A autenticação multifator (MFA) exige duas ou mais provas de categorias diferentes antes de dar acesso: algo que a pessoa sabe (palavra-passe ou PIN), algo que tem (telemóvel ou chave de segurança) ou algo que é (impressão digital ou rosto). Assim, uma palavra-passe roubada não basta por si só para entrar numa conta.
Como funciona
Ao iniciar sessão, o serviço costuma verificar primeiro a palavra-passe (ou dispensá-la se se usar FIDO2) e pede um segundo elemento: uma aprovação numa aplicação, um código temporário, uma chave física ou uma mensagem.
O NCSC, o organismo de cibersegurança do Reino Unido, ordena os que recomenda para serviços empresariais segundo a sua robustez, garantia, acessibilidade e facilidade de utilização, e aconselha adotá-los por esta ordem sempre que possível: credenciais FIDO2 (no dispositivo de confiança ou numa chave física), aplicações de autenticação com desafio, geradores de códigos em aplicação, geradores de códigos em hardware e, por fim, mensagens por correio eletrónico, SMS ou chamada. As chaves FIDO2 resistem ao phishing; os códigos e as aprovações podem ser obtidos com engano ou por insistência.
Exemplo
Exemplo ilustrativo, não um caso real. Uma empresa ativa a MFA no Microsoft 365 para todos os colaboradores e começa pelas contas de administração. Meses depois, uma revisão descobre que uma aplicação antiga de correio eletrónico continua a ligar-se através de um protocolo legado que só pede a palavra-passe, pelo que uma conta com MFA podia ser aberta por essa via sem segundo fator.
A solução é fechar a falha: desativar o protocolo legado, substituir a aplicação, rever que contas de serviço não conseguem usar a MFA e decidir como se recupera o acesso quando alguém perde o telemóvel, verificando que esse processo não é mais fácil de enganar do que o próprio controlo.
Limites
O NCSC alerta para três padrões que deixam a proteção a meio: os protocolos legados que permitem entrar só com palavra-passe, as contas excluídas porque alguém acha o segundo fator um incómodo e a reautenticação forçada por tempo, que enfraquece a autenticação em vez de a reforçar. As orientações do NIST (SP 800-63B) tratam ainda a recuperação de conta como um ponto que tem de ser definido com cuidado.
A CISA acrescenta ameaças conhecidas: o bombardeamento de notificações até alguém carregar em aceitar, a interceção de SMS e a troca fraudulenta de cartão SIM. Ainda assim, as aprovações com correspondência de números e as aplicações de códigos são uma melhoria clara face à palavra-passe isolada quando ainda não é possível usar FIDO2. E a MFA protege o início de sessão, não o que vem depois: uma sessão roubada pode continuar a dar acesso.
Quando chamar um especialista
Peça ajuda se existem contas de administração sem segundo fator, se não sabe que aplicações usam protocolos legados, se precisa de definir o processo de recuperação ou se um cliente, uma auditoria ou uma seguradora pedem que demonstre que a MFA abrange todos os colaboradores.
Na Impulso Tecnológico trabalhamos em diagnóstico, controlos técnicos e formação: revemos que contas têm permissões elevadas e se a MFA é realmente usada, aplicamos os controlos técnicos em falta e explicamos à equipa como os utilizar. Consulte o nosso serviço de cibersegurança, o guia do plano de segurança informática ou conte-nos o seu caso.
Saber mais
Termos relacionados do glossário: phishing, Zero Trust, Active Directory e VPN.
Fontes oficiais (em inglês): as orientações do NCSC Multi-factor authentication for your corporate online services, pensadas para grandes organizações e para o setor público, a ficha da CISA Implementing Phishing-Resistant MFA e as normas de identidade digital do NIST SP 800-63B.