Por que as Melhores Práticas de MFA Precisam de Atualização

Com invasores utilizando IA para ampliar phishing, roubo de credenciais, personificação e engenharia social de forma mais rápida e convincente do que nunca, é essencial compreender os limites das estratégias legadas de autenticação multifator (MFA) baseadas em senhas e em segundos fatores padronizados. Nesse ambiente, as melhores práticas de MFA não se resumem mais a adicionar mais uma solicitação no login. Elas dizem respeito à aplicação de uma autenticação mais forte e adaptativa, capaz de resistir a ataques modernos, reduzir atritos desnecessários e gerar confiança em cada interação crítica do usuário.

O MFA ainda bloqueia a grande maioria dos comprometimentos baseados em senha, mas a IA aumentou a taxa de sucesso dos ataques direcionados às camadas humana e de sessão, portanto MFA resistente a phishing e acesso condicional agora são o verdadeiro padrão.

Este documento explora como as melhores práticas de MFA estão evoluindo em resposta às ameaças orientadas por IA. Ele compara os métodos de autenticação mais comuns da atualidade, explica onde cada abordagem entrega mais valor e descreve como as organizações podem combinar autenticação resistente a phishing, sinais contextuais e recursos modernos, como biometria e verificação baseada em dispositivo, para melhorar tanto a segurança quanto a usabilidade. Também mostra como essas decisões contribuem para uma abordagem mais ampla de Verified Trust, na qual a confiança é continuamente reforçada em vez de presumida uma única vez no login.

O que as Melhores Práticas Modernas de MFA Devem Abordar

Tradicionalmente, os mecanismos ou fatores de autenticação foram categorizados como pertencentes a um de três grupos:

1. Algo que você sabe (por exemplo, uma senha ou um PIN).
2. Algo que você tem (por exemplo, um celular ou um token).
3. Algo que você é (por exemplo, uma impressão digital ou outros dados biométricos).

Essas três categorias de autenticação são as mais usadas com frequência. Você também pode encontrar classificações adicionais, como algo que você está fazendo, algum lugar onde você está ou tempo, mas tenha em mente que estes são, essencialmente, elementos ou subfatores das três categorias principais existentes. Por exemplo, localização ou algum lugar onde você está (GPS) está vinculado a um dispositivo ou wearable em sua posse, o que, em última instância, é algo que você tem.

Quando os fatores de autenticação foram introduzidos pela primeira vez, eles adicionaram um nível extra de garantia de que o usuário era quem dizia ser. Mas nenhum fator é infalível por si só, porque cada tipo de fator (e mecanismo de autenticação dentro desse fator) tem seus próprios pontos fortes e fracos específicos. Para impedir que agentes mal-intencionados explorassem essas fraquezas, as empresas começaram a adotar a autenticação de dois fatores (2FA), na qual o usuário precisa fornecer dois fatores diferentes para se autenticar. O objetivo era obrigar um invasor a comprometer dois canais diferentes para assumir uma conta, e esse mecanismo proporcionou um enorme aumento de segurança em relação aos métodos de autenticação anteriores.

Infelizmente, os invasores não ficaram parados e inventaram diversas maneiras de comprometer vários fatores. Antes de entrar em como impedir esses ataques, vamos contextualizar esses riscos mais recentes. 2FA — qualquer 2FA, até mesmo senha+SMS — é muito mais seguro do que nome de usuário/senha que, se você ainda não o implementou, deve parar de ler este documento e fazer isso imediatamente. Usar 2FA em vez de autenticação de fator único (SFA) é o mínimo indispensável para autenticação no ambiente atual, pois aumenta materialmente o esforço do invasor e sua taxa de comprometimento é muito menor do que a autenticação SFA/baseada apenas em senha.

Mas, depois que você tiver um nível básico de proteção em vigor, é hora de mudar seu pensamento de 2FA para MFA. Tecnicamente, MFA significa apenas "autenticação multifator" e, em teoria, pode simplesmente ser o mesmo 2FA que você já está usando. Também pode envolver três, quatro ou realmente qualquer número de fatores, escolhidos entre as três categorias básicas.

