A autenticação multifator costuma entrar na agenda das empresas como um projeto que se encerra quando todos os colaboradores passam a confirmar o login com um código no celular ou com um toque em uma notificação. A diretriz de identidade digital SP 800-63B-4, publicada em julho de 2025 pelo National Institute of Standards and Technology (NIST), órgão de padrões técnicos do governo americano, estabelece que autenticadores baseados na digitação manual de um código não podem ser considerados resistentes a phishing. 

Na prática, a empresa que concluiu o projeto de autenticação multifator pode continuar exposta ao golpe que motivou o investimento, já que o colaborador enganado por uma página falsa entrega a senha e o código na mesma sequência. 

Essa diferença pesa porque as credenciais seguem como alvo frequente dos ataques de identidade. Segundo o Microsoft Digital Defense Report 2025, publicado pela Microsoft em outubro de 2025 com base nos sinais de segurança processados pela empresa, os ataques baseados em identidade cresceram 32% no primeiro semestre de 2025, e mais de 97% desses ataques envolveram senhas em larga escala. 

O mesmo relatório afirma que a autenticação multifator resistente a phishing pode interromper mais de 99% desse tipo de ataque, mesmo quando o invasor já tem o usuário e a senha corretos. A ressalva sobre o tipo de MFA ajuda a explicar a distância entre a proteção que as empresas acreditam ter e a que de fato têm. 

Os limites do MFA por código e push 

A autenticação multifator baseada em código por SMS, código gerado em aplicativo ou notificação push reduz o risco de acesso indevido com senhas vazadas, mas ainda pode ser contornada por ataques ao segundo fator ou à sessão. Um colaborador pode repassar o código ou aprovar um pedido de quem se passa pela empresa. 

O motivo está descrito na SP 800-63B-4: a digitação manual de um código não vincula a resposta ao serviço legítimo. Um site impostor pode receber a senha e o código e repassá-los ao serviço verdadeiro no mesmo instante, abrindo uma sessão válida em nome do colaborador. 

A notificação push dispensa a digitação, mas depende de o colaborador recusar pedidos que não reconhece, e essa dependência já foi explorada por grupos criminosos. O alerta AA23-320A, publicado em conjunto pela Cybersecurity and Infrastructure Security Agency (CISA) e pelo FBI, descreve um grupo criminoso que disparava notificações seguidas até que o funcionário apertasse o botão de aprovação, técnica conhecida como fadiga de MFA. 

O grupo também se apresentava como equipe de TI para pedir aos colaboradores o código temporário recebido no celular, uma variação dos golpes que detalhamos no artigo sobre engenharia social além do phishing. A própria diretriz do NIST recomenda que os verificadores limitem a quantidade de notificações push enviadas desde a última autenticação bem-sucedida, o que reduz o problema sem eliminar a dependência da decisão do usuário. 

Mesmo com esses limites documentados, o login por senha e segundo fator digitável segue como padrão em boa parte das grandes empresas. Segundo o relatório State of Passkeys 2026, publicado pela FIDO Alliance em maio de 2026 com base em entrevistas conduzidas pela Sapio Research com 1.400 decisores de empresas com 500 ou mais funcionários em dez países da América do Norte, da Europa e da Ásia-Pacífico, 57% das empresas pesquisadas têm um método vulnerável a phishing como principal forma de login dos funcionários. 

Nessa conta entram as que combinam senha com aplicativo autenticador, por código ou push, que somam 28%, as que usam senha com código por SMS ou e-mail, com 18%, e as que ainda dependem apenas da senha, com 11%. 

A mesma pesquisa registra que parte das empresas considera suficiente o MFA com push ou código para seu perfil de risco. Essa leitura se apoia na eficácia do segundo fator contra o uso isolado de senhas vazadas, mas pode deixar de fora ataques que capturam códigos ou sessões com a participação do próprio usuário. 

O que torna a autenticação resistente a phishing 

Pela SP 800-63B-4, a autenticação é resistente a phishing quando o próprio protocolo impede a divulgação de segredos ou respostas válidas do autenticador a um verificador impostor, sem depender da atenção do usuário. Para isso, a diretriz exige autenticação criptográfica. 

