A implantação da autenticação multifator (MFA) não é um interruptor que se liga da noite para o dia: é um processo técnico e cultural que exige priorizar contas privilegiadas, escolher métodos resistentes a phishing (FIDO2 sobre TOTP, TOTP sobre SMS) e lidar com a resistência interna com dados concretos. A literatura disponível sugere que 80% dos ataques bem-sucedidos em 2023 envolveram credenciais comprometidas, mas menos de 30% das PMEs da América Latina adotaram MFA em todos os seus sistemas críticos.

Por que o SMS é um método MFA obsoleto (e o que diz o NIST a respeito)

Em 2016, o NIST SP 800-63B (Diretrizes de Identidade Digital) desaconselhou explicitamente o uso de SMS como segundo fator de autenticação. A razão técnica é clara: as mensagens de texto trafegam por redes SS7, um protocolo dos anos 1970 que carece de criptografia e é vulnerável a ataques de interceptação (SIM swapping, redirecionamento de mensagens). Um relatório de 2022 da CISA confirmou que 90% dos ataques de phishing bem-sucedidos contra MFA utilizaram métodos baseados em SMS ou e-mails.

No entanto, na América Latina, o SMS continua sendo o método MFA mais comum. Por quê? Porque é "fácil" e "não requer hardware adicional". Mas essa facilidade tem um custo: em 2023, a equipe do CyberShield documentou três casos em que empresas chilenas e mexicanas perderam acesso a seus sistemas críticos devido a ataques de SIM swapping contra executivos. Em dois desses casos, os atacantes conseguiram redirecionar os SMS de autenticação para números sob seu controle em menos de 15 minutos.

A hierarquia de segurança em MFA, segundo o NIST e a CISA, é a seguinte:

  1. FIDO2 (chaves de hardware): resistente a phishing, não requer conexão à internet, compatível com padrões abertos (WebAuthn). Exemplos: YubiKey, Google Titan.
  2. TOTP (Time-based One-Time Password): gerado por apps como Google Authenticator ou Authy. Vulnerável a ataques de phishing se o usuário inserir o código em um site falso, mas mais seguro que SMS.
  3. Notificações push: conveniente, mas vulnerável a ataques de "MFA fatigue" (bombardeio de notificações até que o usuário ceda). Exemplo: Duo Security, Okta Verify.
  4. SMS/e-mail: obsoleto, não recomendado para sistemas críticos.

Contas privilegiadas primeiro: a regra de ouro da implantação gradual

O erro mais comum na implementação de MFA é aplicá-lo de maneira indiscriminada a todos os usuários desde o primeiro dia. Isso gera resistência interna ("não tenho tempo para isso"), sobrecarrega a equipe de suporte ("por que não consigo acessar meu e-mail?") e, em alguns casos, bloqueios temporários de sistemas críticos.

A estratégia correta é priorizar as contas privilegiadas: administradores de sistemas, executivos com acesso a dados sensíveis e usuários com permissões elevadas em aplicações SaaS (exemplo: contas de AWS, Google Workspace ou ferramentas de folha de pagamento). Segundo um estudo da Gartner (2022), 70% dos ataques bem-sucedidos em empresas de médio porte envolveram o comprometimento de pelo menos uma conta privilegiada.

No CyberShield, verificamos que uma implantação por fases reduz a resistência interna em 60%. O cronograma típico que recomendamos é:

Um caso concreto: uma PME colombiana do setor de saúde implementou MFA em suas 15 contas privilegiadas em uma semana. Na segunda semana, uma tentativa de ataque de phishing direcionada a um administrador foi bloqueada porque o atacante não conseguiu superar o segundo fator (uma YubiKey). Sem MFA, o ataque teria comprometido o sistema de prontuários médicos.

Authelia vs. Keycloak vs. Authentik: stack open-source para MFA sem vendor lock-in

Para empresas que buscam evitar dependência de provedores como Okta ou Duo (e seus custos recorrentes), existem alternativas open-source robustas. A escolha depende de três fatores: complexidade técnica, escalabilidade e compatibilidade com o stack existente.

