seguro que as pessoas realmente usarão. Aplicativos autenticadores com a correspondência de números como padrão, chaves de acesso ou chaves de segurança para administradores e funções de alto risco.
3. Reforce as medidas de segurança do suporte técnico. Defina como as pessoas devem comprovar sua identidade antes que um dispositivo seja reinicializado ou registrado novamente, e cumpra rigorosamente essa regra, inclusive no caso do CEO.
4. Explique o motivo e as regras. Os funcionários que compreendem o cansaço causado pela autenticação multifatorial (MFA) e as páginas falsas de login reconhecem um ataque quando o veem.
5. Monitore e mantenha o treinamento. Fique atento a solicitações de MFA repetidamente rejeitadas ou recusadas e mantenha as regras atualizadas por meio de treinamentos curtos e recorrentes.

A dica: desenvolva o lado humano do MFA com o Guardey

A Guardey garante que os funcionários saibam o que fazer quando a autenticação multifatorial (MFA) é colocada à prova. Toda semana, eles recebem um desafio de cerca de três minutos, no laptop ou no aplicativo móvel para iOS e Android, sobre temas como solicitações inesperadas de login, páginas falsas de login, golpes de suporte técnico e boas práticas de gerenciamento de senhas. A gamificação com tabelas de classificação e sequências de acertos mantém as pessoas envolvidas; simulações de phishing testam se elas conseguem identificar uma página de login falsa; e relatórios prontos para auditoria mostram seu progresso em relação às normas NIS2 e ISO 27001. Mais de 500 organizações, incluindo o Parlamento Europeu, já utilizam o Guardey. Veja como funciona nosso treinamento de conscientização em segurança.

Está trabalhando com um parceiro de TI? Não se limite a perguntar apenas sobre como ativar a autenticação multifatorial (MFA)

Muitas organizações têm suas contas do Microsoft 365, dispositivos e segurança gerenciados por um provedor de serviços gerenciados (MSP): uma empresa de TI que administra a infraestrutura de TI para outras empresas mediante uma taxa mensal. Para a maioria dos MSPs, a implantação da autenticação multifatorial (MFA) é uma tarefa rotineira. No entanto, os ataques que conseguem contornar a MFA têm como alvo as pessoas que a utilizam, e não a configuração. Se um MSP gerencia sua TI, pergunte como ele protege você contra a fadiga da MFA e páginas de login falsas. Para os MSPs, o treinamento é a segunda parte natural de um serviço de MFA.

Uma das formas pelas quais os MSPs podem oferecer o Guardey é por meio da e92plus, uma distribuidora de segurança cibernética cujo portfólio também abrange gerenciamento de identidade, acesso e senhas. Seus engenheiros internos dão suporte aos parceiros desde a demonstração até a implantação, de modo que a autenticação e a conscientização possam ser vendidas e fornecidas como um único serviço.

Perguntas frequentes sobre a autenticação multifatorial

A MFA é a mesma coisa que a 2FA?

Quase. A autenticação de dois fatores utiliza exatamente dois fatores, enquanto a autenticação multifatorial pode utilizar dois ou mais. No dia a dia, os termos têm o mesmo significado: uma segunda comprovação de identidade além da sua senha.

O MFA pode ser hackeado?

A própria autenticação multifatorial (MFA) raramente é violada, mas pode ser contornada. Os métodos mais comuns são a “fadiga da MFA”, páginas falsas de login que roubam cookies de sessão, a troca de SIM e o engodo ao serviço de suporte técnico. Métodos resistentes ao phishing, como as chaves de acesso, combinados com funcionários devidamente treinados, impedem a maioria desses ataques.

O que é a “fadiga da MFA”?

A “fadiga de MFA” é um ataque em que um criminoso, que já possui a senha de alguém, envia repetidas solicitações de login até que a vítima aprove uma delas por irritação ou confusão. A regra para evitar isso é simples: nunca aprove uma solicitação que você mesmo não tenha iniciado e denuncie o caso.

O que é a autenticação multifatorial (MFA) resistente a phishing?

A autenticação multifatorial (MFA) resistente a phishing utiliza passkeys ou chaves de segurança de hardware baseadas no padrão FIDO2. O login está criptograficamente vinculado ao site legítimo, de modo que uma página falsa não consegue capturar nenhuma informação útil. Órgãos de segurança, como a CISA e o NCSC, recomendam essa prática, especialmente para administradores.

A MFA continua sendo um dos melhores investimentos em segurança que uma organização pode fazer. Ela simplesmente funciona melhor quando as pessoas que clicam em “aprovar” sabem quando não devem fazê-lo.