Fadiga de MFA e Push Bombing: Como os atacantes contornam o duplo fator sem roubar códigos

São 23h42. O seu colaborador prepara-se para dormir quando o smartphone vibra pela primeira vez: uma notificação do Microsoft Authenticator ou Okta solicita a aprovação de um início de sessão. Pensando tratar-se de uma anomalia temporária, ignora o ecrã. Dois minutos depois, surgem três novos alertas sonoros. De seguida, mais cinco. Exasperado com o toque repetitivo que lhe perturba o descanso, e acreditando colocar um ponto final num simples erro técnico, clica mecanicamente em "Aprovar". Numa fração de segundo, o cibercriminoso ganha acesso direto ao seu sistema de informação.

Este cenário não pertence à ficção: foi precisamente este o vetor de ataque utilizado para comprometer gigantes tecnológicos nos últimos anos. A autenticação multifator (MFA) continua a ser uma barreira indispensável, mas depende de um elo humano que os atacantes aprenderam a manipular através do desgaste psicológico. Para um CISO ou Diretor de TI, compreender e neutralizar esta ameaça tornou-se uma prioridade operacional imediata.

Como funciona um ataque por fadiga de MFA e que reflexo deve incutir aos colaboradores?#

Em resumo: O ataque por fadiga de MFA (push bombing) consiste em bombardear um colaborador com pedidos de autenticação na sua aplicação móvel até que este ceda por exaustão ou distração. O procedimento operacional essencial é direto: rejeitar imediatamente qualquer notificação não solicitada e reportá-la de pronto à equipa de segurança.

O princípio de um ataque de fadiga MFA push bombing assenta numa realidade incontornável: os atacantes já possuem as credenciais legítimas do alvo (utilizador e palavra-passe obtidos através de infostealers, fugas de dados ou campanhas prévias de phishing). O único obstáculo restante é a aprovação do segundo fator.

Em vez de tentarem quebrar esquemas criptográficos robustos, os criminosos desencadeiam dezenas, por vezes centenas, de pedidos de ligação sucessivos através de scripts automatizados. Esta tática explora alavancas comportamentais bem definidas:

• Saturação cognitiva e exaustão: O ruído constante e a insistência visual pressionam a vítima a querer silenciar a perturbação o mais rápido possível.
• Viés de confirmação técnica: Muitos utilizadores assumem erradamente que os alertas repetidos resultam de atualizações de software em segundo plano ou de processos de sincronização de correio eletrónico corporativo.
• Convergência com engenharia social: Em incidentes mais avançados, o invasor telefona diretamente ao colaborador via chamada vocal ou WhatsApp, fazendo-se passar pela equipa de suporte informático e solicitando que "aprove a notificação para conter um ataque em curso".

A diretriz a incutir na cultura de segurança da organização deve ser inequívoca: uma notificação push de autenticação só pode ser aprovada se o próprio utilizador estiver a iniciar sessão nesse exato momento. Qualquer pedido fora deste contexto estrito deve ser tratado como um incidente de segurança ativo.

Porque razão o push bombing está a suplantar os métodos tradicionais de intrusão?#

Em resumo: Porque o push bombing neutraliza o MFA sem necessidade de recorrer a malware complexo ou a engenharia reversa. Os atacantes exploram o mecanismo mais simples da dupla autenticação, o mero clique em "Aprovar", transformando a conveniência de utilização numa vulnerabilidade crítica.

Durante anos, os responsáveis de cibersegurança promoveram a transição para notificações push no MFA, destacando a sua superior usabilidade face aos códigos por SMS ou geradores TOTP. Contudo, essa facilidade de utilização transformou-se no vetor de exploração predileto.

A ausência de contexto de validação

Nas configurações mais básicas de MFA, o utilizador visualiza apenas a questão: "Foi você? Sim / Não". Sem dados de geolocalização detalhados ou validações cruzadas, um colaborador desatento clica em "Sim" de forma quase reflexa, exatamente como aceitaria termos de cookies num website.

