O que é a autenticação multifator? Como funciona a MFA e em que situações falha

A autenticação multifator (MFA) é um método de início de sessão que pede, pelo menos, dois tipos diferentes de comprovação antes de te deixar entrar: algo que sabes, como uma palavra-passe, mais algo que tens, como o teu telemóvel, ou algo que és, como a tua impressão digital. Assim, uma palavra-passe roubada, por si só, já não é suficiente para assumir o controlo de uma conta. Isso faz da MFA uma das medidas de segurança mais eficazes que uma organização pode ativar.

Mas a MFA não é um campo de força. Os atacantes aprenderam a bombardear os funcionários com pedidos de início de sessão até que alguém clique em «aprovar», a roubar cookies de sessão através de páginas de início de sessão falsas e a convencer os serviços de assistência a redefinir um número de telefone. Este artigo explica como funciona a MFA, quais as formas mais seguras e quais as mais vulneráveis, como é que os atacantes a contornam e o que esperam as entidades reguladoras no Reino Unido, na UE e nos EUA.

Como funciona a autenticação multifator

Cada fator de autenticação pertence a uma de três categorias. A autenticação multifator (MFA) só conta como tal quando os fatores pertencem a categorias diferentes; duas palavras-passe continuam a ser um único fator.

• Algo que tu sabes. Uma palavra-passe, um PIN ou a resposta a uma pergunta de segurança.
• Algo que tens. Um telemóvel com uma aplicação de autenticação, uma chave de segurança física ou um cartão inteligente.
• Algo que te caracteriza. Uma impressão digital, um reconhecimento facial ou outra característica biométrica, normalmente verificada no teu próprio dispositivo.

A autenticação de dois fatores (2FA) é simplesmente a MFA com exatamente dois fatores e, na prática, os termos são usados de forma intercambiável. O que importa mais do que o número de fatores é o grau de resistência de cada fator ao phishing e à manipulação.

Formas de MFA, da mais fraca à mais forte

1. Códigos por SMS e voz. São melhores do que só uma palavra-passe, mas ficam vulneráveis à troca de SIM, em que um criminoso convence uma operadora de telemóvel a transferir o teu número para o cartão SIM dele.
2. Códigos por e-mail. São tão seguros quanto a caixa de correio, que muitas vezes está protegida pela mesma palavra-passe que o atacante já tem.
3. Códigos da aplicação de autenticação. Um código de seis dígitos que muda a cada 30 segundos. É muito mais seguro do que o SMS, mas um colaborador ainda pode introduzi-lo numa página de início de sessão falsa.
4. Notificações push com verificação do número. A aplicação pede-te para confirmares o início de sessão e digitares o número que aparece no ecrã. Isso impede aprovações automáticas, embora um atacante determinado ainda possa tentar orientar alguém para o fazer.
5. Chaves de acesso e chaves de segurança. Baseadas na norma FIDO2, só funcionam no site verdadeiro, por isso uma página de phishing não consegue nada. É a isto que as agências de segurança chamam de MFA resistente ao phishing.

Como é que os atacantes contornam a autenticação multifatorial (MFA)

• Cansaço com a autenticação multifatorial (MFA). Com uma palavra-passe roubada, o atacante lança um pedido de início de sessão atrás do outro, muitas vezes à noite, até que o funcionário aprove um só para que as notificações parem.
• Phishing do tipo «adversário no meio». Uma página de início de sessão falsa encaminha tudo para o site verdadeiro em tempo real, incluindo o código de autenticação multifator (MFA), e rouba o cookie de sessão que mantém a vítima com a sessão ativa. A nossa visão geral dos tipos de ataques de phishing mostra como estas páginas se tornaram convincentes.
• Troca de cartão SIM. O atacante assume o controlo do número de telemóvel da vítima e recebe os códigos por SMS.
• Engenharia social no serviço de assistência. Quem liga faz-se passar por um funcionário que «perdeu o telemóvel» e pede ao serviço de assistência de TI para registar um novo dispositivo. Funciona com uma frequência surpreendente, porque os funcionários do serviço de assistência são treinados para ajudar.

O que estas técnicas têm em comum é que não contornam a tecnologia. Elas convencem a pessoa a deixar o atacante passar. É por isso que a autenticação multifatorial (MFA) e a sensibilização andam de mãos dadas.

Cansaço do MFA: quando um funcionário aprova o atacante

A «fadiga de MFA», também conhecida como «push bombing», tornou-se amplamente conhecida em 2022, quando um atacante conseguiu entrar na rede da Uber desta forma. Depois de uma enxurrada de pedidos de autenticação push, o atacante contactou o funcionário pelo WhatsApp, fazendo-se passar por alguém do suporte de TI, e disse que as notificações iriam parar assim que uma fosse aprovada. O funcionário aprovou e o atacante conseguiu entrar.

A defesa é, em parte, técnica e, em parte, humana. A verificação de números e os limites às solicitações repetidas tornam o ataque mais difícil. Igualmente importante é uma regra simples que todos os funcionários sabem de cor: nunca aprove um login que não tenhas iniciado tu mesmo e comunica imediatamente quaisquer pedidos de MFA inesperados, porque isso significa que alguém já tem a tua palavra-passe.

