MFA resistente a phishing é o fator de autenticação que não pode ser interceptado por uma página falsa e reutilizado pelo atacante — e é o que a CISA recomenda como meta para empresas de qualquer porte. Na prática, isso significa trocar códigos por SMS e e-mail por passkeys no padrão FIDO2 ou por chaves de segurança físicas, começando pelas contas administrativas e pelo acesso remoto. Este guia explica por que os métodos comuns falham, o que muda tecnicamente com FIDO2 e como conduzir a migração em etapas.
Por que o MFA comum falha
MFA baseado em segredo compartilhado transporta um código do provedor até o usuário. Se a pessoa digita esse código em uma página falsa, o atacante o repassa ao provedor real dentro da mesma sessão e entra na conta. O código de aplicativo gerado a cada 30 segundos sofre do mesmo problema estrutural: ele vale enquanto não expira e nada nele garante que o destino é o site legítimo. A biometria do celular, sozinha, confirma o dono do aparelho, não o site que recebe o login.
A CISA ordena os métodos de verificação em dois fatores do mais seguro ao menos seguro, e nessa ordem a chave de segurança física, conectada ou encostada no dispositivo, é o método que oferece a melhor proteção contra phishing.
| Método | Como funciona | Proteção contra phishing |
|---|---|---|
| Chave de segurança física | Conecta ou encosta no dispositivo no momento do login | Melhor proteção, segundo a CISA |
| App autenticador com number matching | O app envia um prompt e o usuário digita o número exibido na tela de login | Alta |
| App autenticador com código | O app gera um novo código a cada 30 segundos | Média: o código pode ser digitado em página falsa |
| Biometria do dispositivo | Digital ou rosto confirma o usuário no próprio aparelho | Boa quando combinada a outro método |
| Código por SMS ou e-mail | Um código de uso único é enviado ao telefone ou e-mail | Mais fraca |
Nesse ranking, o código enviado por SMS ou e-mail é a forma mais familiar e também a de proteção mais fraca — a recomendação é usá-lo apenas quando não existe opção mais forte disponível para a conta.
Passkeys e o padrão FIDO2
Do ponto de vista técnico, as passkeys são credenciais construídas sobre as especificações FIDO2, que reúnem o WebAuthn e o CTAP: o primeiro cobre a API do navegador e o segundo, a comunicação com a chave de segurança ou com o gerenciador de credenciais do dispositivo. No login, o site desafia o navegador; a chave privada assina o desafio localmente e apenas a assinatura viaja pela rede. Como a chave privada nunca sai do dispositivo, não há senha para roubar nem dado de login reutilizável em outro site.
O desbloqueio por digital ou rosto funciona como conveniência local: a verificação biométrica acontece no próprio aparelho e o servidor recebe apenas a confirmação de que ela ocorreu, sem receber os dados biométricos.
Sincronizada ou vinculada ao dispositivo
Existem dois perfis de passkey. As sincronizadas ficam em um gerenciador de credenciais e são replicadas entre os dispositivos do usuário por um serviço de nuvem — mais simples de recuperar na troca de celular. As vinculadas ao dispositivo nunca saem do hardware em que foram criadas, incluindo as chaves FIO de segurança. Para organizações com baixa tolerância a risco, que lidam com dados altamente sensíveis ou operam em setores críticos, a recomendação da FIDO Alliance é direta: as passkeys vinculadas ao dispositivo em chaves de hardware oferecem o mais alto nível de garantia de segurança. Uma chave física também serve de credencial de recuperação quando o usuário perde o acesso a todos os dispositivos sincronizados.
Roteiro de adoção por etapas
- Inventarie as contas críticas — administradores, e-mail corporativo, VPN e consoles de nuvem — e confirme que todo acesso remoto e todo acesso privilegiado já exige dois fatores.
- Ative FIDO2/passkey primeiro nas contas administrativas e nos usuários que tratam dados sensíveis; para o restante, adote number matching como etapa intermediária.
- Defina a política de registro: onde cada passkey vive (sincronizada ou vinculada), quantas credenciais por usuário e qual credencial serve de fallback.
- Prepare a recuperação antes do lançamento — sem um caminho testado, conta bloqueada vira incidente de suporte.
- Comunique a mudança com antecedência e explique que o gesto de desbloqueio é o mesmo de sempre; a diferença é o que viaja pela rede.
- Acompanhe a cobertura por grupo e por sistema e bloqueie, nas contas sensíveis, o login que aceita apenas um fator.
Nenhuma camada de autenticação elimina sozinha o risco de comprometimento: ransomware já foi observado contornando MFA para depois mover-se lateralmente com técnicas como bypass de MFA pelo ransomware Gunra e pass-the-hash. A passkey reduz a superfície de credenciais; a detecção continua necessária para tudo o que passa por ela.
O que o SOC deve monitorar
A migração para FIDO2 muda a telemetria que interessa ao time de operações. Três eventos merecem regra própria: registro de nova credencial, alteração do método de autenticação de um usuário e picos de falhas de verificação seguidos de sucesso — padrão típico de quem está testando caminhos de recuperação. Alarme também quando uma conta com passkey volta a autenticar por SMS ou e-mail sem motivo de negócio, e mantenha a correlação com o tráfego interno, onde a reutilização de hash continua sendo o desfecho comum de um acesso inicial concluído.