O importante é que as melhores práticas modernas de MFA abordem cinco prioridades:

1. Resistência a phishing orientado por IA, roubo de credenciais, personificação e engenharia social
2. Baixo atrito para usuários legítimos
3. Respostas adaptativas com base em contexto, dispositivo e risco
4. Proteção em autenticação, cadastro, recuperação e transações de alto valor
5. Verificação de maior garantia quando o risco aumenta

Cada vez mais, as organizações também estão adotando abordagens de verificação que preservam a privacidade, como biometria de conhecimento zero, como parte de um modelo mais amplo de Verified Trust que avalia continuamente a confiança na identidade, no dispositivo, no comportamento e na intenção do usuário, em vez de presumir confiança após um único login.

Comparando as Melhores Práticas de MFA: Pontos Fortes e Fracos

Algo que você sabe: fatores de conhecimento

Fatores de conhecimento, como senhas, PINs e perguntas de segurança, ainda aparecem em muitos fluxos de autenticação, mas não são mais fortes o suficiente para sustentar, sozinhos, as melhores práticas de MFA. Isso não significa que as organizações possam eliminar senhas da noite para o dia. Significa que as melhores práticas modernas de MFA devem tratar os fatores de conhecimento como um ponto de partida e, em seguida, reforçá-los com métodos resistentes a phishing, sinais de dispositivo, políticas adaptativas e verificações mais robustas quando o risco aumenta.

Para a maioria das organizações, o objetivo não é simplesmente substituir imediatamente todas as senhas. É reduzir a dependência de fatores de conhecimento nos momentos mais importantes, incluindo login, autenticação step-up, recuperação de conta e ações de alto valor. As estratégias de MFA mais fortes combinam usabilidade com maior garantia, mantendo o acesso rotineiro com baixo atrito e exigindo verificação adicional quando o contexto ou o risco mudam.

Senhas

As senhas são o fator baseado em conhecimento mais comum — e são notoriamente arriscadas. Muitas vezes, o problema não está nas senhas em si, mas nas práticas de senha dos usuários. Senhas longas, geradas aleatoriamente e de uso único são extremamente seguras, mas também são difíceis de lembrar. É aí que entram as más práticas, como o uso de senhas fáceis de adivinhar, como "123456" ou "letmein".

As más práticas também incluem o uso da mesma senha ou de outras informações baseadas em conhecimento em vários sites, o que amplia ainda mais o risco. Mesmo que um site tenha excelente segurança, essa segurança é tão boa quanto o sistema mais fraco quando credenciais usadas em outros sites são comprometidas. Além disso, reutilização, phishing, credential stuffing e engenharia social assistida por IA tornaram as senhas mais fáceis de roubar e abusar em escala.

Credenciais roubadas frequentemente acabam na dark web para revenda, onde podem ser obtidas por invasores. Isso levou ao aumento de invasões de contas por meio de ataques de botnet, nos quais listas roubadas de nomes de usuário e senhas são reproduzidas em websites em busca de correspondências. Os invasores não precisam ter sucesso com muita frequência, já que mesmo uma taxa de sucesso de 2% significa que, em um sistema com 1.000 usuários, um invasor pode conseguir comprometer 20 contas. Para melhorar a segurança das senhas, a prática recomendada é verificar senhas novas ou atualizadas em relação a uma lista de senhas conhecidas como roubadas ou comprometidas.

Também é importante a forma como uma empresa gerencia senhas. Mesmo a senha mais difícil de adivinhar pode ser vulnerável se não for hasheada com uma seed privada, armazenada centralmente e ocultada do sistema no qual o usuário está fazendo login. Quando as senhas são transferidas ou armazenadas em texto claro, correm maior risco de serem roubadas e usadas para invasão de conta. Isso não se aplica apenas a senhas. Qualquer fator baseado em conhecimento armazenado aumenta a exposição, e é por isso que estratégias de MFA mais fortes deslocam a garantia para métodos resistentes a phishing, contexto do dispositivo, biometria e verificação adaptativa.

