MFA na prática: implantar autenticação multifator sem travar a operação

📚 Continue aprendendo sobre este tema:

O que o MFA resolve, e o que ele não resolve

MFA, ou autenticação multifator, é a exigência de mais de uma prova de identidade para liberar um acesso. A senha é uma prova do tipo algo que você sabe. O segundo fator acrescenta algo que você tem (um aplicativo no celular, uma chave física) ou algo que você é (biometria).

O efeito prático é direto: uma senha vazada deixa de ser suficiente. Quem comprou credenciais em um fórum, quem coletou senhas em uma campanha de phishing ou quem descobriu a senha reaproveitada de um site pessoal esbarra em uma segunda barreira que ele não tem em mãos. Esse é o cenário mais comum de invasão em média empresa, e é exatamente o que o MFA corta.

O que o MFA não faz, e é importante não vender ilusão para a diretoria:

Não protege sessão já aberta. Se o atacante roubar o token de sessão de um navegador infectado, ele entra sem passar pelo login.
Não impede erro de configuração. Um compartilhamento de arquivos aberto para a internet continua aberto.
Não substitui backup. Contra ransomware, MFA reduz a porta de entrada, mas a recuperação depende de cópia íntegra e testada.
Não cobre o que está fora dele. Se o VPN exige segundo fator e o webmail não, o atacante vai pelo webmail.

Esse último ponto é o mais importante do artigo inteiro. MFA parcial dá sensação de segurança e protege pouco. O trabalho não é ligar o MFA, é fechar todas as portas de autenticação da empresa.

Os tipos de segundo fator, do mais frágil ao mais forte

Nem todo segundo fator vale a mesma coisa. A tabela abaixo compara os formatos mais usados em ambiente corporativo.

Tipo de fator	Como funciona	Ponto fraco	Onde faz sentido
Código por SMS	O sistema envia um código numérico para o telefone cadastrado	Vulnerável a troca fraudulenta de chip e a interceptação. Depende de sinal de operadora	Último recurso, para quem não tem outra opção
Código por e-mail	O código chega na caixa postal do usuário	Se a caixa postal for a conta comprometida, o fator vira inútil	Praticamente nunca em acesso corporativo crítico
Aplicativo autenticador com código temporário	App gera um código que muda a cada poucos segundos	O usuário ainda pode digitar o código em uma página falsa	Padrão razoável para a maior parte dos usuários
Notificação push com número correspondente	Chega um aviso no celular e o usuário confirma digitando o número exibido na tela do login	Depende de o usuário prestar atenção. Sem o número correspondente, vira aprovação automática por cansaço	Boa escolha para volume grande de usuários, desde que com número correspondente ativado
Chave de segurança física ou biometria do dispositivo	A prova é vinculada ao endereço do site real e ao hardware	Custo de aquisição e logística de reposição	Administradores, diretoria, financeiro e qualquer conta de alto privilégio

A recomendação prática para uma média empresa: aplicativo autenticador ou push com número correspondente para o quadro geral, chave física ou biometria de dispositivo para contas administrativas e para quem movimenta dinheiro. SMS entra apenas como plano B documentado, nunca como padrão.

Antes de ligar qualquer coisa: o levantamento de acessos

O erro clássico é começar pela ferramenta. O começo é a lista. Sem saber por onde se entra na empresa, você liga MFA em três lugares e deixa cinco abertos. Se a sua empresa ainda não tem esse mapa, o inventário de TI é o pré-requisito.

Levante e escreva, em uma planilha simples:

Todos os pontos de autenticação expostos à internet: webmail, portal de VPN, área de trabalho remota, ERP publicado, painel do provedor de nuvem, ferramenta de backup, console de antivírus, painel do firewall.
Todas as contas com privilégio administrativo, em cada um desses sistemas, com o nome do responsável humano.
Contas genéricas e compartilhadas (recepção, portaria, balcão, chão de fábrica) e quem de fato as usa.
Contas de serviço e de integração, que rodam sem ninguém na frente da tela.
Sistemas que não suportam segundo fator, com a justificativa técnica de cada um.
Quem trabalha sem celular corporativo e quem não pode levar celular para a área de trabalho.