Para mitigar esta vulnerabilidade, as arquiteturas modernas têm vindo a adotar a correspondência numérica (number matching), onde o utilizador necessita de inserir no telemóvel um código de dois dígitos apresentado no ecrã do computador. Embora esta barreira técnica reduza substancialmente o risco, não elimina a componente psicológica: os atacantes passaram a contactar as vítimas por telefone para ditar diretamente os números a introduzir.

Para aferir a maturidade das suas equipas perante cenários de pressão psicológica e usurpação de identidade, a realização de simulações realistas no terreno é fundamental. Este é precisamente o papel do nosso simulador de campanhas de phishing de treino Super Phisher, desenvolvido para confrontar os seus colaboradores com cenários reais de engenharia social e medir as suas reações sob condições autênticas.

Que medidas técnicas e organizacionais devem ser implementadas para mitigar este risco?#

Face à ameaça de push bombing, a resposta corporativa exige uma articulação entre o reforço da infraestrutura e a formação contínua dos utilizadores. A Brain Security recomenda a adoção do seguinte plano de ação:

• Ativar a correspondência numérica (Number Matching): Torne obrigatória a introdução do código dinâmico apresentado no ecrã de origem. Sem contacto visual com o equipamento, o atacante remoto não consegue deduzir a combinação.
• Implementar restrições de frequência (Rate Limiting): Configure as regras de acesso condicional para bloquear preventivamente a conta após três notificações push rejeitadas ou ignoradas num curto período de tempo.
• Aplicar controlos de contexto geográfico e de rede: Impeça autenticações com origem em países anómalos ou a partir de endereços IP associados a nós Tor e serviços comerciais de VPN anónimos.
• Criar canais de reporte ágeis e sem atrito: Os colaboradores devem dispor de um mecanismo para sinalizar notificações suspeitas através de um clique, sem receio de penalizações por alertarem as equipas de resposta a incidentes.
• Migrar perfis críticos para chaves FIDO2: Para utilizadores com privilégios elevados (administradores de sistemas, elementos da Comissão Executiva e quadros financeiros), recorra a chaves de segurança física imunes a técnicas de fadiga de autenticação.

A autenticação multifator não funciona como um escudo impenetrável por si só: o seu nível real de proteção está subordinado ao discernimento de quem opera o dispositivo. Aliando configurações técnicas rigorosas à capacitação prática das equipas, o bombardeamento por notificações perde todo o seu poder de intrusão.

Procura avaliar a resiliência da sua organização face aos métodos modernos de engenharia social? Fale connosco para estruturar um plano de treino perfeitamente alinhado com as suas prioridades de segurança.

INTERFACE E EXPERIÊNCIA BRAIN SECURITY · Super Phisher

Para aprofundar: artigos relacionados e soluções da Brain Security#

Artigos complementares sobre este tema

• Smishing: Como sensibilizar as suas equipas contra ataques por SMS? (Phishing e Engenharia social) : Descubra como combater o smishing na empresa. Compreenda a vulnerabilidade móvel e adote os reflexos certos para proteger as suas equipas.
• Vishing: Como os cibercriminosos manipulam as suas equipas ao telefone (Phishing e Engenharia social) : Descubra as táticas de vishing contra o suporte de TI, a manipulação de MFA e como proteger as suas equipas com treinos práticos de cibersegurança.
• Typosquatting e domínios homóglifos: Ensinar as equipas a ler um URL (Phishing e Engenharia social) : Descubra como detetar typosquatting e ataques homóglifos. Treine as suas equipas para identificar armadilhas em URLs e travar o phishing.
• PCI DSS v4.0 Requisito 12.6: Reforçar a sensibilização contra phishing (Conformidade (NIS 2, DORA, ISO)) : Conheça as exigências do PCI DSS v4.0 (12.6) para a formação em cibersegurança e o combate ao phishing com as nossas recomendações práticas.

Descobrir as soluções da Brain Security no site

• Solução associada : Super Phisher : O simulador de phishing que treina as suas equipas para os ataques reais, do falso e-mail ao código QR armadilhado, num quadro controlado que nunca captura uma palavra-passe.
• Consultar os casos de uso por necessidade e setor
• Comparar os nossos formatos de sensibilização ciber e IA
• Explorar todo o catálogo interativo da Brain Security
• Falar das suas necessidades com a nossa equipa (demo e implementação)