Em vista das in\u00fameras amea\u00e7as cibern\u00e9ticas, a autentica\u00e7\u00e3o multifator (MFA) \u00e9 uma aliada na seguran\u00e7a de dados no ambiente virtual. Embora seja uma \u00f3tima maneira de garantir a certifica\u00e7\u00e3o para acesso \u00e0s informa\u00e7\u00f5es dentro de uma rede ou sistema, existem vulnerabilidades e pontos cegos do MFA que facilitam e permitem a ocorr\u00eancia de ataques hackers.<\/p>\n
Para entender a dimens\u00e3o dessas falhas, um relat\u00f3rio de mercado sobre atividades criminosas online no Brasil aponta que, somente no ano de 2020, cerca de 397,42 milh\u00f5es de credenciais foram expostas. O levantamento acendeu o alerta para o setor de tecnologia em rela\u00e7\u00e3o aos ciberataques, j\u00e1 que agora n\u00e3o se limitam apenas \u00e0s grandes corpora\u00e7\u00f5es.<\/p>\n
Desse modo, apesar do mecanismo de autentica\u00e7\u00e3o MFA reduzir os riscos de invas\u00f5es, ainda est\u00e3o suscet\u00edveis \u00e0 ciberataques por meio dos pontos cegos do MFA, assim como no recurso de autentica\u00e7\u00e3o de fator \u00fanico, onde h\u00e1 algumas falhas de seguran\u00e7a.<\/p>\n
Autentica\u00e7\u00e3o \u00e9 o nome dado para o processo de certifica\u00e7\u00e3o de acesso a uma conta on-line. Sendo assim, basicamente, \u00e9 o m\u00e9todo utilizado para provar que voc\u00ea \u00e9 o propriet\u00e1rio da conta e que, ap\u00f3s comprovar por meio de dois ou mais fatores, h\u00e1 a libera\u00e7\u00e3o de acesso.<\/p>\n
N\u00e3o bastando apenas a solicita\u00e7\u00e3o de um nome de usu\u00e1rio e senha, esse mecanismo exige outros elementos que comp\u00f5em a verifica\u00e7\u00e3o adicional, condi\u00e7\u00e3o essa que diminui a probabilidade de ataques hackers.<\/p>\n
Atualmente, existem tr\u00eas m\u00e9todos de autentica\u00e7\u00e3o multifatorial baseada em dados extras, sendo eles:<\/p>\n
Geralmente pede informa\u00e7\u00f5es como senhas, PINs, respostas de perguntas de seguran\u00e7a pessoal ou OTPs de conhecimento.<\/p>\n
Normalmente envolve outros sistemas, plataformas ou itens, como OTPs geradas por aplicativo, mensagem de texto ou e-mail. Al\u00e9m disso, tamb\u00e9m podem ser realizas por dispositivos USB, cart\u00f5es inteligentes, certificados digitais e chaves de seguran\u00e7a.<\/p>\n
Recursos associados ao usu\u00e1rio diretamente, como biometria, reconhecimento facial, an\u00e1lise comportamental ou digitaliza\u00e7\u00e3o da voz, por exemplo.<\/p>\n
Embora seja um mecanismo altamente confi\u00e1vel e de extrema import\u00e2ncia para assegurar, principalmente, os ativos digitais de uma organiza\u00e7\u00e3o, existem pontos cegos do MFA que podem permitir invas\u00f5es \u00e0s contas e exposi\u00e7\u00e3o dos dados, causando preju\u00edzos irrepar\u00e1veis.<\/p>\n
Devido \u00e0 baixa resist\u00eancia do m\u00e9todo de autentica\u00e7\u00e3o de fator \u00fanico em n\u00e3o garantir a seguran\u00e7a necess\u00e1ria e ter viabilizado in\u00fameros ataques cibern\u00e9ticos, sendo at\u00e9 mesmo listada pela Ag\u00eancia de Seguran\u00e7a Cibern\u00e9tica e de Infraestrutura dos Estados Unidos como umas pr\u00e1ticas de seguran\u00e7a cibern\u00e9tica \u201cexcepcionalmente arriscada\u201d, permitiu-se que invasores desenvolvessem novas estrat\u00e9gias para realizar os crimes virtuais.<\/p>\n
Desse modo, apesar de toda a tecnologia envolvida, a autentica\u00e7\u00e3o multifator pode ser vulner\u00e1vel a alguns tipos de ataques. Assim, veja quais s\u00e3o os pontos cegos do MFA mais comuns e como repar\u00e1-los.<\/p>\n