Usabilidade de senhas

As senhas continuam sendo comuns, mas as melhores práticas modernas de MFA as reconhecem como uma base fraca, porque phishing, reutilização, credential stuffing e engenharia social assistida por IA tornaram mais fácil comprometê-las em escala. Senhas simples e fáceis de lembrar são usáveis, mas, além dos ataques de credential stuffing mencionados acima, elas são vulneráveis a ataques de força bruta com dicionário ou listas de senhas comuns. Senhas longas são mais seguras, mas se tornam menos usáveis, especialmente se precisarem ser atualizadas com frequência. Essa falta de usabilidade pode resultar em mais redefinições de senha, chamadas para o suporte, compartilhamento de senhas entre sites e outros problemas de usabilidade e atrito para o usuário mencionados no início deste documento.

PIN

Um PIN é uma versão mais curta de um fator de conhecimento. Normalmente, ele é apenas numérico e tem de 4 a 6 dígitos. Obviamente, um PIN de 4 ou 6 dígitos é muito mais suscetível à força bruta do que senhas, já que existem apenas 10.000 ou 1.000.000 combinações possíveis, respectivamente. Como tal, um PIN seria uma escolha ruim como único fator de proteção de um website e nunca deve ser armazenado em um local central. Mas, se o PIN for usado exclusivamente para desbloquear um aplicativo móvel, levaria muito tempo para alguém quebrá-lo por força bruta. Se ocorrer bloqueio após um determinado número de tentativas incorretas, ou se houver atrasos progressivos entre cada tentativa subsequente, a segurança melhora ainda mais.

PINs são relativamente simples de implementar, mas seu valor de segurança depende fortemente de serem usados localmente em um dispositivo confiável e protegidos por limites de tentativas ou bloqueios. Os PINs podem oferecer uma experiência do usuário rápida e familiar, mas usabilidade por si só já não é suficiente para justificar seu uso como fator significativo em fluxos de autenticação de maior risco. Ainda assim, os PINs são, em geral, um primeiro fator sólido, armazenado apenas localmente, em um cenário multifator de baixo risco.

KBA

Outra forma comum de confirmar a identidade de um indivíduo é com a autenticação baseada em conhecimento (KBA), que exige que os consumidores forneçam respostas a perguntas que, teoricamente, um invasor não saberia. O KBA não deve mais ser tratado como amplamente intercambiável com senhas e, se for usado, deve ser limitado a cenários restritos de recuperação ou casos extremos, respaldados por sinais mais fortes. Existem dois tipos de KBA: respostas compartilhadas e KBA dinâmico. Com respostas compartilhadas, a organização fornece uma lista de perguntas, e o usuário fornece a resposta como parte de um processo de registro. Quando confrontado com a pergunta, o usuário deve fornecer a resposta correta. Normalmente, se o usuário inserir a resposta errada, recebe uma pergunta diferente, já que repetir a mesma pergunta poderia facilitar demais para um invasor adivinhar a resposta. O problema é que, quer o KBA dependa de respostas compartilhadas ou de perguntas dinâmicas, as respostas muitas vezes são fáceis de encontrar, inferir ou obter por engenharia social a partir de informações públicas, dados de violações e pesquisas assistidas por IA.

O KBA dinâmico pode ser menos previsível do que perguntas de resposta compartilhada, mas ainda enfrenta dificuldades para oferecer garantia duradoura em um ambiente de ameaças moldado por exposição de dados em larga escala e fraude automatizada. O desafio desse método é que é difícil encontrar perguntas que não sejam de conhecimento público e, ao mesmo tempo, razoavelmente fáceis de responder. Por exemplo, pedir que alguém se lembre do valor exato da prestação da hipoteca duas renegociações atrás dificilmente resultará em uma experiência positiva para o cliente.

Segurança do KBA

O KBA já não é uma opção forte de autenticação moderna, porque dados públicos, dados de violações e engenharia social assistida por IA tornam muitas respostas mais fáceis de descobrir ou inferir. Muitas perguntas de KBA se baseiam em informações que criminosos podem encontrar facilmente em redes sociais ou por meio de outras fontes públicas, com facilidade, aproveitando IA. E, como as respostas de KBA são armazenadas centralmente, elas devem ser criptografadas e nunca transmitidas em texto claro durante a autenticação.

