Muita empresa trata a autenticação multifator (MFA) como linha de chegada: "ativamos o código por SMS, estamos protegidos". Atacantes sabem disso, e hoje a pergunta não é se dá para contornar o MFA, mas qual tipo de MFA você usa e quanto custa para o invasor passar por ele.
Por que o MFA tradicional já não basta
O MFA continua sendo um dos controles mais eficazes contra vazamento de senha. Mas ele só resolve um problema: o invasor ter a senha. Se o atacante consegue enganar o usuário durante o login, o segundo fator vira só mais uma etapa que a vítima completa sozinha.
Por isso, ao avaliar sua exposição, separe dois grupos de MFA:
- MFA que pode ser repassado: SMS, código de 6 dígitos (TOTP) e notificação "aprovar/negar" no celular. O usuário digita ou aprova, e o atacante aproveita.
- MFA resistente a phishing: chaves de segurança FIDO2 e passkeys. A credencial fica atrelada ao domínio real do site, então não funciona em uma página falsa.
As quatro técnicas mais usadas para burlar MFA
- Adversary-in-the-Middle (AiTM): o atacante sobe um proxy reverso que repassa tudo entre a vítima e o login verdadeiro. A vítima vê a página real, digita senha e código, e o proxy captura o cookie de sessão já autenticado. Com o cookie, o invasor entra sem precisar de senha nem de código.
- MFA fatigue (bombardeio de notificações): com a senha vazada, o atacante dispara dezenas de pedidos de aprovação até o usuário, cansado ou de madrugada, tocar em "Aprovar" só para parar o alerta.
- SIM swap e interceptação de SMS: o golpista convence a operadora a transferir o número da vítima e passa a receber os códigos. Funciona contra qualquer fluxo que dependa de SMS para recuperar conta.
- Roubo de token e de sessão: malware infostealer no notebook do funcionário copia cookies e tokens do navegador. A sessão já estava autenticada, então o MFA nunca é perguntado de novo.
Repare no padrão: em três das quatro, o atacante não "quebra" o MFA. Ele contorna o fluxo ou rouba o resultado dele.
Onde isso aparece no dia a dia da empresa
Um caso comum: o financeiro recebe um e-mail "da Microsoft" pedindo revalidação da conta. O link leva a uma página idêntica ao login corporativo. O funcionário informa senha e aprova o código. Em minutos, o atacante lê a caixa de e-mail, cria uma regra de encaminhamento oculta e prepara uma fraude de troca de dados bancários em cima de uma conversa real com um fornecedor.
Esse tipo de ataque costuma começar com engenharia social. Se quiser entender a etapa anterior, leia Engenharia Social: Como Atacantes Enganam Funcionários. E quando o golpe envolve voz falsa pedindo aprovação urgente, o cenário está em Deepfake de Voz: Como Golpistas Estão Clonando CEOs.
O mesmo vale para acesso remoto. VPN e RDP com MFA fraco ou sem MFA seguem entre as portas de entrada mais usadas, como mostramos em VPN e RDP Expostos.
Como reduzir o risco, em ordem de impacto
- Troque SMS e aprovação simples por FIDO2/passkeys nas contas de maior risco: administradores, financeiro, diretoria, acesso remoto e painéis de nuvem.
- Ative "number matching" nas notificações push. O usuário precisa digitar o número exibido na tela de login, o que derruba o ataque de fadiga.
- Reduza a vida útil das sessões e use acesso condicional: bloqueie logins de dispositivos não gerenciados e de países que sua empresa não opera.
- Monitore login anômalo: mesmo usuário em dois países em minutos, novo dispositivo logo após reset de senha, regra de encaminhamento criada fora do horário.
- Proteja o domínio de e-mail com SPF, DKIM e DMARC para dificultar o primeiro passo do golpe. O passo a passo está em SPF, DKIM e DMARC.
- Revise o fluxo de recuperação de conta. De pouco adianta um MFA forte se o "esqueci minha senha" cai num SMS ou numa pergunta secreta.
Como testar se o seu MFA aguenta um ataque real
Ter MFA ativado é um fato. Saber se ele resiste é outra coisa. Um teste de verdade avalia:
- se o login aceita fatores repassáveis (SMS, TOTP, push sem number matching) em contas privilegiadas;
- se o fluxo de recuperação e de cadastro de novo dispositivo pode ser abusado;
- se uma sessão roubada continua válida depois de trocar a senha;
- se a equipe de monitoramento percebe um login AiTM simulado.
Esse último ponto é o mais revelador. Em exercícios de Red Team, simulamos o ciclo completo: e-mail de phishing, captura de sessão e movimentação interna, e medimos em quanto tempo sua equipe detecta. Já os portais de login, SSO e APIs da sua aplicação entram no escopo do Pentest Web. Para entender qual formato faz sentido para você, veja Red Team vs Pentest.
Fale com a LDL Security sobre um teste de resistência do seu MFA →