O que é MFA, exatamente?

Autenticação multifator (MFA) exige mais de uma prova de identidade para liberar o acesso. Em geral, senha mais um segundo fator: código de aplicativo, notificação no celular ou chave física. Se alguém rouba a senha, ainda precisa do segundo fator, que fica num dispositivo que o invasor não tem.

Senha forte não basta?

Não. Senha forte dificulta adivinhação, mas não protege quando a pessoa digita a senha certa num site falso, nem quando reaproveita uma senha que já vazou em outro serviço. Nos dois casos o invasor chega com a senha correta. O segundo fator é o que o barra.

Por onde começar se não dá para ativar em tudo de uma vez?

Pelo dano potencial. Primeiro o e-mail corporativo, porque ele redefine senha de quase todo o resto. Depois VPN e acesso remoto, sistemas financeiros e painéis administrativos de nuvem, servidor e backup. Sistemas internos de menor impacto entram por último.

Todo MFA protege igual?

Não. A CISA, agência de cibersegurança dos Estados Unidos, recomenda MFA resistente a phishing, como chaves FIDO, e trata SMS, ligação de voz e aprovação simples por push como métodos mais fáceis de contornar. Para contas de administrador e financeiro, prefira chave física ou passkey.

O MFA incomoda o usuário no dia a dia?

Pouco, quando bem configurado. Ferramentas modernas permitem confiar num dispositivo já verificado por um período e pedir o segundo fator só em login novo, local inesperado ou comportamento fora do padrão. O atrito grande aparece quando a regra pede o fator a cada acesso, sem exceção.

E se o funcionário perder o celular com o aplicativo de autenticação?

Defina a recuperação antes de ativar. Gere códigos de backup na configuração ou cadastre um segundo método. Exija verificação formal de identidade para redefinir o fator. Sem esse processo, a perda do aparelho vira emergência resolvida na pressa, e a pressa abre brecha.

MFA em tudo: checklist por ordem de dano para reduzir invasões

Ative MFA primeiro onde um acesso roubado causa mais dano: e-mail corporativo, VPN e acesso remoto, sistemas financeiros e painéis administrativos de infraestrutura. Só depois cuide dos sistemas internos de menor impacto. Essa ordem importa mais do que a cobertura total no primeiro dia.

O motivo é simples. Credencial roubada continua entre as portas de entrada mais usadas em invasões, e o segundo fator derruba a maior parte desse risco. A seguir, os dados, o checklist e as decisões que o gestor precisa tomar antes de ativar.

Credencial roubada ainda é uma porta de entrada relevante?

Sim, mas o quadro mudou e vale contar do jeito certo.

No relatório Verizon Data Breach Investigations Report (DBIR) de 2025, o abuso de credenciais foi o vetor de acesso inicial mais frequente, presente em 22% das violações analisadas. A exploração de vulnerabilidades veio logo atrás, com 20%. O estudo examinou 22.052 incidentes, dos quais 12.195 foram violações confirmadas. Fonte: Verizon, DBIR 2025.

No DBIR de 2026, a Verizon informa que a exploração de vulnerabilidades passou a ser o vetor de acesso inicial mais comum, e que o abuso de credenciais, antes líder, recuou. Fonte: Verizon, DBIR 2026, resumo executivo.

Leia assim: credencial roubada deixou de ser a campeã isolada, mas segue sendo um caminho grande e barato para o atacante. E é um caminho que a empresa fecha com uma decisão de gestão, não com um projeto longo.

Quanto o MFA realmente reduz o risco?

Uma pesquisa da Microsoft publicada em 2023 mediu isso em contas reais. Os autores analisaram contas do Azure Active Directory (hoje Microsoft Entra ID) e concluíram que o MFA reduz o risco de comprometimento em 99,22% na população estudada, e em 98,56% quando a senha já vazou. Fonte: Meyer et al., Microsoft Research, 2023, How effective is multifactor authentication at deterring cyberattacks?.

Três cuidados ao usar esse número:

Ele vem de um conjunto de contas Microsoft. Não é garantia para qualquer ambiente.
Ele mede redução de risco. Não promete que nenhuma conta será invadida.
Ele depende do tipo de MFA usado e da cobertura real. Um MFA ativado só em parte dos sistemas protege só essa parte.

Por que senha forte não resolve?

Senha forte protege contra um ataque: a adivinhação por tentativa em massa. Os dois caminhos mais comuns de perda de credencial passam por outro lado:

Phishing: a pessoa digita a senha certa, por vontade própria, num site ou formulário falso. A senha era forte. O problema foi onde ela foi digitada.
Reuso de senha vazada: a mesma senha, ou uma parecida, vale em outro serviço que já sofreu violação. O invasor não adivinha nada. Ele testa credenciais já expostas contra o seu sistema.

Nos dois casos, a força da senha não decide o resultado. O segundo fator decide.

