O roubo de credenciais é há muito tempo uma das principais causas de violações de segurança de rede, o que levou muitas organizações a adotar a autenticação multifator (MFA) como proteção. Ativar a MFA em todas as contas é uma prática altamente recomendada. Mesmo assim, a eficácia da MFA depende muito de como ela é configurada, já que os invasores vêm criando estratégias para burlá-la.
Um método comum consiste em bombardear com solicitações de MFA sem parar um funcionário cujas credenciais foram roubadas. Essa tática, conhecida como ataque de fadiga de MFA, ficou conhecida na violação recente da Uber, que analisaremos mais adiante neste artigo.
📌Se preferir um passo a passo em vídeo, assista a Ataques de fadiga de MFA.
A preocupação crescente com o ataque de fadiga de MFA
Um ataque de fadiga de MFA é um tipo de ciberataque de engenharia social — também chamado de bombardeio de MFA ou spam de MFA — que acontece quando invasores inundam seu e-mail, telefone ou dispositivos registrados com solicitações repetidas de autenticação de segundo fator. O objetivo é cansar a vítima até que ela confirme uma notificação sem querer, dando aos invasores acesso à conta ou ao dispositivo.
Esses ataques costumam começar depois que os invasores já obtiveram as credenciais de login, normalmente por phishing ou outras táticas de engenharia social. As credenciais também podem ser compradas na dark web, entre outras fontes. De posse delas, os invasores conseguem disparar notificações push de MFA. No cenário mais comum, depois de inserir o primeiro conjunto de credenciais (primeiro fator), você recebe uma notificação push para confirmar sua identidade com algo que tem em mãos (segundo fator), como o celular.
O alvo de um ataque de fadiga de MFA: quem corre risco?
Ataques de fadiga de MFA podem mirar qualquer pessoa dentro de uma organização, mas são especialmente eficazes contra quem tem acesso a informações confidenciais ou privilégios administrativos. Esses ataques exploram a tendência humana de buscar conveniência em vez de segurança, sobretudo diante de solicitações de segurança insistentes e irritantes. Entre os alvos mais frequentes, estão:
- Altos executivos: CEOs, CFOs e outros executivos da alta direção são alvos preferenciais por causa do amplo acesso que têm a informações sigilosas da empresa.
- Equipe de TI e administradores: quem gerencia os sistemas de TI e tem acesso privilegiado a eles corre risco alto, já que essas credenciais abrem um acesso mais profundo à rede.
- Profissionais de recursos humanos: gerentes de RH costumam ter acesso a dados pessoais e financeiros dos funcionários, o que os torna alvos atraentes.
- Responsáveis financeiros e contadores: quem lida com transações e dados financeiros sensíveis vira alvo para dar aos invasores acesso a informações bancárias e à capacidade de movimentar recursos.
- Atendentes de suporte ao cliente: funcionários em funções de atendimento podem ter acesso a dados pessoais de clientes e a sistemas de gerenciamento de usuários.
Oriente todos os funcionários sobre os riscos e os sinais dos ataques de fadiga de MFA para proteger dados pessoais e corporativos. Treinamentos periódicos sobre boas práticas de cibersegurança e políticas de segurança bem definidas reduzem bastante o risco desse tipo de ataque direcionado. Consciência e preparo são as melhores defesas contra a ameaça crescente da fadiga de MFA.
Exemplo de ataque de fadiga de MFA
Veja um exemplo real de ataque de fadiga de MFA. A Uber foi vítima recente de um ataque de fadiga de MFA realizado pelo conhecido grupo hacker Lapsus$. A violação começou quando os invasores comprometeram as credenciais de um prestador de serviços externo, provavelmente obtidas na dark web. Com elas em mãos, dispararam solicitações de MFA sem parar para entrar na rede da Uber. No início, o prestador ignorou as notificações, mas os invasores se passaram por suporte técnico no WhatsApp e o convenceram a aceitar a solicitação de MFA, conseguindo assim acesso não autorizado.
Já dentro do ambiente, os invasores acessaram várias outras contas de funcionários e elevaram permissões para chegar a ferramentas internas importantes, como G-Suite e Slack, baixando comunicações internas sigilosas e uma ferramenta financeira usada pela equipe de finanças da Uber. O caso é um exemplo de vulnerabilidade crítica em sistemas de MFA e um lembrete duro da necessidade de vigilância constante e práticas de segurança sólidas para enfrentar ameaças cibernéticas sofisticadas, principalmente na segurança de MFA.
Estratégias de prevenção contra o ataque de fadiga de MFA
Para prevenir um ataque de MFA de verdade, você precisa de estratégias sólidas e adequadas às necessidades específicas da sua organização. A prevenção começa com educação e treinamento abrangentes para toda a equipe. Aprender e ensinar sua equipe a reconhecer os sinais da fadiga de MFA e os métodos usados pelos invasores reduz bastante o risco. A partir daí, adote estas táticas:
- Defina protocolos claros para lidar com solicitações de MFA inesperadas.
- Incentive a equipe a relatar qualquer atividade suspeita sem hesitar.
- Atualize e revise os protocolos de MFA com frequência para que suas defesas acompanhem a evolução das ameaças cibernéticas.
Uma política de segurança que limita a frequência das solicitações de MFA diminui as chances de os funcionários enfrentarem um bombardeio de notificações de login e, com isso, reduz as aprovações acidentais. Dá para somar camadas extras de segurança, como análise comportamental, para detectar padrões incomuns que podem indicar uma tentativa de ataque de fadiga de MFA. Com essas medidas proativas, você protege seus dados e dá à equipe condições de contribuir com a segurança de toda a organização.
Como reforçar os protocolos de segurança sem sobrecarregar os usuários
Ao planejar sua estratégia de segurança, busque o equilíbrio entre medidas robustas e a praticidade para o usuário. Prefira métodos de autenticação adaptativa, que ajustam as exigências de segurança ao contexto do usuário, como a localização ou o nível de segurança do dispositivo usado. Essa abordagem reduz bastante a frequência das solicitações de autenticação quando as condições são consideradas seguras, o que diminui a fadiga e a frustração.
Além disso, acompanhe toda mudança nos protocolos de segurança com orientações claras e diretas e suporte fácil de acessar. Assim, a equipe entende os novos processos e a importância deles sem perder produtividade.
Veja como a autenticação multifator da NinjaOne reforça a segurança sem abrir mão da praticidade.
Vá além de medidas de segurança isoladas
Os ataques de fadiga de MFA mostram os limites de depender de uma única estratégia de defesa, assim como acontece com a imprevisibilidade das vulnerabilidades de dia zero. Com NinjaOne, você conta com um conjunto completo de integrações de segurança, incluindo monitoramento contínuo, gerenciamento proativo de patches e soluções de TI automatizadas — ferramentas essenciais para reforçar suas defesas contra ameaças cibernéticas diversas e em constante evolução.
NinjaOne adota uma abordagem de segurança múltipla e adaptável, com as ferramentas de segurança de endpoint da NinjaOne e as soluções de RMM que garantem uma postura de segurança de TI forte desde o início. Esses sistemas oferecem backups seguros e visibilidade total da sua infraestrutura de TI e ainda reduzem bastante o risco, protegendo sua organização no cenário dinâmico das ameaças cibernéticas.
