MFA fatigue: o ataque que abusa das notificações de autenticação

O que é MFA fatigue e por que ele funciona tão bem

A autenticação multifator (MFA) se consolidou como uma das defesas mais eficazes contra o roubo de contas corporativas. Ao exigir um segundo fator além da senha — geralmente uma notificação push no celular —, ela bloqueia a imensa maioria das tentativas de acesso indevido. Mas os criminosos não desistiram: em vez de tentar quebrar a tecnologia, passaram a atacar o elo humano do processo. É exatamente isso que o MFA fatigue, também chamado de push bombing ou MFA bombing, explora.

O golpe é simples na mecânica e devastador na prática. O atacante já possui a senha da vítima — obtida em vazamentos, phishing ou compra em fóruns clandestinos — e passa a realizar tentativas de login em sequência. Cada tentativa dispara uma notificação de aprovação no celular do usuário legítimo. Dez, vinte, cinquenta notificações, muitas vezes de madrugada. O objetivo é gerar cansaço, irritação ou confusão até que a pessoa aprove uma delas, seja por engano, seja apenas para que os alertas parem.

Casos de grande repercussão mostraram o potencial do ataque. A invasão da Uber em 2022, atribuída ao grupo Lapsus$, começou com push bombing contra um prestador de serviço: após bombardear o alvo com notificações, o atacante entrou em contato se passando pelo suporte de TI e o convenceu a aprovar o acesso. A Microsoft e a Cisco também registraram incidentes com a mesma técnica. Ou seja: não é teoria, é um método consolidado no arsenal de grupos de ransomware e de roubo de credenciais.

Como o ataque acontece na prática

Para entender como se defender, vale acompanhar o passo a passo típico de uma campanha de MFA fatigue. O ataque raramente é isolado — ele costuma ser a etapa final de uma cadeia que começou semanas antes, com a coleta de credenciais válidas.

1. Obtenção da senha: o criminoso compra credenciais vazadas, executa phishing direcionado ou usa malware do tipo infostealer para capturar logins corporativos.
2. Validação silenciosa: com ferramentas automatizadas, ele confirma quais credenciais ainda funcionam e quais contas têm MFA por push habilitado.
3. Bombardeio de notificações: scripts disparam tentativas de login em rajadas, gerando dezenas de pedidos de aprovação no dispositivo da vítima, frequentemente em horários de sono ou de alta distração.
4. Engenharia social de apoio: em muitos casos, o atacante liga ou manda mensagem se passando pelo helpdesk, alegando que as notificações são "um teste do sistema" e pedindo que o usuário aprove.
5. Persistência: uma vez dentro, o invasor cadastra o próprio dispositivo como método de MFA adicional, garantindo acesso duradouro mesmo que a senha seja trocada.

O último ponto merece atenção especial. Muitas equipes de TI respondem ao incidente apenas redefinindo a senha, sem revisar os métodos de autenticação cadastrados na conta. O resultado é que o atacante continua entrando normalmente, agora com um fator "legítimo" registrado em nome dele. Toda resposta a um caso de MFA fatigue precisa incluir a auditoria e a limpeza dos métodos de autenticação da conta comprometida.

Number matching: a resposta direta ao push bombing

A principal contramedida técnica ao MFA fatigue é o number matching, recurso que a Microsoft tornou obrigatório no Microsoft Authenticator para todos os tenants a partir de maio de 2023. Em vez de exibir apenas os botões "Aprovar" e "Negar", a tela de login mostra um número de dois dígitos que o usuário precisa digitar no aplicativo do celular para concluir a autenticação.

Essa mudança aparentemente pequena quebra a lógica do ataque. Aprovar sem pensar deixa de ser possível: quem não está vendo a tela de login não conhece o número e, portanto, não consegue completar a aprovação. O bombardeio de notificações perde o efeito, porque cada pedido exige uma ação consciente e informada da vítima. Além do número, o Authenticator pode exibir contexto adicional — a localização geográfica aproximada da tentativa e o aplicativo que está solicitando o acesso —, o que ajuda o usuário a identificar de imediato que algo está errado.

Uma tentativa de login vinda de outro país, às 3h da manhã, pedindo um número que você não tem como saber: com number matching, o próprio usuário se torna capaz de reconhecer e negar o ataque, em vez de ser a porta de entrada dele.

Para ambientes fora do ecossistema Microsoft, o princípio se repete em outras plataformas: Okta, Duo e Google oferecem variações de verificação por desafio, em que a aprovação exige interação com informação exibida apenas na tela de origem. O importante é abandonar o modelo de "aprovação de um toque", que foi conveniente enquanto durou, mas se tornou o alvo preferencial do push bombing.