Usabilidade do KBA

Do ponto de vista da usabilidade, é comum que um consumidor não consiga passar no próprio questionário de KBA, resultando em uma experiência negativa para o cliente. Embora o KBA ainda possa estar disponível em vários canais, ampla disponibilidade por si só já não é suficiente para justificar seu uso como um sinal de confiança significativo e, se for usado, deve ser limitado a cenários restritos de recuperação ou casos extremos, respaldados por sinais mais fortes ou métodos step-up. Assim, o KBA pode ter seu lugar em cenários como recuperação de conta.

Algo que você tem: fatores de posse

Fatores de posse só são eficazes quando as organizações também se planejam para perda de dispositivo, troca de dispositivo e recuperação sem enfraquecer o fluxo geral de autenticação. Como essas são ocorrências comuns, qualquer sistema que use um fator de posse precisa ter um plano de contingência. Exemplo disso: um grande provedor de consultoria relata que, em qualquer dia, de várias centenas a mais de mil funcionários perdem seus telefones ou se esquecem de levá-los para o trabalho. Como a empresa tem requisitos rigorosos de segurança para acesso a aplicações sensíveis, isso resulta em centenas, senão milhares, de ligações diárias para o help desk para validar manualmente o funcionário e emitir credenciais temporárias.

Segurança de fatores de posse

Fatores de posse podem oferecer segurança forte, mas sua eficácia depende do método, já que OTPs, prompts push e outros fatores baseados em dispositivo ainda podem estar expostos a phishing, ataques de relay, fadiga de aprovação ou comprometimento do dispositivo.

Usabilidade de fatores de posse

Do ponto de vista da usabilidade, os fatores de posse têm alta avaliação. Responder a uma notificação push no seu telefone, conectar um autenticador FIDO a uma porta USB ou clicar em um link temporário em um email são opções relativamente convenientes. Qual delas é a melhor escolha depende do cenário específico.

Tokens de hardware RSA e OATH

Os tokens RSA e OATH são pequenos dispositivos de hardware que o proprietário carrega para autorizar o acesso a um serviço de rede. O dispositivo pode estar na forma de um smart card ou pode estar incorporado em um objeto fácil de transportar, como um chaveiro ou unidade USB. O próprio dispositivo contém um algoritmo (um relógio ou um contador) e um registro de seed usado para calcular o número pseudoaleatório, e os usuários inserem esse número para provar que possuem o token. O servidor que autentica o usuário também deve ter uma cópia do registro de seed de cada chaveiro, o algoritmo usado e a hora correta. Alguns tokens de hardware são equipados com uma interface USB, e esses tokens são inseridos na porta USB do PC. Quando o usuário precisa se autenticar, pressiona uma tecla no dispositivo, que gera um one-time passcode (OTP) e emula um teclado para enviar o passcode ao servidor, como se o usuário o tivesse digitado manualmente.

Tokens de autenticação FIDO físicos

Os tokens FIDO físicos também são pequenos dispositivos de hardware. Eles podem se conectar ao seu computador via USB, Near Field Communication (NFC) ou Bluetooth Low Energy (BLE). Altamente eficaz contra ataques de phishing, a autenticação FIDO exige que o usuário registre o autenticador para cada website no qual deseja se autenticar. O autenticador gera um par exclusivo de chaves pública/privada para um website específico e retorna a chave pública a esse website. A autenticação só é permitida por TLS, e a chave é vinculada ao domínio do website. Portanto, se o usuário for posteriormente vítima de phishing para um website falso, a solicitação de autenticação falhará, já que o invasor não está vindo do domínio de website registrado. O suporte a FIDO agora está amplamente disponível nos principais navegadores, sistemas operacionais e plataformas de dispositivo, o que eliminou grande parte do atrito de compatibilidade que antes retardava a adoção.

O custo dos autenticadores FIDO tradicionalmente tem sido uma barreira, e as empresas normalmente exigem e distribuem autenticadores FIDO apenas para grupos selecionados de pessoas e para aplicações com as mais altas necessidades de segurança. Mas as principais plataformas móveis de Android e Apple estão incorporando suporte para autenticadores FIDO soft, baseados em software, que podem aproveitar os recursos biométricos do telefone, como impressão digital ou reconhecimento facial. Como não há custo adicional para usar esses autenticadores, a adoção em massa da autenticação FIDO é muito mais viável do ponto de vista econômico. Os autenticadores FIDO soft são abordados abaixo na seção sobre autenticação biométrica.

