MFA resistente a phishing: planear a migração por fases

Cibersegurança · 3 min

Códigos por SMS e notificações push continuam vulneráveis a engenharia social. Veja como priorizar sistemas, tratar exceções e proteger a recuperação de credenciais.

MFA resistente a phishing: planear a migração por fases

TL;DR

Nem todos os métodos de autenticação multifator oferecem a mesma proteção contra phishing.
FIDO2/WebAuthn e autenticação baseada em PKI associam a credencial ao serviço legítimo e resistem a páginas falsas.
A migração deve começar pelos sistemas e perfis mais visados: correio, acesso remoto e administradores.
Registo e recuperação de credenciais tornam-se o ponto fraco se aceitarem métodos menos robustos.
Exceções documentadas e métricas de adoção ajudam a gerir o que ainda não pode migrar.

Nem toda a autenticação multifator protege da mesma forma

A autenticação multifator (MFA) generalizou-se nas empresas, mas os métodos mais comuns, como códigos por SMS, códigos temporários em aplicações ou notificações push, continuam a depender de o utilizador reconhecer uma tentativa de fraude. A CISA, agência norte-americana de cibersegurança, considera a MFA resistente a phishing a forma mais segura de MFA e recomenda que a migração seja tratada como prioridade. Para um CISO ou responsável de TI, a questão prática é como fazer essa transição sem interromper a operação nem criar novos pontos fracos.

Os métodos tradicionais têm fragilidades conhecidas

As fragilidades estão documentadas. Um atacante pode convencer um operador móvel a transferir o número da vítima e receber os códigos por SMS, ou enviar pedidos push repetidos até que um seja aprovado por engano ou cansaço. Páginas de autenticação falsas podem ainda capturar o código e reutilizá-lo em tempo real. Os métodos baseados em FIDO2/WebAuthn associam a credencial ao domínio legítimo, pelo que a autenticação falha quando o utilizador é levado a um site fraudulento.A autenticação baseada em certificados digitais, suportada por uma infraestrutura de chave pública (PKI), também pode oferecer resistência a phishing quando corretamente implementada e vinculada ao serviço legítimo. No entanto, exige maior maturidade na gestão de identidades e certificados e nem sempre é suportada pelas aplicações utilizadas. A diferença está, por isso, menos na existência de um segundo fator e mais na forma como esse fator se vincula ao serviço legítimo.

O inventário define as prioridades

Antes de distribuir chaves de segurança ou ativar passkeys, convém saber que sistemas suportam estes métodos, quais dependem de um fornecedor de identidade central e quais ainda usam protocolos de autenticação antigos. A orientação da CISA recomenda dar prioridade às contas administrativas e privilegiadas. A seleção dos sistemas a migrar deve considerar a exposição ao risco, a criticidade dos serviços e a informação acessível, incluindo, conforme o contexto, correio eletrónico, acesso remoto e aplicações com dados sensíveis. No acesso remoto, a migração pode ser articulada com uma arquitetura Zero Trust / ZTNA, em que cada pedido é avaliado em função da identidade e do contexto. As aplicações antigas sem suporte para autenticação moderna podem ser colocadas atrás de um fornecedor de identidade federado ou isoladas com controlos compensatórios, conforme o caso.

Registo e recuperação são o novo ponto de ataque

A eficácia de um método de autenticação resistente a phishing pode ser comprometida se os processos de registo inicial, substituição de autenticadores ou recuperação de acesso permitirem contornar os controlos implementados. Se a reposição de uma chave perdida depender de uma chamada para o helpdesk com verificação superficial, ou do regresso automático ao SMS, o atacante passa a visar esse processo. Constitui uma boa prática verificar a identidade durante o registo, prever autenticadores de reserva e limitar os métodos alternativos que possam permitir contornar os controlos de autenticação. As contas de emergência exigem tratamento próprio, descrito em acessos de emergência. A escolha entre chaves físicas associadas a um dispositivo e passkeys sincronizadas entre equipamentos envolve um equilíbrio entre controlo e conveniência, que deve ser avaliado caso a caso.

Métricas e exceções tornam a transição gerível

A migração raramente fica completa num único ciclo. Acompanhar a proporção de contas com métodos resistentes a phishing, por sistema e por perfil, ajuda a mostrar progresso e a identificar bolsas de resistência. Cada exceção deve ter responsável, justificação e prazo de revisão. Quando ainda não é possível implementar métodos resistentes a phishing, a CISA recomenda a correspondência numérica nas notificações push como medida intermédia para reduzir o risco associado à aprovação indevida de pedidos de autenticação. Esta medida não torna, por si só, o método resistente a phishing. Vigiar a utilização de métodos alternativos e os inícios de sessão anómalos complementa este trabalho, numa lógica próxima da deteção de riscos de identidade.

Uma transição gradual, ajustada ao risco

A MFA resistente a phishing pode reduzir significativamente o risco de comprometimento de contas através de ataques de phishing, embora não substitua a gestão de privilégios, a proteção dos equipamentos nem a monitorização. O ritmo adequado depende do parque aplicacional, da maturidade da gestão de identidades e da tolerância da organização a mudanças nos hábitos dos utilizadores. Uma abordagem por fases, que comece pelos sistemas e pessoas mais expostos e trate com igual cuidado o registo e a recuperação, tende a produzir resultados mais sólidos do que uma substituição feita de uma só vez.