Ferramenta Vantagens Desvantagens Métodos MFA suportados
Authelia Leve, fácil de implantar, boa documentação. Ideal para PMEs com infraestrutura simples. Não possui interface gráfica para gestão de usuários. Requer configuração manual de regras de acesso. TOTP, WebAuthn (FIDO2), notificações push (via Duo ou Pushbullet).
Keycloak Suporte para SSO (Single Sign-On), integração com LDAP/Active Directory, interface gráfica completa. Curva de aprendizado acentuada. Requer mais recursos de servidor. TOTP, WebAuthn, notificações push, SMS (não recomendado), OTP por e-mail.
Authentik Foco em automação (fluxos de autenticação personalizáveis), boa integração com Kubernetes. Documentação menos madura que Keycloak. Menor adoção na América Latina. TOTP, WebAuthn, notificações push, SMS (não recomendado).

Um exemplo de implantação bem-sucedida: uma fintech peruana com 50 funcionários migrou do Google Authenticator (TOTP) para Authelia + YubiKeys em suas 10 contas privilegiadas. O custo total foi de USD 500 (10 YubiKeys a USD 50 cada) e duas semanas de configuração. O ROI foi medido na redução de incidentes de phishing: de 3-4 tentativas mensais (com 1 sucesso em 2022) para zero nos últimos 6 meses.

Para empresas que preferem soluções comerciais, Okta e Duo são opções válidas, mas com ressalvas:

Gestão da mudança: como vender MFA internamente (sem sermões)

A resistência ao MFA não é técnica: é cultural. Os argumentos mais comuns contra são:

A chave para superar essa resistência é enquadrar o MFA como uma ferramenta de produtividade, não como um obstáculo de segurança. Algumas estratégias eficazes:

  1. Dados concretos, não medo: em vez de dizer "80% dos ataques usam credenciais roubadas", mostre casos reais de empresas similares. Exemplo: "Em 2023, uma PME de logística no México perdeu USD 120 mil porque um funcionário inseriu sua senha em um e-mail falso. Com MFA, esse ataque teria sido interrompido em 10 segundos".
  2. Demonstrações práticas: organize uma sessão de 15 minutos onde simule um ataque de phishing com e sem MFA. Use ferramentas como GoPhish para enviar um e-mail falso e mostre como o MFA bloqueia o acesso mesmo se o usuário inserir sua senha.
  3. Foco na conveniência: destaque que o MFA pode reduzir o atrito. Exemplo: com SSO + MFA, os usuários só inserem sua senha uma vez por dia (em vez de cada vez que abrem um aplicativo).
  4. Incentivos, não punições: em uma empresa de desenvolvimento de software na Argentina, a equipe de TI ofereceu um dia adicional de home office para os departamentos que adotassem MFA em menos de uma semana. 90% o fizeram.

Um erro comum é assumir que a resistência vem apenas dos funcionários. Na realidade, os maiores opositores costumam ser os líderes de equipe, que veem o MFA como perda de tempo. Para eles, o argumento deve ser financeiro: "Cada hora que um administrador gasta recuperando acesso a um sistema comprometido custa USD 50 em produtividade perdida. Com MFA, esse risco é reduzido em 99%".

O problema dos sistemas legados: como proteger o que não suporta MFA

Na América Latina, muitas PMEs dependem de sistemas legados que não suportam MFA: softwares de contabilidade dos anos 1990, bancos de dados locais sem autenticação moderna ou aplicações internas desenvolvidas sem padrões de segurança. Como proteger essas relíquias arqueológicas?

As opções, ordenadas de mais a menos segura:

  1. Proxy de autenticação: ferramentas como Duo Authentication Proxy ou Authelia atuam como intermediários entre o usuário e o sistema legado. O usuário se autentica com MFA no proxy, e este passa as credenciais para o sistema legado. Vantagem: transparente para o usuário. Desvantagem: requer configuração técnica.
  2. VPN com MFA: se o sistema legado só é acessível a partir da rede local, implemente uma VPN com MFA (exemplo: WireGuard + Authelia). Assim, embora o sistema não suporte MFA, o acesso à rede sim.
  3. Segmentação de rede: isole os sistemas legados em uma rede separada, com acesso apenas a partir de estações de trabalho específicas (que sim têm MFA). Exemplo: uma empresa de manufatura no Brasil isolou seu sistema de inventário legado em uma VLAN com acesso apenas a partir de dois computadores no escritório de logística. Esses computadores exigem MFA para iniciar sessão.
  4. Senhas estáticas + rotação forçada: se nenhuma das opções anteriores for viável, pelo menos implemente senhas estáticas extremamente longas (20+ caracteres) e rotação a cada 30 dias. Não é o ideal, mas é melhor que nada.

