Autenticação multifator

Autenticação multifator (MFA) exige que os usuários comprovem sua identidade com dois ou mais fatores independentes de categorias diferentes. Mesmo que um fator seja comprometido (por exemplo, uma senha roubada), a conta continua protegida.

Fatores de autenticação:

• Algo que você sabe — senha, PIN, pergunta de segurança
• Algo que você tem — telefone, token de hardware, cartão inteligente
• Algo que você é — impressão digital, rosto, voz (biometria)

A verdadeira MFA usa pelo menos duas categorias diferentes — não duas senhas.

TOTP gera um código de 6 dígitos que muda a cada 30 segundos usando um segredo compartilhado e o horário atual (RFC 6238). Aplicativos: Google Authenticator, Authy, Microsoft Authenticator.

TOTP é seguro contra ataques de repetição, mas vulnerável a phishing em tempo real.

O OTP baseado em SMS é conveniente, mas apresenta fragilidades significativas:

• Troca de SIM — o invasor manipula por engenharia social a operadora para transferir o número da vítima
• Ataques SS7 — interceptação de SMS por Estados-nação no nível das telecomunicações
• Phishing em tempo real — o invasor retransmite instantaneamente o OTP da vítima para o site-alvo

O OTP por SMS é melhor do que não usar MFA, mas é a forma mais fraca.

Chaves de segurança de hardware (YubiKey, Google Titan) usam criptografia de chave pública. O dispositivo assina um desafio vinculado ao site específico, tornando as chaves resistentes a phishing — elas não funcionarão em sites falsos.

Esse é o padrão-ouro da MFA.

O aplicativo autenticador envia uma notificação push: "Aprovar acesso de Nova York?" O usuário toca em aprovar ou negar. É conveniente, mas vulnerável a ataques de fadiga de MFA — os invasores enviam solicitações de aprovação em massa até que um usuário cansado aprove uma delas por acidente.

Também chamados de bombardeio de notificações push: o invasor tem a senha e envia dezenas de notificações push de MFA, esperando que o usuário aprove uma delas por frustração ou confusão. Contramedida: exigir correspondência de números na notificação push (o usuário deve inserir um código exibido na tela de login).

Chaves de acesso (FIDO2/WebAuthn) combinam "algo que você tem" (chave do dispositivo) com "algo que você é" (desbloqueio biométrico) em uma única credencial resistente a phishing. Não é necessária uma senha. São compatíveis com as principais plataformas.

As plataformas modernas de identidade oferecem acesso condicional: exigem MFA somente quando os sinais de risco indicam essa necessidade (localização desconhecida, dispositivo novo, recurso sensível). A autenticação reforçada melhora a experiência do usuário sem comprometer a segurança.

Os invasores contornam a MFA usando:

• Phishing em tempo real (AiTM) — o proxy captura o cookie de sessão após a MFA
• Troca de SIM — intercepta os códigos enviados por SMS
• Fadiga de MFA — envia notificações push em massa
• Engenharia social contra o suporte — desativa a MFA por meio de um chamado de suporte

Ao implementar a MFA:

• Exija MFA por padrão para todos os usuários
• Ofereça várias opções de MFA, mas disponibilize chaves de hardware e TOTP
• Oriente os usuários sobre a fadiga de MFA — se não iniciaram um acesso, devem negar a notificação push
• Monitore os registros de autenticação em busca de padrões de contorno da MFA

Qual método de MFA é resistente a phishing porque vincula criptograficamente a autenticação ao site específico?

A MFA exige dois fatores de categorias diferentes (saber/ter/ser). Aplicativos TOTP são bons; chaves de hardware (FIDO2) são as melhores — resistentes a phishing. O OTP por SMS é o mais fraco — vulnerável à troca de SIM. Ataques de fadiga de MFA enviam notificações push em massa; a correspondência de números reduz esse risco. As chaves de acesso combinam hardware e biometria em uma única credencial integrada.