Esse último item costuma ser esquecido e vira crise na semana da virada. Operador de produção, motorista e equipe de campo muitas vezes não têm smartphone disponível no momento do login. Decida antes se eles vão receber chave física, se vão usar um dispositivo compartilhado autorizado ou se aquele acesso vai ser tratado por outro controle.

A ordem de implantação em cinco ondas

Ligar MFA para todo mundo no mesmo dia é a receita para uma fila no suporte e para uma reversão constrangedora. A sequência abaixo protege primeiro o que mais dói e distribui o esforço de atendimento.

Onda	Quem entra	Por que nesta ordem	Cuidado principal
0. Piloto	Time de TI e um grupo pequeno de voluntários de áreas diferentes	Descobre atrito real antes de afetar a operação	Incluir alguém que usa notebook, celular e sistema legado no mesmo dia
1. Contas administrativas	Administradores de domínio, de nuvem, de firewall, de backup e do ERP	São as contas cujo comprometimento vira desastre total	Manter uma conta de emergência fora da política, guardada em cofre físico
2. Acesso remoto	VPN, área de trabalho remota e qualquer acesso de fora da rede	É a porta que o atacante tenta primeiro	Testar o comportamento em conexão instável e em rede de cliente
3. E-mail e nuvem colaborativa	Todos os usuários de correio e de arquivos na nuvem	É onde acontecem a fraude de boleto e o desvio de pagamento	Bloquear protocolos antigos de autenticação, que ignoram o segundo fator
4. Sistemas de negócio e o restante	ERP, portais de terceiros, ferramentas departamentais	Fecha o cerco e elimina as portas laterais	Tratar as exceções documentadas com controle compensatório

Entre uma onda e outra, deixe pelo menos uma semana de observação. O que você procura nesse intervalo: chamados abertos, tentativas de login falhadas, usuários que não concluíram o cadastro e acessos que passaram a falhar sem explicação.

O ponto que quase todo projeto esquece: protocolo antigo de autenticação

Vários serviços de e-mail e de diretório ainda aceitam formas antigas de autenticação, criadas antes do conceito de segundo fator. Elas simplesmente não sabem pedir MFA e, por isso, passam direto. Se você ativar a política e deixar esses protocolos abertos, o atacante vai usá-los e o MFA vira decoração. Desligar o legado de autenticação é parte do projeto, não um item opcional para depois.

Os três casos que travam a implantação no mundo real

1. Conta de serviço, que não tem dedo para apertar

Conta de serviço é aquela que roda a integração do ERP, o robô de emissão fiscal, o job de backup, o scanner da rede. Não existe pessoa na frente da tela para aprovar nada. Se você aplicar a política de MFA sobre ela, a integração para na primeira madrugada.

O tratamento correto não é abrir exceção e esquecer, é substituir o fator humano por controles equivalentes:

Trocar a senha por um método próprio de máquina, como identidade gerenciada da plataforma de nuvem, certificado ou chave de aplicação, quando o sistema permitir.
Restringir a conta por origem: só funciona a partir de um endereço de rede específico.
Remover privilégio administrativo. Conta de serviço quase nunca precisa ser administrador de tudo, ela precisa de uma permissão estreita.
Proibir login interativo. A conta que roda serviço não deve conseguir abrir sessão de usuário.
Registrar o dono humano da conta, a data de rotação da credencial e o sistema que depende dela.
Monitorar uso fora do padrão, com alerta quando a conta se autenticar de uma origem nova ou em horário atípico.

Uma boa regra de governança: toda exceção de MFA tem nome, dono, motivo técnico, controle compensatório e data de revisão. Exceção sem data de revisão é permanente por acidente.