Em que ordem ativar MFA na empresa?

Pergunte, sistema por sistema: se este acesso for comprometido, qual o tamanho do dano, e ele já tem MFA? Use este checklist, do maior dano para o menor.

E-mail corporativo. Ele recebe o link de redefinição de senha de quase todos os outros sistemas. Quem entra no e-mail de alguém costuma entrar em cascata no resto.
VPN e acesso remoto. É a porta da rede interna vista de fora. Sem MFA, uma senha vazada vira acesso direto ao ambiente.
Sistemas financeiros e de pagamento. O dano é imediato e se mede em dinheiro.
Painéis administrativos de infraestrutura. Nuvem, servidores e backup. Quem controla esses painéis controla o ambiente e pode apagar backup e evidência.
Ferramentas internas e aplicativos de negócio. Inclui os sistemas que sua equipe criou com apoio de IA. Se eles guardam dado de cliente ou financeiro, sobem na lista.
Sistemas de menor criticidade. Entram por último, não por falta de importância, mas porque o dano de cada um isolado é menor.

Empresa que ativa MFA primeiro nos sistemas mais fáceis de configurar e deixa e-mail e VPN para depois resolve o problema na ordem errada.

Qual tipo de MFA escolher?

Nem todo segundo fator protege igual. A CISA publicou em 2022 o guia Implementing Phishing-Resistant MFA, que recomenda MFA resistente a phishing, baseado em padrões como FIDO, e aponta que métodos como SMS, ligação de voz e aprovação por push são mais vulneráveis a técnicas de roubo do segundo fator. Fonte: CISA, Implementing Phishing-Resistant MFA, 2022.

Na prática, use esta regra de decisão:

Contas de administrador, financeiro e e-mail de diretoria: chave física ou passkey, quando o sistema suportar.
Demais usuários: aplicativo autenticador com confirmação por número, no lugar de aprovação simples.
SMS: use só quando for a única opção disponível, e planeje a troca.

O atrito do MFA é um problema real?

É real quando a regra é mal desenhada. Pedir o segundo fator a cada acesso, sem exceção, cansa o usuário e gera pressão para desligar a proteção.

A maioria das ferramentas modernas permite confiar num dispositivo já verificado por dias ou semanas. O segundo fator volta em login de aparelho novo, local inesperado ou comportamento fora do padrão. O atrito cai e a proteção contra o cenário que importa se mantém: alguém tentando entrar de um lugar ou aparelho que não é o seu.

Como evitar que a perda do celular vire emergência?

Defina a recuperação antes de ativar o MFA. Um processo mínimo tem quatro partes:

Códigos de backup gerados na configuração e guardados fora do celular.
Um segundo método cadastrado, como uma chave física reserva.
Verificação formal de identidade antes de qualquer redefinição de fator.
Registro de quem pediu, quem aprovou e quando.

Sem isso, o suporte resolve a perda do aparelho de qualquer jeito, sob pressão. É nesse momento que o controle é contornado em silêncio e a brecha que o MFA devia fechar reaparece.

O que o gestor decide antes de ativar?

MFA é uma decisão de gestão com consequências técnicas. Antes de pedir a ativação, alguém precisa responder:

Quais sistemas guardam dado de cliente, dinheiro ou controle de infraestrutura?
Quem é o dono de cada acesso e quem aprova exceções?
Qual método de MFA vale para cada perfil de usuário?
Quem executa a recuperação quando o fator se perde, e em quanto tempo?
Qual fornecedor ou sistema legado não suporta MFA e precisa de plano alternativo?
Em que prazo e em que ordem a empresa fecha cada item?

Quando ninguém no negócio tem essa visão, as respostas ficam espalhadas entre o suporte, o fornecedor e a boa vontade de quem configurou. O resultado típico é MFA ativo em alguns sistemas, ausente em outros, e ninguém sabendo qual é qual.

Onde a Direção de Tecnologia entra

MFA não é a única camada de segurança, mas é uma das de melhor relação entre esforço e proteção. O difícil não é ligar a opção. O difícil é decidir a ordem, escolher o método por perfil, tratar os sistemas que não suportam o recurso e manter a recuperação em pé quando alguém muda de função ou sai da empresa.

É esse o trabalho da Direção de Tecnologia da AleffTech: um Head de TI terceirizado que mapeia riscos, define prioridades, estima custos, mantém o roadmap, avalia fornecedores e registra as decisões, com a execução delegada a quem tem a mão na massa. No caso do MFA, isso significa um responsável que mantém a lista de sistemas críticos, a ordem de ativação e o processo de recuperação, e que cobra o prazo de cada item.

O diagnóstico do ambiente é uma fase incluída no onboarding, depois da contratação, e não um serviço avulso. Se você quer discutir se esse formato faz sentido para a sua empresa, fale com a AleffTech sobre a Direção de Tecnologia.