O que é autenticação multifator adaptativa (MFA adaptativa)?

Imagine que é uma manhã ensolarada de outono e você decide, em vez de configurar a estação de trabalho no seu escritório, quer trabalhar remotamente do café que acabou de abrir no centro da cidade. Você pede café, pega seu notebook e começa a fazer login no dashboard da sua empresa. O sistema reconhece instantaneamente que você está usando uma nova rede Wi-Fi junto com um dispositivo que nunca registrou antes. Em vez de um "acesso negado" direto, você recebe um prompt único e com reconhecimento de contexto para uma leitura de impressão digital.

Nessa situação, uma camada extra de segurança aparece porque o risco é maior do que o normal. Essa proteção perfeita “conforme necessário” é o cerne da autenticação multifator adaptativa (A-MFA). Essa autenticação baseada em riscos é uma maneira mais inteligente de reforçar sua postura de segurança sem sacrificar a conveniência. 

De acordo com o relatório do custo das violações de dados da IBM 2025, o custo médio de uma violação de dados é agora de 4,4 milhões de dólares. Só esse fato já demonstra por que as organizações não podem se dar ao luxo de usar as mesmas defesas básicas para todos os usuários. Com o aumento dos ataques de phishing baseados em inteligência artificial (IA), as soluções de autenticação multifator (MFA) devem ser um requisito mínimo para a segurança. Felizmente, existem muitas opções para implementar A-MFA, como Auth0 e Duo. Neste artigo, explicaremos como a MFA adaptativa avalia o risco em tempo real. Também exploraremos os casos de uso em que ele se destaca e forneceremos a você o conhecimento fundamental necessário para decidir onde ele se encaixa em seu framework de segurança.

Até agora, a maioria de nós já usou a autenticação multifator (MFA) em um momento ou outro. A MFA adiciona requisitos extras de segurança às suas contas ao exigir que você comprove sua identidade usando métodos adicionais de autenticação. Assim como o logon único e a autenticação de dois fatores (2FA), a MFA se enquadra no pilar de autenticação do gerenciamento de identidade e acesso (IAM). Em vez do método tradicional de depender apenas de uma senha, normalmente será necessário usar dois ou mais fatores para fazer login. Esses fatores se enquadram em três categorias principais:

1. Algo que você sabe, como uma senha ou a resposta a uma pergunta de segurança.
   
   
2. Algo que você tem, como um smartphone, um token de segurança ou até mesmo uma chave física (por exemplo, uma chave Yubi em um dispositivo USB).
   
   
3. Algo que você é — especificamente, dados biométricos de uma impressão digital ou de uma leitura facial.

Por exemplo, pode ser solicitado que você insira sua senha (conhecimento) e, em seguida, um código SMS seja enviado para o seu telefone (algo que você tem) ou que você faça a leitura da sua impressão digital (algo que você é). Ao combinar esses fatores, a MFA torna muito mais difícil que usuários não autorizados acessem suas contas, mesmo que sua senha tenha sido comprometida. Agora, combine essa abordagem com um sistema que aplica medidas de segurança adicionais apenas quando detecta um risco de segurança maior, e você tem a essência da MFA adaptativa.  

Pense na MFA adaptativa como uma evolução avançada da MFA tradicional. Criada por Abhijit Kumar Nag e Dipankar Dasgupta, essa medida de proteção leva a MFA tradicional um passo adiante. Ela utiliza informações contextuais dos padrões diários do usuário para avaliar o nível de risco associado a uma tentativa específica de login. Se o nível de risco de uma tentativa de login de um usuário específico estiver acima de um limite previamente definido, isso será considerado um evento de disparo. 

A MFA adaptativa permite que administradores de sistemas classifiquem critérios de disparo com base em diversos fatores, incluindo funções de usuário e ativos da empresa. Considere o exemplo usado anteriormente, quando você faz login em um dashboard corporativo a partir de um café. Se você nunca esteve ali antes, isso pode ser visto como um evento de disparo. No entanto, se você frequentar esse local com regularidade e aproximadamente no mesmo horário, provavelmente não será considerado um evento de disparo. Por outro lado, se alguém tentar acessar o dashboard da sua empresa usando suas credenciais, em um país do outro lado do mundo, no dia seguinte e em um horário incomum, quase certamente surgirão alertas. Esse exemplo demonstra do que se trata a MFA adaptativa: compreender os padrões de um usuário específico e aplicar medidas extras de segurança apenas quando algo parece suspeito ou fora do padrão. Na próxima seção, falaremos sobre as funções da MFA tradicional e como elas diferem da MFA adaptativa.