2. Sistema legado que não suporta segundo fator

Quase toda média empresa tem um. Um sistema antigo de produção, um módulo que o fornecedor não atualiza mais, uma aplicação interna escrita há muitos anos. Ele não fala a linguagem moderna de identidade e não tem como pedir segundo fator.

As saídas, em ordem de preferência:

Colocar o MFA na frente, não dentro. Se o sistema só é acessível depois da VPN ou por um portal de publicação que já exige segundo fator, o fator existe na camada de acesso. É a solução mais rápida e costuma resolver a maior parte dos casos.
Isolar em rede. Segmentar o sistema legado para que ele só seja alcançável de dentro de uma faixa controlada, nunca da internet.
Reduzir o alcance da credencial. Garantir que a senha daquele sistema não seja a mesma do domínio nem do e-mail, para que um vazamento ali não contamine o resto.
Aumentar a vigilância. Registro de acesso ativado, retenção de log definida e alerta de acesso fora do horário. Monitoramento contínuo é o controle compensatório mais honesto quando o fator não pode ser aplicado, e é uma das entregas do NOC 24x7.
Marcar a data da substituição. Sistema que não suporta autenticação moderna é dívida técnica com prazo. Coloque a troca no orçamento em vez de conviver com a exceção para sempre.

3. O funcionário que perdeu o celular

Esse caso não é exceção, é rotina. Celular perdido, roubado, quebrado, trocado de aparelho, funcionário de férias que apagou o aplicativo. Se você não desenhar o caminho de recuperação antes, o suporte vai improvisar, e improviso em recuperação de acesso é o vetor preferido de quem faz engenharia social.

O plano mínimo tem quatro peças:

Segundo método cadastrado desde o primeiro dia. Exija que cada usuário registre dois métodos no momento da adesão, por exemplo o aplicativo autenticador e uma chave física ou um telefone alternativo. A maioria dos casos se resolve sozinha assim, sem chamado.
Códigos de recuperação de uso único. Gerados na adesão e guardados fora do celular. Para diretoria e administradores, vale guardar em envelope lacrado em cofre.
Procedimento de reset com verificação de identidade que não dependa de e-mail nem de telefone. Esta é a parte crítica. Defina por escrito como o suporte confirma que a pessoa do outro lado é quem diz ser: validação presencial, confirmação por videochamada com documento, ou aprovação do gestor imediato por um canal diferente do que foi comprometido. Nunca resete um fator só porque alguém ligou dizendo o nome e a data de nascimento.
Registro e prazo. Todo reset gera registro com quem pediu, quem aprovou, quem executou e quando. E o novo fator vale por tempo limitado até o usuário concluir o cadastro definitivo.

Vale um detalhe operacional: se o mesmo usuário pedir reset três vezes em pouco tempo, isso não é distração, é sinal de alerta. Coloque essa contagem em um relatório mensal.

Reduzir o atrito sem abrir mão do controle

A reclamação mais comum contra MFA é a frequência. Se o usuário precisa aprovar o acesso dez vezes por dia, ele começa a aprovar no automático, e aprovação automática é o que o atacante quer.

Formas legítimas de reduzir o atrito:

Marcar o dispositivo corporativo conhecido como confiável por um período definido, sem eliminar a exigência periódica.
Usar políticas de acesso condicional: pedir o segundo fator quando o acesso vem de fora da rede, de um país incomum, de um dispositivo não gerenciado ou para uma ação sensível.
Adotar login único, para que o usuário se autentique uma vez e alcance vários sistemas, em vez de repetir o processo em cada ferramenta.
Habilitar biometria do próprio dispositivo, que substitui a digitação de código pela leitura de digital ou rosto.

O que não é aceitável: liberar exceção permanente para diretoria. Conta de diretor é alvo preferencial em fraude de pagamento, justamente porque ela autoriza transferência e ninguém questiona o pedido dela. Se alguém precisa do fator mais forte, é ela. O tema aparece com frequência nas empresas que tratamos em ataques dirigidos a empresas de médio porte.

