MFA por aplicativo: aprovar sem conferir vira risco?

Notificações tornam o segundo fator prático, mas pedidos inesperados não devem virar uma aprovação automática por hábito ou pressão.

Por Cleiton Celini e Gledson Alves, sócios e contadores da AUDICONT Contabilidade

Notificações push tornam o MFA rápido: o usuário toca em aprovar e continua o trabalho. Essa conveniência perde valor quando a pessoa aprova sem relacionar o pedido a uma ação iniciada por ela.

Quando MFA por aplicativo depende de terceiro, o plano também precisa explicar como revogar acessos, recuperar informações necessárias e manter a continuidade sem transformar o fornecedor em ponto único de dependência.

O tema também se relaciona a senha compartilhada na empresa e a alertas de sistema. Esses conteúdos aprofundam controles adjacentes sem substituir a análise específica desta pauta.

Aprovar é uma decisão, não um reflexo

Em ataques de fadiga de MFA, o objetivo é gerar insistência até que alguém aprove por engano, cansaço ou pressão. O controle humano melhora quando a mensagem mostra aplicação, localização aproximada, número correspondente ou outro contexto disponível.

Como funciona a fadiga de MFA

Exemplo: a notificação que chega no meio do expediente

Exemplo hipotético: às 22h, um funcionário recebe três pedidos de aprovação sem estar entrando em nenhum sistema. Aprovar para “parar as notificações” transforma um sinal de ataque em autorização. O fluxo correto é rejeitar, reportar e revisar a conta.

Uma solicitação inesperada pode indicar que a senha já foi descoberta. Por isso, o procedimento deve orientar não só a rejeição, mas também o reporte e a revisão de tentativas recentes.

Contexto na tela ajuda a distinguir a tentativa

Treinamento precisa combinar com configuração

Para reduzir aprovações por hábito, a empresa pode combinar configuração e orientação objetiva:

• Orientação para recusar pedidos inesperados.
• Number matching ou contexto quando disponível.
• Canal de reporte rápido.
• Revisão de logs após solicitações suspeitas.
• MFA resistente a phishing quando viável.
• Revogação de sessões em incidente.

Em MFA por aplicativo, pessoas, dispositivos e fornecedores precisam seguir a mesma regra operacional. Se cada parte entende o controle de forma diferente, a exceção vira o ponto em que a proteção deixa de funcionar.

Recusar a notificação pode ser só o começo da resposta

Plataformas diferentes oferecem métodos diferentes. Quando houver opções resistentes a phishing, elas podem ser priorizadas para perfis administrativos e acessos de maior impacto.

Na avaliação de Cleiton Celini e Gledson Alves, sócios e contadores da AUDICONT Contabilidade, o segundo fator só agrega segurança quando o usuário entende que está confirmando uma ação específica. Transformar o push em reflexo automático enfraquece justamente a decisão que o MFA deveria exigir.

Treinar a decisão de aprovar ou recusar

Para MFA por aplicativo, a empresa pode registrar em uma única ficha o ativo ou conta envolvida, o responsável, a finalidade, o controle esperado e a última evidência de teste. Esse registro ajuda a distinguir configuração existente de controle efetivamente verificado. A revisão deve ser refeita quando houver mudança de fornecedor, equipe, integração ou incidente, porque o risco pode mudar mesmo que a ferramenta permaneça a mesma.

O controle pode ser testado com uma simulação interna: apresente aos usuários uma solicitação inesperada em ambiente autorizado e confirme se eles recusam, reportam e sabem qual procedimento seguir.

O que precisa ficar comprovado em MFA por aplicativo

Para que MFA por aplicativo deixe de ser apenas uma configuração e vire controle empresarial, a evidência precisa permitir que outra pessoa entenda o que foi decidido e repita a verificação. Um registro curto pode associar orientação para recusar pedidos inesperados, number matching ou contexto quando disponível e canal de reporte rápido à data da última revisão, ao responsável e ao resultado encontrado. Se houver exceção, ela deve indicar motivo, prazo e quem autorizou. Essa disciplina é especialmente útil em desligamentos, troca de fornecedor e incidentes, porque reduz a dependência de memória e ajuda a separar falha de tecnologia de falha de processo. O objetivo não é produzir documentação extensa, mas preservar informação suficiente para decidir com rapidez e demonstrar que o controle de MFA por aplicativo foi efetivamente testado.