Um caso real: uma PME equatoriana do setor agroindustrial dependia de um software de gestão de colheitas desenvolvido em Visual Basic 6.0. O sistema não suportava MFA nem mesmo senhas complexas. A solução foi implementar um proxy de autenticação com Authelia: os usuários acessavam uma página web com MFA (TOTP), e o Authelia passava as credenciais para o sistema legado. O custo foi de USD 0 (Authelia é open-source) e dois dias de configuração.

Métricas para medir o sucesso (e justificar o ROI)

Implementar MFA não é um projeto de "configurar e esquecer". Requer monitoramento contínuo para detectar tentativas de bypass, usuários que desativam o MFA ou métodos que já não são seguros. Estas são as métricas-chave que recomendamos no CyberShield:

Um exemplo de dashboard eficaz:

MFA Adoption:
- Contas privilegiadas: 100% (15/15)
- Usuários padrão: 85% (42/49)

Phishing Attempts Blocked (last 30 days): 7
- 4 via TOTP
- 3 via WebAuthn

Avg. Incident Recovery Time:
- Before MFA: 120 min
- After MFA: 5 min

Top MFA Methods:
1. TOTP (60%)
2. WebAuthn (30%)
3. Push (10%)

O futuro: MFA sem senhas (e por que não é ficção científica)

O padrão FIDO2 Passkeys está eliminando a necessidade de senhas por completo. Em vez de inserir uma senha + segundo fator, o usuário se autentica com um único gesto: impressão digital, reconhecimento facial ou um PIN local (que nunca sai do dispositivo).

Vantagens dos Passkeys:

Desafios:

Na América Latina, os Passkeys ainda não são mainstream, mas empresas como Mercado Pago já os estão implementando para autenticação de usuários. Para PMEs, a recomendação é começar a testar Passkeys em sistemas internos (exemplo: autenticação no painel de administração do site corporativo) e monitorar sua adoção.

A transição para um mundo sem senhas não será imediata, mas o MFA tradicional é a ponte necessária. Como disse Bruce Schneier em seu livro Click Here to Kill Everybody (2018): "A autenticação multifator não é perfeita, mas é o melhor equilíbrio entre segurança e usabilidade que temos hoje".

Implementar MFA não é um projeto de TI: é um projeto de negócios. Reduz riscos, protege a produtividade e, em muitos casos, economiza dinheiro. A equipe do CyberShield já viu como empresas que adotaram MFA de maneira gradual não só melhoraram sua postura de segurança, como também ganharam a confiança de clientes e parceiros. A pergunta já não é se implementar MFA, mas como fazê-lo sem paralisar a equipe. A resposta está em priorizar, escolher métodos resistentes a phishing e gerenciar a mudança com dados, não com medo.

Fontes

  1. NIST Special Publication 800-63B (2020). Digital Identity Guidelines: Authentication and Lifecycle Management. URL: https://pages.nist.gov/800-63-3/sp800-63b.html.
  2. CISA (2022). Implementing Phishing-Resistant MFA. URL: https://www.cisa.gov/resources-tools/services/phishing-resistant-mfa.
  3. Gartner (2022). Market Guide for User Authentication. Document ID: G00759717.
  4. FIDO Alliance (2023). FIDO2: Web Authentication (WebAuthn). URL: https://fidoalliance.org/fido2/.
  5. Schneier, B. (2018). Click Here to Kill Everybody: Security and Survival in a Hyper-connected World. W. W. Norton & Company.
  6. Caso público: Cisco Duo (2022). Understanding Duo Push Approvals. URL: https://www.cisco.com/c/en/us/support/docs/security/duo-security/217597-understanding-duo-push-approvals.html.
  7. Caso público: Okta breach (2023). BleepingComputer. Okta breach impacted all its customer support users. URL: https://www.bleepingcomputer.com/news/security/okta-breach-impacted-all-its-customer-support-users/.
  8. Authelia Documentation (2023). Proxy Integration. URL: https://www.authelia.com/integration/proxies/.
  9. Keycloak Documentation (2023). Multi-Factor Authentication. URL: https://www.keycloak.org/docs/latest/server_admin/#_multi_factor_authentication.
  10. Mercado Pago (2023). Passkeys: uma forma mais segura e fácil de acessar. URL: https://www.mercadopago.com.br/ajuda/passkeys_4799.