One-Time Passcodes (OTP)

Os OTPs continuam sendo amplamente usados porque são flexíveis e familiares, mas as melhores práticas modernas de MFA os tratam como uma opção orientada à conveniência, e não como a forma mais forte de autenticação. Esse método ajuda a verificar o controle de um canal de entrega ou dispositivo, mas não fornece, por si só, forte garantia de que a pessoa certa está presente. Eles também têm tempo de validade limitado, e os servidores podem restringir o número de tentativas que um usuário pode fazer para inserir o OTP correto. Podem reduzir o sucesso de replay de senhas e credential stuffing, mas ainda são vulneráveis a phishing, ataques de relay e interceptação em tempo real.

Os OTPs ainda podem ser interceptados ou reutilizados por meio de proxies de phishing em tempo real, razão pela qual as melhores práticas modernas de MFA priorizam cada vez mais métodos resistentes a phishing para acessos de maior risco. Proxies de phishing permitem que invasores criem sites de phishing usando nomes de domínio semelhantes aos de websites reais. Esses sites parecem ser o site real, já que na verdade atuam como proxy do tráfego de ida e volta para o site legítimo, e podem inspecionar e alterar qualquer informação que desejarem em tempo real. Um usuário convencido de que um site de phishing é legítimo inserirá o OTP no site de phishing, que então poderá usar o código OTP para fazer login em um site legítimo em tempo real. A força de um OTP depende menos do código em si do que da segurança do canal de entrega, do dispositivo e do fluxo de autenticação ao redor. Abordaremos as considerações de segurança dos diferentes métodos de OTP nas seções individuais abaixo, começando pelos soft tokens.

Aplicativo OTP / soft tokens

Soft tokens são uma variante exclusivamente de software dos tokens RSA/OATH. Eles usam a mesma interface que os tokens físicos, de modo que uma única implementação no lado do servidor pode aproveitar tanto tokens físicos quanto soft tokens. O software fornece uma série contínua de OTPs e pode ser executado como aplicativo móvel ou desktop.

Em termos de segurança, na prática, soft tokens são menos vulneráveis à perda do que tokens físicos. Usuários móveis têm mais probabilidade de perder um token de hardware de uso único do que esquecer ou perder seus telefones e, quando perdem um telefone, é mais provável que relatem a perda e o soft token possa ser desativado. Soft tokens também são mais fáceis e menos caros de distribuir do que tokens de hardware, que precisam ser enviados.

Notificação push

As notificações push podem oferecer um segundo fator de baixo atrito, mas as melhores práticas modernas de MFA devem levar em conta fadiga de aprovação, prompt bombing e o risco de usuários aprovarem solicitações fraudulentas. Os recursos dos aplicativos podem variar bastante.

MFA baseada em push é fácil de usar, mas deve ser projetada para resistir a bombardeio de solicitações e aprovações acidentais por meio de contexto mais forte, correspondência numérica ou sinais adicionais de verificação. Os usuários costumam ser tão bombardeados com solicitações de notificação que simplesmente aprovam todas elas. Essa característica favorece os hackers que comprometeram o primeiro fator durante um processo de login, porque sabem que uma parcela dos usuários enviará o segundo fator em nome do invasor ao receber uma notificação push.

OTP via SMS

OTP por SMS continua amplamente disponível, mas agora é melhor tratá-lo como um fallback de menor garantia devido à troca de SIM, portabilidade de número e risco de phishing. Embora a opção de OTP por SMS tenha a vantagem de não exigir que o usuário possua um smartphone moderno compatível com aplicativos móveis, ela apresenta várias desvantagens relacionadas à portabilidade de número e à troca de SIM. Isso tem sido frequente o suficiente para que o NIST tenha descontinuado o uso de SMS. Portanto, embora seja uma boa opção oferecer OTP por SMS voltado ao consumidor para acessos menos críticos em termos de segurança, as organizações devem considerar se sua segurança é suficiente para logins corporativos de maior valor.