Considerado um dos m\u00e9todos mais dif\u00edceis de serem revertidos, a t\u00e9cnica consiste em promover um site falso, semelhante ao leg\u00edtimo, com o intuito de que o usu\u00e1rio informa os dados de acesso.<\/p>\n
Durante esse processo, o site simula de maneira id\u00eantica as a\u00e7\u00f5es de autentica\u00e7\u00e3o e, finalmente, solicita altera\u00e7\u00f5es cadastrais, como senhas ou informa\u00e7\u00f5es de um cart\u00e3o de cr\u00e9dito, por exemplo.<\/p>\n
Com isso, as informa\u00e7\u00f5es inseridas s\u00e3o armazenadas e utilizadas para a realiza\u00e7\u00e3o de ataques cibern\u00e9ticos e uso indevido de m\u00e9todos de pagamento da v\u00edtima.<\/p>\n
Esse tipo de ataque consiste em infectar o dispositivo com um malware e, a partir dessa invas\u00e3o, monitorar as atividades do navegador. Por meio de software desatualizado ou engenharia social, por exemplo, esses v\u00edrus conseguem acessar computadores e smartphones e visualizar as informa\u00e7\u00f5es.<\/p>\n
Logo, um simples acesso ao internet banking pode ser determinante para que os hackers consigam movimentar a conta banc\u00e1ria, mediante uma sess\u00e3o oculta no navegador.<\/p>\n
De forma semelhante ao m\u00e9todo de autentica\u00e7\u00e3o falsa, esses ataques utilizam um site proxy falso para desviar a MFA antes de redirecionar o usu\u00e1rio ao site leg\u00edtimo.<\/p>\n
Sendo assim, a pr\u00e1tica se resume em direcionar a pessoa para um endere\u00e7o que, aparentemente \u00e9 real, mas durante esse processo s\u00e3o solicitadas informa\u00e7\u00f5es de credencial. Ao inserir os dados de acesso, o mecanismo registra o login e os c\u00f3digos de autentica\u00e7\u00e3o multifator.<\/p>\n
Como toda autentica\u00e7\u00e3o envolve programa\u00e7\u00e3o, existe uma pequena chance de ocorrer bugs nesses sistemas e, assim, proporcionar momentos de vulnerabilidade que geram oportunidade para que hackers possam se aproveitar.<\/p>\n
Diante disso, muitas dessas falhas j\u00e1 foram publicadas e reparadas, por\u00e9m novos erros podem surgir e permitir invas\u00f5es.<\/p>\n
Como forma de autentica\u00e7\u00e3o multifator, os tokens-Time-Password (OTP) enviam c\u00f3digos atualizados com frequ\u00eancia e em um curto per\u00edodo. Esses d\u00edgitos s\u00e3o utilizados para finalizar o login de um usu\u00e1rio em determinada rede ou sistema, garantindo assim mais seguran\u00e7a no momento de comprovar a identidade de quem est\u00e1 acessando.<\/p>\n
No entanto, invasores podem conseguir acessar o banco de dados onde essas \u201csenhas\u201d s\u00e3o armazenadas e facilmente obter as credenciais da v\u00edtima. O processo ocorre \u00e0 medida em que os c\u00f3digos s\u00e3o digitados e registrados no dispositivo ou em um site proxy falso.<\/p>\n
A princ\u00edpio, existem diversas maneiras de impedir que ataques cibern\u00e9ticos aconte\u00e7am via MFA, com treinamento para os colaboradores em rela\u00e7\u00e3o a essas amea\u00e7as, bloqueio de links n\u00e3o autorizados em toda a rede e investimento em solu\u00e7\u00f5es tecnol\u00f3gicas de seguran\u00e7a.<\/p>\n
\u00c9 poss\u00edvel tamb\u00e9m contar com empresas especializadas em seguran\u00e7a cibern\u00e9tica, com recursos inovadores, ferramentas de combate e preven\u00e7\u00e3o aos ciberataques, assim sua organiza\u00e7\u00e3o ter\u00e1 a seguran\u00e7a necess\u00e1ria para manter suas informa\u00e7\u00f5es preservadas.<\/p>\n