Nós já falamos aqui no blog sobre como a autenticação prova quem você é e como o SSO (Single Sign-On) centraliza esse processo para facilitar a sua vida. Mas existe um problema grave na internet hoje: as senhas vazam.

Não importa se a sua senha tem letras maiúsculas, números e símbolos especiais. Se você for vítima de um ataque de phishing (aquelas páginas falsas idênticas às originais) ou se um serviço que você usa for hackeado, a sua senha complexa cai nas mãos erradas da mesma forma que uma senha simples.

É exatamente para resolver essa falha que existe o MFA (Multi-Factor Authentication), ou Autenticação de Múltiplos Fatores.

O que é o MFA?

O MFA é um mecanismo de segurança que exige que você apresente duas ou mais provas de identidade antes de liberar o seu acesso a um sistema, aplicativo ou rede corporativa.

O objetivo é simples: criar uma segunda camada de defesa. Assim, mesmo que um cibercriminoso descubra a sua senha, ele não conseguirá entrar na sua conta porque faltará a segunda peça do quebra-cabeça.

Os 3 Fatores de Autenticação

Em segurança da informação, dividimos as formas de provar quem você é em três categorias principais (os famosos “fatores”). Para o MFA funcionar, você deve combinar pelo menos dois fatores de categorias diferentes.

1. Algo que você sabe (Conhecimento)

É a informação que está guardada na sua cabeça.

• Exemplos: Sua senha, o PIN do seu celular ou as respostas de perguntas de segurança.

2. Algo que você tem (Posse)

É um objeto físico ou um dispositivo sob o seu controle.

• Exemplos: Seu smartphone (que recebe um token no Google Authenticator/Microsoft Authenticator), um token físico (como um YubiKey) ou um crachá da empresa.

3. Algo que você é (Inerência / Biometria)

São as suas características físicas e únicas.

• Exemplos: Impressão digital, reconhecimento facial (Face ID) ou até mesmo o reconhecimento da sua íris e voz.

A analogia da Final da Copa do Mundo

Já que estamos em clima de Copa, imagine que você vai assistir à grande final na área VIP do estádio. Em um sistema sem MFA, o estádio não tem catraca, apenas um segurança na porta. Se o invasor apresentar o seu igresso, o segurança abre a porta e o invasor acessa o estádio no seu lugar.

Com o MFA, a segurança do estádio está mais refinada. Para passar pela catraca e entrar na área VIP, o sistema exige duas provas:

1. O ingresso nominal validado no aplicativo do seu celular (Algo que você tem).
2. A leitura do seu rosto no sistema de reconhecimento facial da catraca (Algo que você é).

Se um invasor roubar o seu celular com o ingresso, ele será barrado na catraca pelo reconhecimento facial. É a combinação dos dois fatores que aumenta a segurança e garante que apenas o verdadeiro dono do ingresso acesse o estádio. O MFA faz exatamente a mesma coisa.

Por que o MFA é indispensável em IAM?

No mundo de Identity and Access Management (IAM), implementar o MFA não é mais um “luxo”, é a regra básica do jogo. E os motivos são claros:

• Bloqueio de ataques automatizados: Segundo dados da Microsoft, usar MFA bloqueia mais de 99,9% dos ataques de comprometimento de contas. Hackers usam robôs para testar milhares de senhas vazadas por segundo. O MFA corta o ataque pela raiz.
• Trabalho Remoto Seguro: Com as pessoas acessando sistemas corporativos de casa, o MFA garante que, mesmo que a senha seja roubada em um Wi-Fi de padaria, a rede da empresa continua protegida pelo aplicativo aprovador no celular do funcionário.

Conclusão

A senha sozinha hoje em dia é como um time que vai para campo sem zagueiro. O MFA entra como o capitão da defesa nas suas contas digitais: ele não se contenta apenas com a “senha secreta”, ele exige ver suas credenciais físicas ou biométricas.

Se você trabalha com infraestrutura ou desenvolvimento, torne o MFA obrigatório nas suas aplicações. E na sua vida pessoal, ative-o em tudo o que for possível: e-mail, redes sociais e, principalmente, no seu WhatsApp e contas bancárias.