OTP por voz

Um método de entrega de OTP é por meio de ligação telefônica para um número já associado a um usuário. Esse método tem alta disponibilidade, pois tudo o que exige é um telefone. Ele funciona quando não há celular disponível ou por linha fixa quando não há cobertura móvel. Mas, do ponto de vista de segurança, é vulnerável à troca de SIM se estiver em um dispositivo móvel, ou a possível uso indevido se um telefone for compartilhado entre várias pessoas.

OTP por e-mail

OTP entregue por e-mail é um segundo fator viável. Ele perde pontos em usabilidade, pois exige que o usuário mude para o aplicativo de e-mail a partir do aplicativo no qual estava se autenticando e, então, memorize o código OTP ou o copie e cole no aplicativo de autenticação. Por causa dessas limitações, OTP baseado em e-mail é normalmente usado para redefinir senhas esquecidas, quando o usuário pode provar que é proprietário da conta de e-mail respondendo a um link com tempo limitado dentro do e-mail.

Do ponto de vista de segurança, o e-mail é tão seguro quanto as credenciais usadas para acessá-lo. Você nunca deve permitir que o e-mail seja o mecanismo de backup para vários fatores de MFA. Digamos, por exemplo, que você permita OTP por e-mail como fallback para uma senha esquecida, bem como opção de fallback para um dispositivo perdido, com o e-mail protegido por apenas um único fator. Nesse caso, você não teria uma autenticação verdadeiramente multifator, já que o invasor só precisa comprometer uma coisa (a conta de e-mail) para invadir a conta do usuário.

Algo que você é: fatores biométricos

Os fatores biométricos continuam populares porque podem combinar segurança robusta com baixo atrito, especialmente à medida que abordagens mais novas, como biometria de conhecimento zero, tornam possível adicionar autenticação biométrica com preservação de privacidade e reverificação em momentos críticos como login, step-up, aprovação de transação e recuperação de conta. Leitores de impressão digital agora são padrão em quase todos os smartphones e laptops. O Windows Hello oferece integração com dispositivos biométricos, enquanto dispositivos mais novos, como o iPhone X e o Microsoft Surface Book 2, oferecem recursos integrados de reconhecimento facial. Esses recursos fornecidos pela plataforma podem ser facilmente utilizados como parte de um fluxo de autenticação.

Segurança biométrica

A biometria pode oferecer alta garantia, mas as práticas recomendadas modernas de MFA dependem cada vez mais de como a verificação biométrica é implementada, protegida e combinada com sinais de dispositivo e contexto. A verificação por impressão digital pode ser altamente precisa, mas a questão mais importante hoje é se o fluxo biométrico consegue resistir a spoofing, comprometimento do dispositivo e ataques de apresentação em condições reais. A tecnologia de reconhecimento facial também avançou enormemente em precisão, mas as implementações modernas precisam considerar spoofing aprimorado por IA e personificação assistida por deepfake com forte detecção de prova de vida e controles de verificação de maior garantia.

No entanto, a biometria tem algumas fraquezas. Do ponto de vista de segurança, se a biometria estiver vinculada a um dispositivo, por exemplo, ela estará sujeita aos mesmos problemas de esquecimento do dispositivo que afetam um fator de posse. Armazenar a biometria em um servidor central elimina esse problema, mas é preciso ter cuidado com esse tipo de dado, pois ele é considerado informação de identificação pessoal (PII) em regulamentações como GDPR e CCPA. Muitas organizações estão explorando abordagens de preservação de privacidade, como biometria de conhecimento zero, na qual as informações biométricas nunca são armazenadas em uma forma recuperável ou reconstruível, a fim de atender ou superar os requisitos de conformidade regulatória. Nos Estados Unidos, Texas, Illinois e Washington aprovaram leis sobre a coleta e o compartilhamento de informações biométricas, e vários outros estados propuseram regulamentações semelhantes.

Usabilidade da biometria

Os problemas de usabilidade da biometria também variam amplamente, dependendo do caso de uso. Por exemplo, um leitor de impressão digital seria uma escolha ruim para verificar pacientes em uma clínica de gripe. Da mesma forma, o reconhecimento facial não é confiável se a iluminação não puder ser controlada. Um estudo de caixas eletrônicos equipados com reconhecimento facial constatou que a precisão caía drasticamente à tarde em máquinas voltadas para janelas com exposição oeste, porque o reflexo do sol poente nessas janelas eliminava completamente as imagens usadas pelo reconhecimento facial.