O que as entidades reguladoras esperam: MFA no Reino Unido, na UE e nos EUA

• Reino Unido. O Cyber Essentials exige a autenticação multifator (MFA) para serviços na nuvem sempre que estiver disponível, e o NCSC recomenda-a para todas as contas importantes.
• União Europeia. A NIS2 enumera explicitamente a autenticação multifatorial entre as medidas de segurança que as entidades essenciais e importantes têm de ter em conta, e o RGPD exige a adoção de medidas técnicas adequadas para proteger os dados pessoais. Em Portugal, o Decreto-Lei n.º 125/2025 inclui-a entre as medidas de cibersegurança e o CNCS recomenda a autenticação multifator.
• Estados Unidos. A CISA incentiva as organizações a adotarem a autenticação multifatorial (MFA) resistente ao phishing, e a Regra de Proteção da FTC exige a MFA para muitas empresas do setor financeiro que tratam de dados de clientes.

A tendência é a mesma em todo o lado: a autenticação multifator (MFA) está a tornar-se um requisito básico, e as entidades reguladoras perguntam cada vez mais não só se está ativada, mas também se resiste ao phishing e se os funcionários sabem como usá-la em segurança.

Como implementar a autenticação multifatorial (MFA) em cinco passos

1. Começa pelas contas mais importantes. E-mail, acesso remoto, contas de administrador, sistemas financeiros e tudo o que for acessível pela Internet.
2. Escolhe o método mais seguro que as pessoas vão realmente usar. Aplicações de autenticação com a correspondência de números como padrão, chaves de acesso ou chaves de segurança para administradores e funções de alto risco.
3. Reforça as medidas de segurança do serviço de apoio. Define como é que as pessoas têm de comprovar a sua identidade antes de um dispositivo ser reiniciado ou registado de novo, e cumpre essas regras, mesmo no caso do CEO.
4. Explica o porquê e as regras. Os colaboradores que percebem o que é a «fadiga da autenticação multifator» e sabem identificar páginas de login falsas conseguem reconhecer um ataque assim que o virem.
5. Acompanha e mantém a formação. Fica atento a pedidos de MFA repetidamente rejeitados ou recusados e mantém as regras atualizadas com formações curtas e recorrentes.

A dica: desenvolve o lado humano da MFA com o Guardey

A Guardey garante que os colaboradores saibam o que fazer quando a autenticação multifatorial (MFA) é posta à prova. Todas as semanas, recebem um desafio de cerca de três minutos, no portátil ou na aplicação móvel para iOS e Android, sobre temas como pedidos de início de sessão inesperados, páginas de início de sessão falsas, golpes do serviço de assistência e boas práticas de gestão de palavras-passe. A gamificação com tabelas de classificação e séries de sucesso mantém as pessoas envolvidas, as simulações de phishing testam se conseguem identificar uma página de login falsa e os relatórios prontos para auditoria mostram o teu progresso em relação à NIS2 e à ISO 27001. Mais de 500 organizações, incluindo o Parlamento Europeu, já usam o Guardey. Vê como funciona a nossa formação em sensibilização para a segurança.

Estás a trabalhar com um parceiro de TI? Não te limites a perguntar só sobre como ativar a autenticação multifator (MFA)

Muitas organizações têm as suas contas do Microsoft 365, dispositivos e segurança geridos por um prestador de serviços geridos (MSP): uma empresa de TI que gere as infraestruturas de TI de outras empresas mediante uma mensalidade. Para a maioria dos MSPs, implementar a autenticação multifator (MFA) é um trabalho de rotina. No entanto, os ataques que conseguem contornar a MFA têm como alvo as pessoas que a utilizam, e não a configuração. Se um MSP gerir a tua TI, pergunta-lhe como é que te protege contra a fadiga da MFA e contra páginas de início de sessão falsas. Para os MSPs, a formação é a segunda parte natural de um serviço de MFA.

Uma das formas como os MSPs podem oferecer o Guardey é através da e92plus, um distribuidor de cibersegurança cujo portfólio também abrange a gestão de identidades, acessos e palavras-passe. Os seus engenheiros internos dão apoio aos parceiros desde a demonstração até à implementação, para que a autenticação e a sensibilização possam ser vendidas e fornecidas como um único serviço.

Perguntas frequentes sobre a autenticação multifatorial

A MFA é a mesma coisa que a 2FA?

Quase. A autenticação de dois fatores usa exatamente dois fatores, enquanto a autenticação multifatorial pode usar dois ou mais. No dia a dia, os termos significam a mesma coisa: uma segunda prova de identidade, além da tua palavra-passe.

A MFA pode ser pirateada?

A própria autenticação multifator (MFA) raramente é quebrada, mas pode ser contornada. Os métodos mais comuns são a «fadiga da MFA», páginas de login falsas que roubam cookies de sessão, a troca de cartões SIM e enganar o serviço de apoio. Métodos resistentes ao phishing, como as chaves de acesso, combinados com colaboradores devidamente formados, impedem a maioria destes ataques.

O que é a «fadiga da MFA»?

A «fadiga de MFA» é um ataque em que um criminoso, que já tem a palavra-passe de alguém, envia pedidos de início de sessão repetidos até que a vítima aprove um deles por irritação ou confusão. A regra para evitar isso é simples: nunca aprove um pedido que não tenhas iniciado tu mesmo e denuncia o caso.

O que é a autenticação multifator (MFA) resistente ao phishing?

A autenticação multifator (MFA) resistente ao phishing usa passkeys ou chaves de segurança de hardware baseadas na norma FIDO2. O início de sessão está ligada criptograficamente ao site verdadeiro, pelo que uma página falsa não consegue capturar nada que possa ser usado. Agências de segurança como a CISA e o NCSC recomendam esta abordagem, especialmente para administradores.

O MFA continua a ser um dos melhores investimentos em segurança que uma organização pode fazer. Só funciona mesmo bem quando as pessoas que clicam em «aprovar» sabem quando não o devem fazer.