MFA e passkeys: implantar autenticação resistente a phishing

Credenciais roubadas e obtidas por phishing continuam sendo a forma mais comum pela qual os atacantes conseguem sua primeira posição, e é por isso que a autenticação multifator se tornou um requisito básico. No entanto, nem toda MFA é igual: os códigos de uso único e as notificações push que a maioria das organizações implantou há uma década são cada vez mais derrotados por proxies de phishing, bombardeio de notificações e troca de SIM. A fronteira defensiva atual é a autenticação resistente a phishing baseada em criptografia de chave pública, entregue aos usuários como passkeys. Este artigo adota uma visão de endurecimento, de blue team, sobre a implantação de MFA e passkeys: como os mecanismos subjacentes diferem, por que alguns fatores resistem ao phishing e outros não, o que monitorar durante e após a implantação e como migrar uma base real de usuários sem trancar as pessoas do lado de fora nem deixar recursos de reserva fracos que desfazem em silêncio todo o esforço.

O que a MFA de fato lhe traz#

A autenticação multifator exige mais de uma categoria de prova: algo que se sabe, algo que se tem ou algo que se é. Seu valor é que um único segredo roubado, tipicamente uma senha, já não concede acesso por si só. Na prática, a MFA reduz drasticamente o sucesso das campanhas em massa de preenchimento de credenciais e de pulverização de senhas, porque o atacante que reproduz uma senha vazada é parado no segundo fator. Mas a MFA é um espectro, não uma caixa de seleção. Um fator só ajuda contra as ameaças para as quais foi projetado, e a fraqueza clássica da MFA inicial é que muitos segundos fatores podem eles próprios ser capturados ou retransmitidos por um atacante posicionado entre o usuário e o site real. Entender esse espectro é a diferença entre uma MFA que incomoda os criminosos e uma MFA que os detém.

Por que a resistência a phishing é o verdadeiro objetivo#

O phishing moderno de credenciais raramente pede à vítima uma senha em uma página falsa grosseira; ele executa um proxy reverso em tempo real posicionado entre o usuário e o serviço legítimo, retransmitindo cada campo, incluindo o código de uso único, e capturando o token de sessão resultante. Contra essa técnica de adversário no meio, os fatores de segredo compartilhado como códigos SMS, códigos de aplicativos autenticadores e até as simples aprovações push oferecem proteção limitada, porque tudo o que o usuário digita ou toca pode ser retransmitido. A autenticação resistente a phishing quebra isso ao vincular criptograficamente o login à origem exata do site, de modo que uma credencial apresentada a um domínio imitador simplesmente não funciona. Esse vínculo de origem, não a mera presença de um segundo fator, é o que derrota a técnica de phishing dominante em uso hoje.

Como funcionam as passkeys e o FIDO2#

As passkeys são uma forma amigável dos padrões FIDO2 e WebAuthn. Durante o registro, o dispositivo do usuário gera um par de chaves pública-privada para aquele site específico; a chave privada nunca deixa o autenticador, seja ele uma chave de segurança, um telefone ou o hardware seguro de um notebook, e apenas a chave pública é armazenada pelo serviço. No login, o site envia um desafio, o autenticador o assina com a chave privada após um gesto local do usuário como uma biometria ou um PIN, e o navegador garante que a assinatura está vinculada à origem real. Como não há segredo compartilhado para roubar por phishing, nem código para retransmitir, e a assinatura não vale nada em qualquer outro domínio, as passkeys são inerentemente resistentes a phishing. As passkeys sincronizadas fazem backup da chave entre os dispositivos de um usuário por conveniência, enquanto as chaves vinculadas ao dispositivo a mantêm em um único token de hardware para a maior garantia.

A superfície de ataque que permanece#

Adotar fatores fortes fecha a porta da frente, mas não todas as janelas, então mapeie o que permanece. A fraqueza mais comum após uma implantação de passkeys é o caminho de reserva: se um usuário ainda pode se autenticar com uma senha mais um código SMS quando a passkey está indisponível, um atacante simplesmente força essa rota mais fraca. A recuperação de conta torna-se o novo alvo mole, porque uma central de ajuda que redefine fatores em uma ligação telefônica reintroduz a engenharia social. Os tokens de sessão emitidos após um login forte ainda podem ser roubados por malware ou roubo de token, então a vida útil e o vínculo do token importam. E o próprio registro é um momento sensível: um atacante que registra o próprio autenticador durante a integração ganha acesso legítimo. Endurecer significa tratar a recuperação, a reserva e o registro como partes de primeira ordem do sistema de autenticação, não como acréscimos.

Sinais de detecção a observar#

A autenticação é rica em telemetria se você a coletar. Observe solicitações repetidas de MFA a um único usuário em uma janela curta, a assinatura do bombardeio de notificações, e alerte quando um usuário finalmente aprova após muitas recusas. Monitore os eventos de registro de fatores, em especial um novo autenticador adicionado pouco antes de atividade sensível, e sinalize registros de dispositivos ou locais desconhecidos. Rastreie o uso da reserva: um aumento súbito de logins com senha mais SMS em usuários que normalmente usam passkeys sugere ou uma interrupção ou um ataque que direciona vítimas ao caminho fraco. Observe logins de viagem impossível e de dispositivo novo, tokens de sessão usados de um endereço diferente daquele onde foram emitidos e redefinições iniciadas pela central de ajuda correlacionadas com acesso suspeito posterior. Alimente tudo isso em um SIEM com alertas, porque o valor da autenticação forte se multiplica quando você consegue ver as tentativas de contorná-la.

