O que é MFA e por que a senha sozinha não é suficiente?

O que são métodos resistentes a phishing?

Códigos de aplicativo e de mensagem de texto ainda podem ser digitados em uma página falsa. Em ataques mais elaborados, o criminoso coloca um site intermediário entre a vítima e o serviço verdadeiro, repassa a senha e o código em tempo real e captura a sessão já autenticada.

Métodos resistentes a phishing evitam esse problema porque a credencial fica vinculada ao endereço legítimo do serviço. Uma chave de segurança no padrão FIDO2 ou uma passkey não funciona em um domínio falso, mesmo que a página seja idêntica à original, porque o navegador só a apresenta ao endereço para o qual ela foi criada. Windows Hello for Business e autenticação por certificado digital também entram nessa categoria. Essa proteção depende de a conta não aceitar um método mais fraco como alternativa. Se SMS ou código de aplicativo continuarem liberados, o atacante pode forçar o uso deles. Para contas críticas, a política de acesso deve exigir o método resistente a phishing.

A adoção exige planejamento: compatibilidade dos sistemas, distribuição das chaves e procedimento para perda. Por isso, muitas empresas começam por contas administrativas e por quem aprova pagamentos.

Fadiga de MFA: o que é e como reduzir?

Quando o método é uma notificação no celular com botões de aprovar ou negar, quem já tem a senha pode disparar várias solicitações seguidas, às vezes fora do horário de trabalho. Cansado ou confuso, o usuário acaba aprovando. Algumas medidas reduzem esse risco:

• Correspondência de número: a tela de login mostra um número que precisa ser digitado no aplicativo, o que impede a aprovação às cegas.
• Contexto na notificação: nome do aplicativo e localização aproximada ajudam a pessoa a perceber que não foi ela quem tentou entrar.
• Limite de tentativas: a plataforma deve restringir solicitações repetidas, e muitas negativas seguidas devem gerar alerta para a equipe de segurança.
• Orientação clara: uma solicitação que a pessoa não iniciou deve ser negada e comunicada, porque indica que a senha já está nas mãos de alguém.

Por onde começar a implantação?

Uma ordem de prioridade possível:

1. Contas administrativas do Microsoft 365, da nuvem, do firewall e dos servidores.
2. Acesso remoto, como VPN (rede privada virtual) e área de trabalho remota.
3. E-mail e ferramentas de colaboração, alvos frequentes de phishing.
4. Sistemas financeiros, ERP (sistema de gestão empresarial) e aplicações com dados sensíveis.
5. Demais usuários e aplicações.

Em paralelo, bloqueie protocolos antigos que não suportam MFA, como POP e IMAP com autenticação básica. Enquanto estiverem ativos, eles oferecem um caminho para entrar apenas com a senha.

Perguntas frequentes sobre MFA

E se o colaborador perder o celular?

O procedimento de recuperação deve estar definido antes da implantação, e cadastrar mais de um método ajuda, de preferência com a mesma força, como uma segunda chave de segurança ou passkey. Quando a redefinição passa pelo Service Desk, a identidade da pessoa precisa ser confirmada com cuidado, porque golpistas também ligam para o suporte fingindo ser colaboradores.

Pedir MFA em todo acesso não atrapalha o trabalho?

Não precisa ser assim. Políticas de acesso condicional podem exigir a verificação apenas em situações de maior risco, como login de outro país, em dispositivo não gerenciado ou em aplicação crítica. Em um computador corporativo conhecido, a sessão pode permanecer válida por mais tempo.

Quem usa SSO ainda precisa de MFA?

Sim. O SSO concentra o acesso a várias aplicações em um único login. Proteger esse login passa a ser ainda mais importante, porque uma senha roubada abriria todas as aplicações conectadas.