A Autenticação em Dois Fatores (2FA) mais segura atualmente é a realizada por meio de Chaves de Segurança Físicas e Passkeys (baseadas no padrão FIDO2), sendo os únicos métodos considerados verdadeiramente resistentes a ataques de phishing. Em uma escala de segurança, as Chaves ocupam o topo, seguidas pelos Aplicativos Autenticadores (como Google Authenticator), que oferecem proteção intermediária. O envio de códigos via SMS é considerado o método mais frágil e obsoleto, vulnerável a clonagens de chip e interceptações.
Principais Aprendizados
- O fim do SMS: Órgãos reguladores já classificam o SMS como um método "restrito" e inseguro para proteger dados sensíveis e contas financeiras.
- Apps sob ataque: Aplicativos autenticadores são melhores que o SMS, mas estão sendo burlados por golpes de fadiga (bombardeio de notificações) e roubo de sessão.
- O padrão-ouro: Chaves físicas (hardware) e Passkeys bloqueiam mais de 99% dos ataques baseados em identidade, mesmo que o invasor saiba a senha correta.
A Ilusão da Segurança: Por Que Nem Todo 2FA É Igual?
Durante anos, a regra básica da segurança digital era que "qualquer duplo fator é melhor do que nenhum". No entanto, o cenário de ameaças evoluiu rapidamente. Cibercriminosos automatizaram técnicas para burlar métodos tradicionais de verificação, o que forçou a indústria a estabelecer uma distinção rigorosa entre mecanismos vulneráveis a phishing (como SMS e Apps) e aqueles resistentes a phishing (Chaves e Passkeys).
SMS: O Método Obsoleto e de Alto Risco
O uso de mensagens de texto (SMS) para verificação de identidade tornou-se o elo mais fraco da segurança digital. A principal ameaça a esse método é o SIM Swapping (clonagem de chip), onde criminosos transferem o número da vítima para um novo chip e passam a receber todos os códigos de autenticação.
O impacto financeiro dessa fragilidade é expressivo. Dados do relatório anual do FBI (IC3) de 2024 registraram perdas diretas relatadas de quase US$ 26 milhões nos EUA apenas com queixas de SIM Swap. Diante desse cenário, em julho de 2025, o Instituto Nacional de Padrões e Tecnologia dos EUA (NIST) publicou a diretriz SP 800-63B-4, classificando formalmente o envio de códigos via SMS como um autenticador "restrito", orientando empresas a migrarem para alternativas mais seguras.
Para proteger contas bancárias e evitar cair no golpe do Pix, a recomendação técnica é desativar o SMS como opção de recuperação de senha sempre que possível.
Aplicativos Autenticadores: Melhoria Intermediária, mas Visada
Aplicativos como Google Authenticator, Microsoft Authenticator e Authy operam gerando códigos temporários (TOTP - Time-based One-Time Password) ou enviando notificações de aprovação (Push). Eles superam o SMS por não dependerem da rede de telefonia celular, mas ainda apresentam vulnerabilidades críticas contra ataques modernos.
O Verizon Data Breach Investigations Report (DBIR) 2025 revelou que os métodos tradicionais de MFA estão falhando contra ataques direcionados. O relatório aponta que 31% dos ataques bem-sucedidos de bypass de MFA utilizaram o roubo de token (sequestro de cookies de sessão), e 22% empregaram o MFA Fatigue (fadiga de MFA).
O Que É MFA Fatigue e Roubo de Sessão?
- MFA Fatigue (Fadiga de MFA): O invasor, já de posse da senha da vítima, envia dezenas de solicitações de aprovação (Push) para o celular, geralmente de madrugada. O objetivo é irritar o usuário até que ele clique em "Aprovar" por engano ou para cessar as notificações.
- Roubo de Sessão (AiTM): Usando técnicas sofisticadas de phishing, o invasor cria uma página falsa idêntica à original. Quando a vítima digita a senha e o código do App, o servidor malicioso repassa as informações para o site legítimo, captura o cookie da sessão aprovada e assume o controle da conta.
Chaves Físicas e Passkeys: O Padrão-Ouro Resistente a Phishing
O consenso atual da área de segurança aponta que a única defesa robusta contra o cenário moderno de ameaças é a adoção de métodos baseados no padrão FIDO2/WebAuthn. A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) reconhece oficialmente apenas a autenticação FIDO2 (Chaves físicas e Passkeys) e o uso de Smart cards como métodos "resistentes a phishing".
Como Funcionam as Chaves de Hardware?
Dispositivos físicos (como YubiKey ou Google Titan) utilizam criptografia assimétrica e um conceito chamado domain binding (vinculação de domínio). Isso significa que a chave só libera a credencial se o domínio do site for matematicamente comprovado como autêntico. Se o usuário for atraído para um site falso, a chave simplesmente não responde, frustrando o ataque na origem.
A eficácia desse modelo é comprovada: o Microsoft Digital Defense Report 2025 atesta que o MFA resistente a phishing (Chaves/FIDO2) bloqueia mais de 99% dos ataques baseados em identidade.
A Ascensão das Passkeys
As passkeys são a evolução prática das chaves físicas. Elas implementam o mesmo padrão FIDO2, mas em formato de software, armazenando a credencial criptográfica de forma segura no dispositivo do usuário (smartphone ou computador) e utilizando a biometria para autorizar o login.
A adoção está em ritmo acelerado. Segundo a FIDO Alliance (2025), 48% dos 100 principais sites globais já oferecem suporte a essa tecnologia, sinalizando o início do fim das senhas tradicionais.
Perguntas Frequentes
1. Digitar o número que aparece na tela do App (Number Matching) é resistente a phishing?
Não. Embora o number matching seja excelente para impedir ataques de fadiga de MFA (MFA Fatigue), a CISA esclarece que ele não possui vinculação criptográfica de domínio. Portanto, proxies maliciosos (AiTM) ainda conseguem interceptar a sessão após a aprovação.
2. Devo parar de usar Apps como o Google Authenticator?
Não imediatamente. Os aplicativos autenticadores ainda oferecem uma camada de proteção significativamente superior ao SMS e às senhas isoladas. A recomendação é continuar utilizando-os enquanto os serviços não oferecerem suporte nativo a Passkeys ou Chaves Físicas.
3. O que acontece se eu perder minha Chave Física?
A recomendação técnica para quem utiliza chaves de hardware é sempre registrar pelo menos duas chaves na mesma conta: uma para uso diário e outra guardada em local seguro como backup. Caso ambas sejam perdidas, o processo de recuperação dependerá das políticas de cada serviço (como o uso de códigos de backup impressos).
Fontes
- CISA (Cybersecurity and Infrastructure Security Agency) - Fact Sheet: Implementing Phishing-Resistant MFA
- NIST SP 800-63B-4 (via IDlayr)
- FBI Internet Crime Complaint Center (IC3) 2024 Report (via Efani)
- Verizon Data Breach Investigations Report (DBIR) 2025 (via Descope)
- Microsoft Digital Defense Report 2025 (via Swif.ai)
0 Comentários