O que medir depois de ligar

Projeto de MFA sem indicador vira sensação. Acompanhe estes números, com data e responsável:

Indicador	O que ele mostra
Cobertura de contas com MFA ativo	Percentual do total de contas, separado entre usuários comuns e contas privilegiadas
Contas privilegiadas sem segundo fator	Deveria ser zero. Qualquer número diferente de zero precisa de justificativa escrita
Exceções abertas e idade média delas	Mostra se a lista de exceções está sendo revisada ou apenas crescendo
Tentativas de login bloqueadas no segundo fator	Indica pressão externa sobre as credenciais e ajuda a justificar o investimento
Solicitações de reset por mês	Mede o atrito real e a carga sobre o suporte
Usuários com apenas um método cadastrado	Cada um deles é um chamado futuro esperando acontecer

Erros que fazem o projeto voltar atrás

Ligar a política sem comunicar. O usuário acha que é golpe, não cadastra e o suporte trava.
Ativar para todos de uma vez, na segunda-feira de fechamento contábil.
Esquecer o protocolo antigo de autenticação e achar que o e-mail está protegido.
Não ter conta de emergência. Se a política travar o próprio administrador, você fica de fora do seu ambiente.
Tratar exceção como decisão definitiva, sem dono nem data de revisão.
Deixar o processo de reset informal, por mensagem de aplicativo, sem verificação de identidade.
Aplicar MFA no acesso e esquecer da revisão de privilégios. Segundo fator em uma conta que é administradora sem precisar apenas protege melhor um problema.

MFA é um dos controles de melhor relação entre esforço e proteção que existe hoje, e é item recorrente nas exigências de adequação à LGPD, porque demonstra medida técnica de proteção de acesso a dados pessoais. Mas ele só entrega o resultado prometido quando cobre todas as portas e quando o caminho de recuperação foi desenhado antes da primeira emergência.

Perguntas frequentes

MFA atrapalha o trabalho do dia a dia?

Quando bem configurado, quase não aparece. O usuário confirma o acesso no primeiro login do dia em um dispositivo conhecido e segue trabalhando. O atrito costuma vir de configuração preguiçosa, que pede o segundo fator em toda ação, ou da falta de um segundo método cadastrado, que transforma qualquer problema de celular em chamado. Piloto, comunicação e políticas de acesso condicional resolvem a maior parte da reclamação.

Posso deixar alguns sistemas de fora do MFA?

Pode, desde que a exceção seja consciente e controlada. Toda exceção precisa de motivo técnico registrado, dono, controle compensatório (isolamento de rede, restrição por origem, monitoramento com alerta) e data de revisão. O que não funciona é deixar de fora justamente o webmail ou o acesso remoto, que são as portas mais atacadas. Nesses dois, exceção é praticamente sinônimo de não ter MFA.

Aplicativo autenticador ou chave física: o que escolher?

Os dois, em camadas. Aplicativo autenticador ou notificação com número correspondente atende bem o quadro geral de usuários, com custo baixo de implantação. Chave física ou biometria vinculada ao dispositivo é indicada para contas administrativas, diretoria e time financeiro, porque resiste a páginas falsas de login. A decisão prática é definir quais perfis exigem o fator mais forte e padronizar o resto.

Como a BS IT Solutions conduz a implantação de MFA

A BS IT Solutions trata MFA como projeto de acesso, não como configuração isolada: levantamento de todos os pontos de autenticação, classificação de contas privilegiadas, definição de política e de exceções com controle compensatório, piloto, ondas de ativação com comunicação para os usuários e desenho do procedimento de recuperação de acesso. A operação fica sob monitoramento contínuo do nosso NOC 24x7, integrado às práticas de Cyber Security, com atendimento presencial em São Paulo e região metropolitana e remoto em todo o Brasil, incluindo ambientes SAP e nuvem.

Fale com um especialista da BS IT Solutions e comece pelo mapa de quem entra por onde na sua empresa.