O que é MFA? Autenticação multifator na prática

Se eu pudesse recomendar uma única medida de segurança para uma empresa que não tem nenhuma, seria esta — e não é backup, firewall nem antivírus. É ativar autenticação multifator no e-mail principal, o que leva cerca de cinco minutos e custa zero.

O motivo é aritmético. A esmagadora maioria dos ataques contra empresas pequenas e médias não é sofisticada: é alguém testando, em escala industrial, credenciais que já vazaram em algum lugar. Contra isso, um segundo fator não é uma camada a mais — é a diferença entre uma tentativa que funciona e uma que morre na porta.

A tese em uma frase: MFA é a defesa de melhor relação custo-benefício que existe em segurança da informação — e o erro comum não é deixar de usar, é achar que todo MFA vale a mesma coisa.

Os três fatores, e por que a categoria importa

A definição formal de MFA exige fatores de categorias distintas:

• Algo que você sabe — senha, PIN, resposta secreta.
• Algo que você tem — celular com app autenticador, chave física, cartão.
• Algo que você é — impressão digital, reconhecimento facial.

A exigência de categorias diferentes não é formalismo. Senha e pergunta secreta ("nome do primeiro animal de estimação") são ambas coisas que você sabe — e ambas estão no mesmo vazamento, ou na mesma rede social. Combinar duas coisas da mesma categoria não multiplica a segurança, apenas incomoda o usuário.

Uma nota sobre biometria que costuma confundir: ela quase nunca sai do seu dispositivo. Quando você desbloqueia o app do banco com a digital, o celular verifica localmente e apenas confirma ao aplicativo que a verificação passou. Isso é bom para privacidade e cria uma consequência: a biometria autentica você para o dispositivo, e é o dispositivo que autentica para o serviço.

E o limite óbvio dela: você não troca a sua digital. Se um banco de dados biométrico vazar, não existe "redefinir digital". Por isso biometria funciona bem como desbloqueio local e mal como credencial trafegada.

Nem todo MFA vale o mesmo

Esta é a parte que muda decisão. A tabela abaixo ordena os métodos pelo critério que realmente separa os fortes dos fracos: resistência a phishing.

A FIDO Alliance, que mantém o padrão, publica a especificação e a lista de serviços compatíveis.

Por que passkey resiste e o resto não. A passkey é criptograficamente vinculada ao domínio exato do site. Se você cair num clone, o protocolo simplesmente se recusa a autenticar — não há nada para digitar, nada para copiar, nada para entregar. Nos outros métodos existe um segredo que passa pelas mãos do usuário, e tudo que passa pelas mãos do usuário pode ser pedido por um golpista convincente.

Sobre o SMS. Ele é o mais fraco e continua sendo o mais usado no Brasil. A linha telefônica é transferível por atendimento humano, o que abre a porta do SIM swap — assunto que detalhei no post sobre SIM swap e OTP por SMS. A Microsoft já anunciou a aposentadoria do MFA por SMS e voz no Entra ID, com passkeys virando padrão.

Mas atenção à leitura correta: SMS é muito melhor do que nada. Se a alternativa for não ativar MFA porque só existe SMS, ative o SMS. Ele barra o ataque automatizado em massa, que é o cenário mais comum.

Como o MFA é burlado

Três caminhos, em ordem de frequência. Conhecê-los é o que separa "ativei MFA" de "estou protegido".

1. Phishing em tempo real. O usuário digita senha e código num site clonado, e a página repassa os dois para o serviço real no mesmo instante. O código é válido por 30 segundos — tempo de sobra. Passkey resolve, porque não há código a repassar.

2. Fadiga de MFA. O criminoso, já com a senha, dispara dezenas de notificações push. A vítima, incomodada às 3h da manhã, aprova uma para parar o barulho. A defesa é o número correspondente — aquele em que o app mostra dois dígitos que precisam bater com a tela do login — que praticamente elimina a aprovação por reflexo.

3. Roubo de sessão. Um infostealer copia o cookie de sessão, que foi emitido depois de o MFA ter sido aprovado e carrega essa aprovação. O criminoso entra sem senha e sem código. Nenhum tipo de MFA resolve isso — a defesa é encurtar a validade das sessões e vinculá-las ao dispositivo.

Essa terceira é a mais importante de entender, porque muda a resposta a incidente: depois de uma infecção, revogar sessões vem antes de trocar senha.

Por onde começar

A ordem abaixo concentra o ganho nos primeiros passos. Uma tarde de trabalho cobre os cinco.

1. E-mail principal. É a chave-mestra: quem controla o e-mail recupera a senha de todo o resto. Se você fizer só um item desta lista, faça este.
2. Acesso remoto e VPN. Credencial de acesso remoto exposta é o vetor clássico de ransomware.
3. Painel do provedor de nuvem. Uma conta de administrador comprometida ali vale mais do que qualquer servidor individual.
4. Sistemas financeiros e bancários. Óbvio e frequentemente esquecido nos sistemas internos, não no banco.
5. Contas administrativas de qualquer sistema. Inclusive as compartilhadas — e o ideal é acabar com as compartilhadas, porque MFA em conta que três pessoas usam não identifica ninguém.

Um detalhe operacional que vira problema depois: guarde os códigos de recuperação em local seguro e fora do sistema que eles recuperam. Perder o celular sem ter os códigos transforma uma medida de segurança num incidente de disponibilidade — e a saída improvisada costuma ser desligar o MFA.

Sobre o atrito com a equipe

A reclamação existe e quase sempre nasce de implementação preguiçosa, não do conceito.

Duas medidas resolvem a maior parte:

• MFA adaptativo. Pedir o segundo fator apenas quando o contexto foge do padrão: dispositivo desconhecido, país diferente, horário atípico, ação sensível. Do dispositivo de sempre, no horário de sempre, o acesso é direto.
• Passkey com biometria. Mais rápido do que digitar senha. É o único caso em que aumentar a segurança reduz o atrito — e por isso é o argumento mais fácil de vender internamente.

Se a sua equipe reclama de MFA, verifique antes se o sistema está pedindo código a cada acesso de um dispositivo já conhecido. Provavelmente está.

Onde o MFA se encaixa

MFA é o pilar de identidade do Zero Trust — o primeiro e mais barato de implementar, e o que entrega a maior parte do ganho do modelo. Também é o item número um de qualquer guia sério de cibersegurança para PMEs.

E vale registrar a pressão regulatória: normas como NIS2, DORA e PCI DSS 4.0 já exigem MFA resistente a phishing — critério em que SMS e push simples não passam. Quem vende para cliente regulado vai receber essa exigência por contrato antes de recebê-la por lei.

O ponto que fica

MFA é raro no seu gênero: uma medida de segurança que custa quase nada, leva minutos para ativar e derruba a maior parte dos ataques que uma empresa média enfrenta.

Se a sua empresa tem MFA em tudo, o próximo passo é subir a qualidade do fator — migrar do SMS para app, e do app para passkey, começando pelas contas administrativas.

Se ainda não tem, feche este texto e ative no e-mail principal. É o melhor uso de cinco minutos disponível em segurança da informação.