Afinal, o que é o MFA (Autenticação Multifator)? Já ativou?

A palavra-passe já não é suficiente para proteger as nossas contas. Mesmo que seja forte e complexa, pode ser descoberta, roubada através de uma campanha de phishing ou ficar exposta numa fuga de dados. É precisamente aqui que entra o MFA - Autenticação Multifator.

MFA significa Multi-Factor Authentication, ou Autenticação Multifator. É um mecanismo de segurança que exige dois ou mais fatores diferentes para confirmar a identidade de um utilizador antes de permitir o acesso a uma conta ou serviço.

Na prática, mesmo que alguém consiga descobrir a nossa palavra-passe, terá ainda de ultrapassar uma segunda barreira de segurança.

Por exemplo, ao iniciar sessão numa conta, podemos ter de introduzir:

• A palavra-passe;
• Um código temporário recebido numa aplicação;
• Uma impressão digital ou reconhecimento facial;
• Uma chave de segurança física;
• Um código enviado por SMS.

A grande vantagem é simples: a palavra-passe deixa de ser o único elemento que protege a conta.

Quais são os fatores de autenticação?

Os mecanismos de autenticação multifator podem ser divididos em diferentes categorias.

• Algo que sabemos
• Algo que temos
• Algo que somos

Algo que sabemos

É uma informação que apenas o utilizador deveria conhecer. O exemplo mais comum é a palavra-passe, mas também podem ser utilizados PIN ou respostas a determinadas perguntas.

Algo que temos

É um dispositivo ou objeto que está na posse do utilizador. Pode ser, por exemplo:

• Um smartphone;
• Uma aplicação que gera códigos de autenticação;
• Uma chave de segurança;
• Um cartão inteligente.

Os códigos temporários gerados por aplicações como o Microsoft Authenticator, Google Authenticator ou outras soluções enquadram-se nesta categoria.

Algo que somos

É uma característica física ou biométrica do utilizador. Entre os exemplos mais conhecidos estão:

• Impressão digital;
• Reconhecimento facial;
• Reconhecimento da íris.

Para ser considerado multifator, o sistema deve combinar fatores de categorias diferentes. Por exemplo, uma palavra-passe + um código gerado por uma aplicação.

MFA não é apenas receber um código por SMS

Embora os códigos enviados por SMS sejam frequentemente utilizados como segundo fator, não são a solução mais robusta disponível.

Existem métodos mais seguros, como as aplicações que geram códigos, as chaves de segurança físicas e, cada vez mais, as passkeys, que permitem utilizar mecanismos criptográficos associados ao dispositivo do utilizador.

Isto não significa que o SMS seja inútil. Ativar MFA por SMS é, em geral, melhor do que não ter qualquer segundo fator. No entanto, quando existem alternativas mais seguras, é preferível utilizá-las.

E se roubarem a minha palavra-passe?

É precisamente neste cenário que o MFA pode fazer a diferença.

Imagine que recebe uma mensagem falsa a pedir-lhe para iniciar sessão numa determinada plataforma. Sem perceber que se trata de phishing, introduz o seu endereço de email e palavra-passe.

O atacante passa a ter essas credenciais. Se a conta não tiver MFA, poderá conseguir entrar diretamente.

Com MFA ativado, será necessária uma segunda forma de autenticação. Dependendo do método utilizado, o atacante poderá não conseguir ultrapassar essa proteção.

É por isso que o MFA é considerado uma das medidas mais eficazes para reduzir o risco associado ao roubo de credenciais.

Deve ativar o MFA?

Sim. Sempre que estiver disponível, deve ativar a autenticação multifator.

Comece pelas contas mais importantes:

• Email - é frequentemente a chave para recuperar outras contas.
• Conta bancária e serviços financeiros.
• Contas de trabalho.
• Redes sociais.
• Serviços de armazenamento na cloud.
• Contas de compras e outros serviços online.

MFA também pode ser atacado

É importante perceber que MFA não significa segurança absoluta.

Existem ataques concebidos especificamente para contornar mecanismos de autenticação multifator. Um exemplo são os ataques de MFA fatigue, em que o atacante envia repetidamente pedidos de autenticação para o telemóvel da vítima até esta, por engano ou cansaço, aceitar um deles.

Também existem campanhas de phishing capazes de tentar roubar não apenas a palavra-passe, mas também os elementos utilizados durante o processo de autenticação.

Por isso, nunca devemos aprovar uma notificação de autenticação que não tenhamos iniciado.

Se receber um pedido de autenticação inesperado, deve recusá-lo e, se possível, alterar a palavra-passe e verificar a atividade da conta.

Já tem ativado Autenticação Multifator nas suas contas mais importantes?