O que é MFA? Autenticação multifator na prática

Se eu pudesse recomendar uma única medida de segurança para uma empresa que não tem nenhuma, não seria backup, firewall nem antivírus. Seria ativar autenticação multifator no e-mail principal, o que leva cerca de cinco minutos e custa zero.

O motivo é aritmético. A esmagadora maioria dos ataques contra empresas pequenas e médias não é sofisticada: é alguém testando, em escala industrial, credenciais que já vazaram em algum lugar. Contra isso, um segundo fator é a diferença entre uma tentativa que funciona e uma que morre na porta.

MFA é a defesa de melhor relação custo-benefício que existe em segurança da informação. O erro comum não é deixar de usar, é achar que todo MFA vale a mesma coisa.

Os três fatores, e por que a categoria importa

A definição formal de MFA exige fatores de categorias distintas:

• Algo que você sabe: senha, PIN, resposta secreta.
• Algo que você tem: celular com app autenticador, chave física, cartão.
• Algo que você é: impressão digital, reconhecimento facial.

A exigência de categorias diferentes tem uma razão prática. Senha e pergunta secreta ("nome do primeiro animal de estimação") são ambas coisas que você sabe, e ambas estão no mesmo vazamento, ou na mesma rede social. Combinar duas coisas da mesma categoria não multiplica a segurança, apenas incomoda o usuário.

Uma nota sobre biometria que costuma confundir: ela quase nunca sai do seu dispositivo. Quando você desbloqueia o app do banco com a digital, o celular verifica localmente e apenas confirma ao aplicativo que a verificação passou. Isso é bom para privacidade e cria uma consequência: a biometria autentica você para o dispositivo, e é o dispositivo que autentica para o serviço.

E o limite óbvio dela: você não troca a sua digital. Se um banco de dados biométrico vazar, não existe "redefinir digital". Por isso biometria funciona bem como desbloqueio local e mal como credencial trafegada.

Nem todo MFA vale o mesmo

A tabela abaixo ordena os métodos pelo critério que separa os fortes dos fracos: resistência a phishing.

A FIDO Alliance, que mantém o padrão, publica a especificação e a lista de serviços compatíveis.

Por que passkey resiste e o resto não. A passkey é criptograficamente vinculada ao domínio exato do site. Se você cair num clone, o protocolo se recusa a autenticar, porque não há código para digitar nem para entregar. Nos outros métodos existe um segredo que passa pelas mãos do usuário, e tudo que passa pelas mãos do usuário pode ser pedido por um golpista convincente.

Sobre o SMS. Ele é o mais fraco e continua sendo o mais usado no Brasil. A linha telefônica é transferível por atendimento humano, o que abre a porta do SIM swap, assunto que detalhei no post sobre SIM swap e OTP por SMS. A Microsoft já anunciou a aposentadoria do MFA por SMS e voz no Entra ID, com passkeys virando padrão.

Mas atenção à leitura correta: SMS é muito melhor do que nada. Se a alternativa for não ativar MFA porque só existe SMS, ative o SMS. Ele barra o ataque automatizado em massa, que é o cenário mais comum.

Como o MFA é burlado

Três caminhos, em ordem de frequência.

1. Phishing em tempo real. O usuário digita senha e código num site clonado, e a página repassa os dois para o serviço real no mesmo instante. O código é válido por 30 segundos, tempo de sobra. Passkey resolve, porque não há código a repassar.

2. Fadiga de MFA. O criminoso, já com a senha, dispara dezenas de notificações push. A vítima, incomodada às 3h da manhã, aprova uma para parar o barulho. A defesa é o número correspondente, aquele em que o app mostra dois dígitos que precisam bater com a tela do login, e isso praticamente elimina a aprovação por reflexo.

3. Roubo de sessão. Um infostealer copia o cookie de sessão, que foi emitido depois de o MFA ter sido aprovado e carrega essa aprovação. O criminoso entra sem senha e sem código. Nenhum tipo de MFA resolve isso. A defesa é encurtar a validade das sessões e vinculá-las ao dispositivo.

Essa terceira é a mais importante de entender, porque muda a resposta a incidente: depois de uma infecção, revogar sessões vem antes de trocar senha.

Por onde começar

A ordem abaixo concentra o ganho nos primeiros passos. Uma tarde de trabalho cobre os cinco.

1. E-mail principal. É a chave-mestra: quem controla o e-mail recupera a senha de todo o resto. Se você fizer só um item desta lista, faça este.
2. Acesso remoto e VPN. Credencial de acesso remoto exposta é o vetor clássico de ransomware.
3. Painel do provedor de nuvem. Uma conta de administrador comprometida ali vale mais do que qualquer servidor individual.
4. Sistemas financeiros e bancários. Óbvio e frequentemente esquecido nos sistemas internos, não no banco.
5. Contas administrativas de qualquer sistema. Inclusive as compartilhadas, e o ideal é acabar com as compartilhadas, porque MFA em conta que três pessoas usam não identifica ninguém.

Um detalhe operacional que vira problema depois: guarde os códigos de recuperação em local seguro e fora do sistema que eles recuperam. Perder o celular sem ter os códigos transforma uma medida de segurança num incidente de disponibilidade, e a saída improvisada costuma ser desligar o MFA.

Sobre o atrito com a equipe

A reclamação existe e quase sempre nasce de implementação preguiçosa.

Duas medidas resolvem a maior parte:

• MFA adaptativo. Pedir o segundo fator apenas quando o contexto foge do padrão: dispositivo desconhecido, país diferente, horário atípico, ação sensível. Do dispositivo de sempre, no horário de sempre, o acesso é direto.
• Passkey com biometria. Mais rápido do que digitar senha. É o único caso em que aumentar a segurança reduz o atrito, e por isso é o argumento mais fácil de vender internamente.

Se a sua equipe reclama de MFA, verifique antes se o sistema está pedindo código a cada acesso de um dispositivo já conhecido. Provavelmente está.

Onde o MFA se encaixa

MFA é o pilar de identidade do Zero Trust, o primeiro e mais barato de implementar, e o que entrega a maior parte do ganho do modelo. Também é o item número um de qualquer guia sério de cibersegurança para PMEs.

E vale registrar a pressão regulatória: normas como NIS2, DORA e PCI DSS 4.0 já exigem MFA resistente a phishing, critério em que SMS e push simples não passam. Quem vende para cliente regulado vai receber essa exigência por contrato antes de recebê-la por lei.

O ponto que fica

MFA é raro no seu gênero: uma medida de segurança que custa quase nada, leva minutos para ativar e derruba a maior parte dos ataques que uma empresa média enfrenta.

Se a sua empresa tem MFA em tudo, o próximo passo é subir a qualidade do fator: migrar do SMS para app, e do app para passkey, começando pelas contas administrativas.

Se ainda não tem, feche este texto e ative no e-mail principal. É o melhor uso de cinco minutos disponível em segurança da informação.