O texto reconhece dois mecanismos, a vinculação ao canal e a vinculação ao nome do verificador. Em ambos, a resposta do autenticador fica atrelada à comunicação ou ao serviço legítimo, de modo que uma página falsa não obtenha uma resposta reutilizável para concluir o login. 

É nesse grupo que entram credenciais baseadas em FIDO2, como as passkeys, e mecanismos com certificados digitais em cartão inteligente ou token, quando implementados com os vínculos exigidos pelo protocolo. No caso das passkeys, o navegador ou o sistema operacional verifica o domínio do serviço, e a chave privada não é transmitida ao site. Isso retira do colaborador a tarefa de perceber, sob pressão, que o endereço na barra do navegador está errado. 

O uso da rede telefônica para autenticação fora de banda, que inclui o código por SMS e a ligação de voz, é o único autenticador classificado como restrito na SP 800-63B-4. A classificação exige de quem adota esse método a avaliação e a aceitação dos riscos, a oferta de uma alternativa não restrita e o reconhecimento de que os riscos podem crescer com o tempo. 

Para aplicações que operam no nível AAL2, que exige dois fatores e oferece maior confiança de que o acesso pertence ao titular, o texto determina que o verificador ofereça ao menos uma opção resistente a phishing. As agências federais americanas devem exigir essa opção de funcionários, terceirizados e parceiros. 

Para uma empresa brasileira, a diretriz não tem força de lei, mas oferece uma definição técnica verificável para um termo que aparece com frequência em políticas internas, contratos e questionários de fornecedores sem critério claro. Adotar a definição do NIST permite, por exemplo, separar na política de segurança os métodos aceitos para contas privilegiadas dos métodos tolerados de forma transitória, com prazo de substituição e responsável definido. 

Como planejar a migração para passkeys 

A passkey é uma credencial baseada em FIDO2 que permite substituir a senha e o código digitável por uma assinatura criptográfica, liberada com biometria ou PIN no próprio aparelho e vinculada ao serviço para o qual foi registrada. O relatório da FIDO Alliance indica que 68% das empresas pesquisadas já implantaram, estão implantando ou testam passkeys para a força de trabalho. 

Metade das organizações que usam a tecnologia combina dois modelos, as passkeys sincronizadas entre dispositivos por um gerenciador de credenciais e as vinculadas a um único dispositivo, como uma chave física de segurança. 

A escolha entre os dois modelos tem consequência técnica. A SP 800-63B-4 admite autenticadores sincronizáveis até o nível AAL2 e proíbe seu uso no AAL3, nível mais rigoroso, que exige autenticação resistente a phishing e chave privada não exportável, entre outros requisitos. A sincronização depende da possibilidade de copiar essa chave. 

Na implantação, a empresa pode avaliar chaves vinculadas ao dispositivo para contas administrativas e de acesso privilegiado e passkeys sincronizadas para outros grupos, conforme o risco e as exigências de cada sistema. Essa divisão é uma opção de desenho, e o uso de uma chave física, por si só, não comprova atendimento a todos os requisitos do AAL3. 

Entre os entrevistados da FIDO Alliance, a barreira mais citada para avançar é a compatibilidade com sistemas internos antigos, apontada por 38%, à frente da aprovação de orçamento, com 35%, e das preocupações com a recuperação de acesso quando o dispositivo se perde, com 33%. 

Quando uma aplicação não aceita FIDO2, mas permite integração com um provedor de identidade, uma alternativa é centralizar a autenticação e usar login único, com políticas que exijam a força de autenticação adequada para cada recurso. É preciso verificar também se continuam disponíveis caminhos de login que contornem essas políticas. Esse desenho segue a lógica que discutimos no artigo sobre como implementar Zero Trust e se apoia nas configurações de identidade abordadas no texto sobre segurança em ambientes Microsoft 365. 