Biometria e o autenticador FIDO da plataforma

FIDO continua sendo uma das defesas mais fortes contra phishing porque os autenticadores são vinculados a domínios confiáveis e não podem ser facilmente reutilizados por meio de sites semelhantes ou proxies de phishing em tempo real.

Os autenticadores FIDO de plataforma agora estão integrados aos principais sistemas operacionais e dispositivos, o que reduziu significativamente o atrito de implantação e melhorou a acessibilidade. O usuário registra o autenticador FIDO em sites compatíveis com o padrão WebAuthn por meio do navegador. Quando o site solicita autenticação, o usuário se autentica no telefone da mesma forma de sempre: com PIN, impressão digital ou reconhecimento facial. Isso oferece uma poderosa combinação de segurança e facilidade de uso. A Apple oferece suporte ao uso de autenticadores FIDO externos (tokens FIDO físicos) para autenticação via WebAuthn em aplicativos baseados em navegador executados no Mac e no iPhone por Bluetooth Low Energy ou USB. Apple, Google e Microsoft agora oferecem suporte a experiências FIDO baseadas em plataforma que permitem aos usuários se autenticar com biometria integrada, como Face ID, Touch ID ou biometria nativa do dispositivo, em aplicativos e navegadores compatíveis. Isso permite que os usuários façam login em sites compatíveis com o padrão WebAuthn.

FIDO se tornou uma opção de autenticação amplamente prática e resistente a phishing, tanto para casos de uso da força de trabalho quanto de clientes, graças ao suporte mais amplo das plataformas e a experiências de usuário com menos atrito.

Como escolher os métodos de MFA certos

Escolher os mecanismos de MFA mais adequados para sua situação específica exige equilibrar segurança, usabilidade e custo. A tabela abaixo busca resumir os pontos fortes e fracos dos diferentes mecanismos de MFA.

Como o MFA adaptativo fortalece a segurança

Temos falado bastante sobre categorias de autenticação e os diferentes mecanismos dentro dessas categorias. O MFA moderno não se resume mais apenas à coleta de fatores no login; trata-se de aplicar o nível certo de confiança no momento certo. Ao combinar MFA com sinais de contexto, dispositivo, comportamento e transação, as organizações podem avançar para um modelo mais amplo de Verified Trust que adapta a autenticação ao risco de cada interação. A premissa é avaliar dinamicamente o risco de uma determinada operação com base em:

1. O status atual de autenticação do usuário
2. O risco associado ao recurso em questão
3. O contexto da solicitação

Isso nos permite oferecer melhor usabilidade e maior conveniência ao usuário, pulando fatores adicionais de autenticação quando o risco é baixo, por exemplo, quando um usuário está fazendo login em um dispositivo gerenciado a partir de um endereço IP usado com frequência, no mesmo horário do dia em que normalmente acessa o sistema.

O MFA adaptativo usa sinais contextuais para detectar quando o comportamento, a postura do dispositivo ou os detalhes da transação fogem do padrão e, então, eleva a verificação apenas quando a confiança diminui. Alguns exemplos incluem usuários fazendo login pela primeira vez a partir de um dispositivo não gerenciado, fazendo login em San Francisco uma hora depois de terem feito login em Paris, fazendo login a partir de um endereço IP com baixa reputação de IP ou tentando concluir uma transação acima de $100,000. Nesses momentos, as organizações podem elevar a garantia com verificações adicionais compatíveis com o risco, sem forçar todos os usuários a passar pelo mesmo nível de atrito.

Como mostrado na imagem abaixo, para receber acesso a algum recurso, um usuário se autentica com um fator como uma senha. No momento da autenticação, o sistema também coleta e verifica sinais de autenticação. Somente se essas verificações identificarem algo inesperado e anômalo o usuário será solicitado a se autenticar com o segundo fator antes de receber o acesso. E, se o risco for alto demais, sua política de autenticação poderá decidir não permitir o acesso de forma alguma ou permitir acesso apenas com privilégios reduzidos.

