MFA Fatigue: como evitar golpes explorando a autenticação multifator
A autenticação multifator (MFA) é, sem dúvida, uma das barreiras mais eficazes para proteger suas contas digitais contra acessos não autorizados. No entanto, à medida que a segurança digital evolui, os cibercriminosos também aprimoram suas táticas. Atualmente, um dos golpes que mais cresce no ambiente corporativo e pessoal é o MFA Fatigue (ou fadiga de autenticação).
Diferente dos ataques tradicionais que exploram apenas vulnerabilidades de software, essa técnica foca em uma falha muito mais difícil de corrigir: o comportamento humano.
Neste guia completo, você vai entender o que é o ataque de MFA Fatigue, como ele funciona na prática e quais medidas tomar para proteger suas informações e as de sua empresa.
O que é MFA Fatigue (Fadiga de Autenticação)?
O MFA Fatigue é um ataque de engenharia social onde o invasor tenta "vencer a vítima pelo cansaço". O objetivo é inundar o dispositivo do usuário com dezenas de notificações push de autenticação até que ele, por distração, estresse ou pura insistência, acabe clicando em "Aprovar".
Como funciona o ataque de MFA Fatigue na prática?
1. Obtenção de credenciais: O criminoso consegue o seu usuário e senha (geralmente por meio de vazamentos de dados anteriores, engenharia social ou ataques de phishing).
2. Bombardeio de notificações: Ele tenta fazer login repetidamente na sua conta, disparando dezenas de alertas de confirmação no seu aplicativo autenticador (como Microsoft Authenticator, Google Authenticator ou Duo).
3. A exaustão do usuário: As notificações não param de surgir, muitas vezes de madrugada ou durante o horário de trabalho.
4. O erro humano: Cansada do incômodo ou acreditando se tratar de um erro do sistema, a vítima clica em "Aprovar" para fazer as notificações pararem. Pronto: o hacker ganha acesso à conta.
Por que as pessoas caem nesse golpe?
Embora pareça óbvio que não se deve aprovar um login não solicitado, os criminosos usam gatilhos psicológicos altamente eficazes:
• Fadiga de decisão e cansaço: Receber alertas a cada minuto gera estresse e pressa para silenciar o telefone.
• Falta de contexto: Muitas notificações de MFA não mostram de onde ou de qual dispositivo o acesso está sendo tentado.
• Excesso de confiança: O usuário assume que, por ter a senha segura, a notificação é apenas um "bug" temporário do aplicativo.
Quais são os riscos e impactos do MFA Fatigue?
Permitir um único acesso indevido pode comprometer toda a sua vida digital ou a infraestrutura de segurança de uma organização.
Principais impactos para usuários e empresas
• Sequestro de contas (Account Takeover): Perda de acesso a e-mails, redes sociais e serviços de nuvem.
• Invasão corporativa: Criminosos usam contas de colaboradores para invadir redes internas, instalar ransomware ou roubar dados confidenciais.
• Fraudes financeiras: Acesso direto a contas bancárias, carteiras digitais ou gateways de pagamento.
• Vazamento de dados (LGPD): Exposição de informações sensíveis de clientes e parceiros comerciais, gerando multas e danos graves à reputação da marca.
Como se proteger contra ataques de MFA Fatigue?
A prevenção contra o golpe da fadiga de autenticação exige uma mistura de atenção comportamental e boas práticas tecnológicas.
1. Nunca aprove notificações que você não solicitou
A regra de ouro da segurança digital é simples: se você não estava tentando fazer login naquele exato momento, recuse a notificação imediatamente. Nunca clique em "Sim" ou "Aprovar" apenas para fazer o alerta sumir.
2. Aja rapidamente ao notar múltiplos alertas
Se o bombardeio de notificações push começar:
• Negue todos os acessos.
• Acesse sua conta por um canal seguro e altere sua senha imediatamente. Se o invasor está gerando MFA, significa que ele já sabe a sua senha atual.
• Encerre todas as sessões ativas nas configurações de segurança da conta.
3. Adote métodos de MFA mais seguros
Se possível, substitua as notificações simples de "Sim/Não" por métodos que exigem contexto como FIDO2 e Passwordless:
• Correspondência de números (Number Matching): O aplicativo de MFA exibe um número na tela do computador que deve ser digitado no celular para aprovar o login.
• Chaves de segurança físicas (YubiKeys): Dispositivos USB/NFC que exigem toque físico para liberar o acesso.
• Biometria obrigatória: Exigir FaceID ou leitura digital para abrir o aplicativo de autenticação.
O papel da conscientização em Segurança da Informação
Mitigar o risco de MFA Fatigue não é apenas uma tarefa do setor de TI; é uma responsabilidade compartilhada.
As notificações de segurança são suas aliadas. Entender que o clique de aprovação é a última linha de defesa entre o hacker e seus dados pessoais é fundamental para manter a atenção no dia a dia.
As contas corporativas são os alvos favoritos dos ataques de MFA Fatigue. As empresas devem:
• Realizar treinamentos periódicos de conscientização em segurança da informação.
• Simular ataques de engenharia social para testar a prontidão da equipe.
• Implementar políticas rígidas de privilégio mínimo e monitoramento de logins suspeitos (como acessos vindos de IPs de outros países).
A segurança digital começa com a sua atenção
Tecnologias de proteção são indispensáveis, mas o elo final da corrente de segurança sempre será o usuário. Diante de qualquer comportamento incomum em seus aplicativos ou dispositivos:
1. Pare o que está fazendo.
2. Analise a origem e a legitimidade da solicitação.
3. Decida com segurança (e, na dúvida, bloqueie e mude suas senhas).
A pressa é a maior aliada dos cibercriminosos. Proteja-se contra a fadiga de autenticação mantendo-se sempre alerta!
A TIM se importa com a sua segurança digital. Agora que você já sabe como se proteger do MFA Fatigue, que tal compartilhar este conhecimento? Espalhe essas dicas com outros clientes TIM e ajude a criar uma internet mais segura para todos.