Recuperação de acesso e proteção do help desk 

Quando o login passa a resistir a phishing, o processo que devolve o acesso a quem perdeu o celular ou a chave também merece atenção. Se depende apenas de uma ligação ao help desk, a recuperação pode ser explorada com uma história convincente e alguns dados pessoais do colaborador. 

O alerta AA23-320A registra o uso de ligações de voz para convencer atendentes de TI a redefinir senhas e tokens de MFA, além da persuasão de operadoras de telefonia para transferir o número de um funcionário para um chip controlado pelos criminosos. A troca do chip permitia receber códigos e comunicações destinados àquele número. 

Os dados de violações reforçam a atenção à engenharia social. Segundo o sumário executivo do Data Breach Investigations Report 2026, publicado pela Verizon com a análise de mais de 22.000 violações confirmadas em 145 países, o pretexting, técnica em que o golpista constrói uma situação falsa, muitas vezes por telefone, ganhou espaço como vetor de acesso inicial e chegou a 6% das violações. O mesmo relatório mostra que, em simulações, a mediana da taxa de sucesso dos golpes por voz e mensagem de texto é 40% maior do que a dos golpes por e-mail. 

A SP 800-63B-4 trata a recuperação de conta como um processo distinto da autenticação e reconhece quatro formas de conduzi-la, que vão dos códigos de recuperação guardados pelo usuário ou emitidos pelo provedor ao uso de contatos previamente cadastrados e à repetição da verificação de identidade. Os métodos e suas combinações dependem do nível de garantia da conta. 

Em qualquer caso, a diretriz exige que a recuperação gere uma notificação ao titular da conta e recomenda que cada usuário mantenha ao menos dois meios de autenticação vinculados, o que reduz as situações em que alguém precisa ligar pedindo acesso. 

Entre as empresas da pesquisa da FIDO Alliance que se dizem confiantes na recuperação de acesso, 51% apoiam essa confiança em um processo administrativo seguro. O dado descreve a percepção dos entrevistados, sem comprovar a eficácia desses processos contra ataques. 

Na avaliação da recuperação, convém verificar quais provas de identidade são aceitas, como cada redefinição fica registrada e quem recebe um aviso quando um fator é trocado. Dados encontráveis em vazamentos ou redes sociais, como CPF, data de nascimento ou matrícula, não devem ser a única prova. Para contas privilegiadas, a empresa precisa definir verificações compatíveis com o risco e com os requisitos de garantia aplicáveis, além de treinar os atendentes para seguir o procedimento mesmo sob pressão. 

Como avaliar a proteção das identidades 

Avaliar a autenticação multifator de uma empresa apenas pela existência de um segundo fator informa pouco sobre a exposição, e o critério que distingue os ambientes é o método que protege o login cotidiano de cada grupo de usuários e o caminho que resta quando esse método falha. 

Uma conta protegida por passkey que ainda aceita o código por SMS como alternativa continua exposta ao método mais fraco disponível, porque um site impostor pode conduzir o usuário à opção menos protegida. Por isso, a migração deve incluir a retirada dos métodos vulneráveis a phishing das contas já preparadas para usar credenciais resistentes, com alternativas de recuperação previamente definidas e testadas. Contas administrativas, de acesso remoto e de aprovação de pagamentos merecem prioridade na avaliação. 

A avaliação se completa com a recuperação de acesso, que precisa adotar verificações compatíveis com o nível de garantia da conta, registrar as alterações e notificar o titular. A empresa que responde a essas questões com um inventário por grupo de usuários, em vez da declaração de que o MFA está ativo, consegue medir a própria exposição de identidade e definir quais áreas migram primeiro. 

O Iron Extended Protection, da Solo Iron, oferece cobertura que inclui endpoints, nuvem, identidades e e-mail, com resposta ativa a ransomware. Para o lado humano da segurança, o Iron Human Firewall trabalha a conscientização e a capacitação de colaboradores, com simulações de ataques de engenharia social. Fale com a Solo Iron para avaliar as necessidades de proteção das identidades e de conscientização da sua empresa.