O MFA step-up baseado em risco é acionado por contexto ou comportamento atípico e anômalo. Somente quando o contexto coletado por meio do primeiro fator de autenticação indica algo inesperado é que um segundo fator de autenticação é solicitado antes que o acesso seja concedido.

As práticas recomendadas de MFA moderno se apoiam em mais do que apenas fatores estáticos, usando sinais contextuais e de risco para avaliar continuamente a confiança em um usuário, dispositivo e sessão.

Recomendações de práticas recomendadas para MFA moderno

Está claro que as organizações devem continuar evoluindo além das abordagens legadas e centradas em senha para MFA. No cenário atual de ameaças, o 2FA básico ainda é o mínimo, mas as práticas recomendadas de MFA moderno exigem cada vez mais autenticação resistente a phishing, políticas adaptativas e verificação mais forte quando o risco aumenta. Com base em nossa avaliação das tecnologias atuais e emergentes, bem como em discussões com clientes, parceiros e outras partes interessadas, fazemos as seguintes recomendações:

1. Priorize a autenticação resistente a phishing. À medida que ataques de phishing e personificação orientados por IA se tornam mais convincentes e escaláveis, as organizações devem ir além de estratégias dependentes de OTP e adotar autenticação baseada em FIDO, experiências com passkeys e autenticadores de plataforma sempre que possível.
2. Use autenticação biométrica quando ela melhorar de forma significativa tanto a garantia quanto a experiência do usuário, especialmente quando combinada com FIDO ou outros métodos resistentes a phishing. Abordagens que preservam a privacidade, como biometria de conhecimento zero, também podem ajudar as organizações a fortalecer fluxos de login, step-up, aprovação de transações e recuperação sem aumentar a dependência de segredos armazenados centralmente ou de dados biométricos reconstruíveis.
3. Ofereça várias opções de autenticação, mas nem todas as opções devem ter o mesmo nível de confiança. As estratégias de MFA mais fortes oferecem aos usuários caminhos flexíveis para acesso e recuperação, ao mesmo tempo que reservam métodos de maior garantia para interações de maior risco.
4. Garanta que os caminhos de recuperação não enfraqueçam a garantia. Se os usuários puderem redefinir ou recuperar vários fatores por meio do mesmo canal de baixa garantia, você efetivamente terá reduzido o MFA novamente a um único ponto de falha.
5. Considere cenários sem dispositivos móveis e de acesso limitado. Forneça opções de autenticação que continuem funcionando quando os usuários não tiverem acesso móvel confiável, não puderem receber mensagens ou estiverem operando em ambientes offline ou restritos.
6. Use políticas de MFA adaptativo para avaliar contexto, dispositivo, comportamento e risco de transação em tempo real. Isso leva a MFA em direção a um modelo mais amplo de Confiança Verificada, no qual as organizações reduzem o atrito desnecessário em atividades de baixo risco e elevam o nível de garantia apenas quando a confiança no usuário, no dispositivo ou na intenção muda.

A prevenção contra fraudes é mais do que apenas MFA

Descubra como preparar toda a sua estratégia de segurança para o futuro. Obtenha o Guia Definitivo de Prevenção contra Fraudes Online.

¹ Harvard Business Review, A IA aumentará a quantidade — e a qualidade — dos golpes de phishing

Na Ping Identity, tornamos possível confiar em cada momento digital entre clientes, colaboradores, parceiros e identidades não humanas. Quer você esteja protegendo milhões de usuários, combatendo fraudes, simplificando o acesso de terceiros ou adotando uma abordagem sem senhas, estabelecer confiança não deve atrasar você. Nossa plataforma de identidade de nível empresarial foi criada para escala, velocidade e flexibilidade, e funciona perfeitamente com seus ambientes de nuvem, híbridos e on-prem existentes. Ajudamos você a adotar com confiança a IA e a automação com Runtime Identity, para que possa verificar continuamente a identidade, o contexto e a intenção de cada agente de IA e controlar suas ações em tempo real. Com a Ping, todas as experiências digitais começam com confiança. Saiba mais em pingidentity.com.