A MFA adaptativa é muito semelhante à MFA tradicional, com alguns avanços adicionais para manter seus dados sensíveis protegidos e seguros sem sacrificar a usabilidade. A seguir, abordamos as etapas da MFA adaptativa e como ela funciona.

Um usuário tenta fazer login em um sistema (por exemplo, um dashboard corporativo, uma aplicação e outros) inserindo um nome de usuário e senha ou uma passkey. O sistema começa a validar essas credenciais em relação às credenciais que possui armazenadas.

Esta é a etapa que diferencia a MFA adaptativa da MFA tradicional. Enquanto a MFA tradicional simplesmente exige um segundo fator de autenticação, a MFA adaptativa analisa o nível de risco e determina o nível apropriado de autenticação para esse risco.

Ela começa coletando e comparando dados da solicitação atual de login ou acesso com dados de logins ou solicitações de acesso anteriores. Esses dados podem incluir:

• Localização: essa área é uma geolocalização familiar para esse usuário ou uma em uma cidade ou mesmo país diferente?
  
  
• Dispositivo ou tipo de dispositivo: esse dispositivo é um dispositivo da empresa ou de propriedade pessoal? Esse dispositivo é o mesmo utilizado para fazer login ou é um dispositivo novo? O login está sendo tentado a partir de um móvel quando o usuário normalmente faz login de um notebook?
  
  
• Hora do dia: são horas normais de trabalho em que esse funcionário normalmente faz login ou esse período é estranho?
  
  
• Comportamento do usuário: a que o usuário está tentando ter acesso, levando em consideração os fatores combinados mencionados anteriormente?
  
  
• Rede: essa rede faz parte de uma empresa, propriedade intelectual pública ou privada?
  
  
• Dados históricos: todas as informações de login anteriores desse usuário são armazenadas e mantidas em relação à tentativa de login atual.

Um sistema de pontuação de risco avalia os resultados e atribui um nível de risco a essa tentativa de login. Por exemplo, um login de um país diferente em um novo dispositivo durante o horário de trabalho de um endereço não reconhecido pode ser atribuído a um alto nível de risco.

Os resultados da pontuação de risco resultam em uma resposta de autenticação específica do contexto. Isso pode incluir:

• Disparo padrão de MFA (baixo risco): pode ser uma senha de uso único (OTP) enviada ao dispositivo móvel do usuário por meio de uma notificação push ou de um aplicativo autenticador, como o Google Authenticator ou o Microsoft Authenticator.
  
  
• Disparo aprimorado de MFA (risco médio): nesse caso, o sistema pode aplicar um método mais rigoroso de autenticação, como biometria (leitura facial ou de impressão digital), perguntas de segurança ou autenticação baseada em conhecimento (perguntas sobre o histórico específico do usuário).
  
  
• Bloqueio imediato e alerta (alto risco): em situações de alto risco, o sistema pode bloquear imediatamente a tentativa de login e notificar o departamento de segurança da organização.

Os sistemas A-MFA monitoram continuamente as atividades e os comportamentos de cada usuário para identificar melhor as anomalias ao longo do tempo. Cada vez mais, os sistemas A-MFA estão adotando algoritmos de aprendizado de máquina para aprender com as tentativas anteriores de login ou acesso do usuário. Quanto mais tentativas de login o sistema encontrar, mais apto se tornará a identificar tentativas válidas e suspeitas.

As organizações adotam a MFA adaptativa por vários motivos:

• Maior nível de controle para administradores de sistemas: os sistemas A-MFA permitem que os administradores aumentem ou reduzam o número de requisitos de autenticação com base na confidencialidade do ativo e/ou na função da pessoa que está tentando acessar o ativo.
  
  
• Usabilidade ótima sem sacrificar a segurança: O A-MFA permite fluidez em suas exigências de autenticação para que a segurança corresponda à situação e não seja um obstáculo para a experiência do usuário.
  
  
• Resiliência geral aprimorada: adotar o A-MFA como parte de uma abordagem de segurança zero trust fortalece imediatamente a segurança e reduz significativamente o risco de violações de dados de ataques como phishing.