Riscos de contorno da MFA

A MFA reduz drasticamente a tomada de controle de contas, mas não é uma solução milagrosa.

Os invasores desenvolveram várias técnicas para contornar formas mais fracas de MFA.

A troca de SIM engana uma operadora móvel para que transfira o número de telefone da vítima para o SIM do invasor.

Qualquer código baseado em SMS chega então ao invasor. É por isso que o SMS é o segundo fator mais fraco.

Ferramentas como proxies de ataque do tipo intermediário ficam entre o usuário e o site real.

Elas retransmitem os dados de autenticação e o OTP em tempo real e roubam o cookie de sessão resultante. Isso contorna SMS, TOTP e até mesmo as notificações.

Se um invasor roubar um token ou cookie de sessão autenticado depois da MFA, ele contornará a MFA completamente.

Software malicioso, dados roubados do navegador ou XSS podem vazar esses tokens.

Com a MFA baseada em notificações, os invasores que já têm a senha enviam muitas solicitações de aprovação.

Um usuário exausto ou confuso acaba tocando em Aprovar e concede acesso. A correspondência de números impede esse ataque.

Os fluxos de recuperação de contas são um ponto fraco frequente. Se redefinir uma senha ou a MFA exigir apenas um link de e-mail ou uma pergunta de segurança, os invasores atacarão esse caminho.

A recuperação deve ser tão forte quanto o login principal.

A defesa mais forte é a MFA resistente a phishing: chaves de segurança FIDO2 e chaves de acesso.

Como as credenciais estão vinculadas à origem real, um site de phishing que atua como intermediário não consegue retransmitir uma autenticação válida.

O phishing em tempo real falha contra o FIDO2 porque a chave de segurança assina um desafio vinculado ao domínio fraudulento, que o servidor real rejeita.

Não há nenhum código para o usuário digitar novamente nem um segredo reutilizável para roubar.

Combine a MFA com outros controles:

• Autenticação adicional baseada em risco
• Durações curtas de sessão e reautenticação para ações sensíveis
• Vinculação de dispositivo e de token
• Monitoramento de deslocamentos impossíveis

Para eliminar a brecha na recuperação:

• Evite perguntas de segurança.
• Exija uma segunda chave registrada para redefinir a MFA.
• Adicione atrasos e notificações às tentativas de recuperação.

Mesmo uma MFA forte se beneficia de usuários conscientes:

• Nunca aprove uma notificação que você não iniciou.
• Desconfie de solicitações urgentes de login.
• Comunique imediatamente solicitações inesperadas de MFA.

Qual método de MFA oferece melhor resistência a um proxy de phishing em tempo real que retransmite códigos e rouba cookies de sessão?

Você aprendeu como a MFA é contornada e como reforçá-la.

• Troca de SIM, phishing em tempo real, roubo de sessão e fadiga de MFA são ameaças importantes.
• A MFA resistente a phishing (FIDO2 / chaves de acesso) é a defesa mais forte.
• Reforce os fluxos de recuperação e use defesa em profundidade.

Próximo módulo: Gerenciamento de identidade e acesso.