Implantar sem trancar os usuários do lado de fora#

Uma implantação bem-sucedida é em fases e medida. Comece habilitando as passkeys junto aos fatores existentes para que os usuários se registrem voluntariamente, priorizando primeiro os administradores e outras contas de alto valor. Comunique com clareza, ofereça um fluxo de registro simples e exija pelo menos dois autenticadores por usuário para que perder um dispositivo seja incômodo em vez de catastrófico. À medida que a adoção cresce, restrinja ou remova progressivamente os fatores fracos, começando por desativar o SMS para os papéis privilegiados. É crucial redesenhar a recuperação de conta para que seja tão forte quanto o caminho principal, usando chaves de segurança de reserva pré-registradas ou um processo de recuperação verificado e de alta garantia em vez de uma ligação para a central de ajuda. Meça a cobertura de registro e o uso da reserva continuamente, e só aposente os fatores antigos quando os fortes estiverem comprovados e a recuperação for sólida.

Armadilhas comuns#

O erro clássico é implantar autenticação forte enquanto se deixa uma reserva fraca habilitada permanentemente, o que significa que o ambiente só é tão seguro quanto sua opção mais mole. Outro é negligenciar a recuperação, de modo que um login endurecido fica atrás de uma central de ajuda que redefinirá qualquer coisa para quem ligar soando convincente. As equipes às vezes registram uma única passkey por usuário e depois enfrentam bloqueios em massa quando os dispositivos são perdidos ou substituídos. Confiar em aprovações push sem correspondência de números convida à fadiga por bombardeio de notificações. E tratar o registro como de baixo risco permite que os atacantes se autorregistrem durante a integração. Cada armadilha compartilha um tema: a força da autenticação é definida pelo seu caminho alcançável mais fraco, então toda rota alternativa deve ser endurecida ao mesmo nível que a principal.

Lista de verificação de endurecimento#

Priorize passkeys resistentes a phishing ou chaves de segurança primeiro para administradores e outras contas de alto valor. Exija pelo menos dois autenticadores por usuário para evitar o bloqueio por dispositivo único. Imponha a correspondência de números e o contexto em qualquer fator push ainda em uso, e remova o SMS para os papéis privilegiados. Redesenhe a recuperação de conta para igualar a força do login principal, usando chaves de reserva pré-registradas ou verificação de alta garantia em vez de redefinições da central de ajuda. Proteja o registro com identidade verificada e monitoramento. Encurte a vida útil das sessões e vincule os tokens onde for possível. Registre e alerte sobre bombardeio de notificações, registro de novos autenticadores, picos de uso da reserva, viagem impossível e redefinições da central de ajuda. Meça a cobertura de passkeys e leve o uso de fatores fracos em direção a zero. Por fim, teste cenários de recuperação e bloqueio para que a rede de segurança funcione antes que um usuário real precise dela.

FAQ: As passkeys são seguras se meu telefone for perdido ou roubado?#

Sim, quando configuradas corretamente. Uma passkey é protegida por um gesto local como uma biometria ou um PIN do dispositivo, de modo que um ladrão com o dispositivo físico não pode usá-la sem esse desbloqueio. As passkeys sincronizadas têm backup pela conta da plataforma para que você possa restaurar o acesso em um dispositivo novo, enquanto as chaves vinculadas ao dispositivo exigem ter um segundo autenticador registrado, que é exatamente por que registrar pelo menos dois é uma regra e não uma sugestão. Perder um telefone deveria ser um incômodo resolvido pelo seu autenticador de reserva ou pela recuperação verificada, nunca um bloqueio e nunca uma abertura para um atacante.

FAQ: Ainda precisamos de senhas depois das passkeys?#

O objetivo é reduzir a dependência de senhas até que elas não mais barrem o acesso a nada sensível. Durante a migração, as senhas muitas vezes permanecem como uma opção enquanto os usuários se registram, mas a direção é tornar a passkey o fator primário e, com o tempo, o único fator interativo, removendo a senha ou reduzindo-a a um elemento de recuperação raramente usado e bem protegido. O que você deve evitar é manter um caminho de senha mais código fraco disponível permanentemente, porque isso desfaz a resistência a phishing que você implantou passkeys para obter.

Conclusão#

A MFA conquistou seu lugar ao neutralizar senhas roubadas, mas os atacantes se adaptaram, e os proxies de phishing agora derrotam os fatores de segredo compartilhado nos quais muitas organizações ainda confiam. A resposta duradoura é a autenticação resistente a phishing entregue como passkeys, cujo vínculo criptográfico com a origem real do site remove justamente o segredo do qual o phishing depende. A implantação é onde vive a maior parte do risco: aposente os recursos de reserva fracos de forma deliberada, torne a recuperação e o registro tão fortes quanto o próprio login, exija mais de um autenticador e vigie a telemetria em busca de tentativas de direcionar os usuários para o caminho mole. Faça isso, e a autenticação deixa de ser a porta mais fácil do atacante e se torna uma de suas paredes mais fortes.