Políticas de acesso que fecham o cerco

Number matching resolve o vetor principal, mas a defesa robusta contra MFA fatigue combina várias camadas de política. O objetivo é reduzir o número de notificações legítimas que o usuário recebe — quanto mais raro for o pedido de MFA, mais suspeito parecerá um bombardeio — e limitar o que um atacante consegue fazer mesmo com a senha correta em mãos.

• Acesso Condicional (Conditional Access): no Microsoft Entra ID, políticas podem bloquear logins de países onde a empresa não opera, exigir dispositivo gerenciado ou em conformidade e negar autenticação de redes anônimas como Tor e VPNs comerciais suspeitas.
• Limite de tentativas de MFA: configurar bloqueio automático da conta ou do método após um número pequeno de negações ou de pedidos não respondidos em sequência, cortando o bombardeio na origem.
• Proteção baseada em risco: recursos como o Entra ID Protection avaliam cada login por sinais de risco — viagem impossível, IP malicioso conhecido, credencial vazada — e podem exigir redefinição de senha ou bloquear a sessão automaticamente.
• Métodos resistentes a phishing: para contas administrativas e de alto privilégio, migrar de push para FIDO2 (chaves de segurança físicas) ou Windows Hello for Business, que eliminam por completo a aprovação remota que o ataque explora.
• Monitoramento de cadastro de métodos: alertar a equipe de segurança sempre que um novo dispositivo ou método de MFA for registrado em uma conta, especialmente logo após uma sequência de tentativas de login falhas.

Há ainda um detalhe operacional que muitas empresas negligenciam: desabilitar métodos legados. Se a conta ainda aceita SMS ou chamada de voz como fator alternativo, o atacante simplesmente contorna o number matching escolhendo o método mais fraco. A política de autenticação deve ser revisada como um todo, removendo opções vulneráveis em vez de apenas adicionar as seguras por cima.

O fator humano: treinar para desconfiar

Nenhum controle técnico substitui um usuário que sabe reconhecer o ataque. O MFA fatigue é, no fundo, engenharia social — e engenharia social se combate com treinamento e cultura. A boa notícia é que a mensagem a transmitir é curta e memorizável, o que facilita campanhas internas de conscientização.

Três orientações resolvem a maior parte dos cenários. Primeira: nunca aprove uma notificação de MFA que você não originou naquele momento — se o pedido apareceu e você não estava fazendo login, a resposta é sempre negar. Segunda: uma enxurrada de notificações não é defeito do sistema, é sinal de que sua senha está comprometida; negue todas e avise a TI imediatamente, porque a senha precisa ser trocada. Terceira: desconfie de qualquer ligação ou mensagem do "suporte" pedindo que você aprove um acesso — equipes de TI legítimas não fazem esse tipo de solicitação.

Vale incluir simulações de push bombing nos exercícios periódicos de segurança, da mesma forma que já se faz com phishing simulado. Medir quantos colaboradores negam, quantos aprovam e quantos reportam o incidente dá à equipe de segurança um indicador concreto de maturidade — e mostra onde reforçar o treinamento antes que um ataque real aconteça.

Como a Duk protege sua empresa contra MFA fatigue

Implementar number matching, desenhar políticas de Acesso Condicional coerentes, migrar contas privilegiadas para FIDO2 e treinar usuários exige conhecimento profundo do ecossistema Microsoft e acompanhamento contínuo. É um trabalho de configuração fina: uma política mal calibrada tanto pode deixar brechas quanto travar o dia a dia da operação com pedidos de autenticação excessivos.

A Duk Informática & Cloud faz esse trabalho de ponta a ponta há mais de 18 anos. Como Microsoft Gold Partner, nossa equipe implementa e gerencia a proteção de identidade no Microsoft 365 e no Entra ID para mais de 550 empresas atendidas — do desenho das políticas de Acesso Condicional à resposta a incidentes, passando pelo monitoramento de tentativas suspeitas de login e pela auditoria de métodos de autenticação cadastrados. Com suporte 24/7 com SLA e data center próprio em Alphaville, garantimos que um bombardeio de notificações às 3h da manhã encontre uma barreira técnica bem configurada e uma equipe pronta para responder.

Se a sua empresa ainda usa aprovação por push de um toque, ou nunca revisou as políticas de MFA desde a implantação, este é o momento de agir — antes que o cansaço de um único usuário se transforme na porta de entrada de um ransomware. Fale com a Duk e descubra como fortalecer a autenticação da sua operação sem atrapalhar a produtividade de quem trabalha.