Principais conclusões
- MFA (multi-factor authentication) exige duas ou mais provas de tipos diferentes: algo que você sabe, algo que você tem ou algo que você é.
- 2FA é o MFA com exatamente dois fatores. Verificação em duas etapas pode usar dois códigos do mesmo tipo e, nesse caso, não é MFA de verdade.
- Chaves de segurança e passkeys (FIDO2) resistem a phishing. SMS é o método mais fraco, mas ainda melhor que só a senha.
- MFA protege o login. Ele não remove acesso que sobrou, nem impede que um ex-colaborador com sessão aberta continue usando o software.
Os três tipos de fator
| Fator | O que é | Exemplos |
|---|---|---|
| Conhecimento | Algo que você sabe | Senha, PIN, resposta secreta |
| Posse | Algo que você tem | Celular com app autenticador, chave de segurança, cartão inteligente, código por SMS |
| Inerência | Algo que você é | Impressão digital, reconhecimento facial |
O que torna a autenticação "multifator" é combinar tipos diferentes. Senha mais pergunta secreta são dois fatores do mesmo tipo (conhecimento) e não contam como MFA.
Para a visão geral dos métodos, veja tipos de autenticação, no blog da Niuco.
MFA, 2FA e verificação em duas etapas
- MFA é o termo geral: dois ou mais fatores de tipos diferentes.
- 2FA (autenticação de dois fatores) é o caso mais comum de MFA: exatamente dois fatores, como senha mais código do celular.
- Verificação em duas etapas é qualquer login em dois passos. Senha mais um código enviado por e-mail não conta como MFA: o acesso ao e-mail costuma depender só de outra senha. Na diretriz de autenticação do NIST (SP 800-63B-4), e-mail não serve como autenticador fora de banda, porque não prova a posse de um dispositivo.
Métodos de MFA e o limite de cada um
| Método | Como funciona | Ponto fraco ou limite |
|---|---|---|
| Código por SMS ou ligação | Código enviado ao número cadastrado | Troca de chip (SIM swap) e phishing que captura o código |
| Código de app (TOTP) | App gera um código de uso único, em geral a cada 30 segundos | Phishing em tempo real ainda pode capturar o código |
| Notificação push | A pessoa aprova o login no app | Fadiga de MFA: aprovar por cansaço após muitas notificações; correspondência de número reduz o risco |
| Chave de segurança e passkey (FIDO2/WebAuthn) | Criptografia ligada ao domínio do site | Resistente a phishing; exige distribuir chaves ou dispositivos compatíveis |
Onde exigir MFA primeiro
- Contas administrativas do provedor de identidade, do e-mail e da nuvem.
- Acesso remoto e acesso a softwares financeiros.
- Todos os usuários no provedor de identidade, porque o SSO espalha o login para os demais softwares.
- Contas de serviço não usam MFA: elas precisam de outro controle, como segredo guardado em cofre, rotação e dono nomeado.
Auditorias de ISO 27001 e de SOC 2 costumam verificar se a política de autenticação está aplicada no software, e não só escrita.
Como implantar MFA na empresa em 6 passos
- Comece pelos administradores do provedor de identidade, do e-mail, da nuvem e dos softwares financeiros.
- Escolha os métodos permitidos: app autenticador como padrão, chave de segurança ou passkey para quem tem acesso privilegiado, e SMS só como último recurso.
- Comunique antes de exigir: diga a data, o motivo e como cadastrar. Boa parte dos chamados costuma nascer no cadastro.
- Exija para todos no provedor de identidade e, depois, nos softwares que ficaram fora do SSO.
- Defina a recuperação: o que acontece quando a pessoa troca ou perde o celular, e quem pode redefinir o fator. Esse é o caminho que o golpista tenta.
- Meça a cobertura: percentual de contas com MFA cadastrado, por software, e a lista das exceções com justificativa.
As exceções que toda empresa encontra
| Situação | Por que foge do MFA | Controle alternativo |
|---|---|---|
| Conta de serviço e integração | Não há pessoa para aprovar | Segredo em cofre, rotação, permissão mínima e dono nomeado |
| Quem não tem celular corporativo | A empresa precisa decidir se pede o uso do aparelho pessoal | Chave de segurança física ou aparelho fornecido pela empresa |
| Software legado sem suporte a MFA | O software só conhece usuário e senha | Acesso só pela rede interna ou por um portal com MFA na frente |
| Conta compartilhada | Um fator não serve para várias pessoas | Eliminar a conta compartilhada; cada pessoa com a sua |
| Conta de emergência | Precisa funcionar quando o método usual ou o provedor federado falha | Método próprio e resistente a phishing (chave FIDO2 ou certificado) guardado em cofre, duas contas, uso monitorado e alerta a cada login |
O golpe do código: por que o SMS perdeu força
No Brasil, a troca de chip (SIM swap) e os golpes em que o criminoso convence a vítima a informar um código recebido por SMS ou por aplicativo de mensagem são recorrentes. Nos dois casos o segundo fator existe e funciona, mas vai parar na mão errada.
A lição para a empresa é dupla: preferir métodos resistentes a phishing (chaves de segurança e passkeys) e treinar a equipe para nunca repassar um código, nem ao "suporte". Onde ainda houver notificação no celular, ligue a correspondência de número: ela reduz a aprovação por engano, mas não resiste a phishing.
O que o auditor costuma pedir sobre MFA
- A política que diz onde o MFA é obrigatório.
- A configuração do software mostrando que a regra está ativa, e não só escrita.
- A lista de contas sem MFA, com a justificativa de cada exceção.
- O registro de quem pode redefinir fatores e das redefinições feitas.
O que o MFA não resolve
MFA dificulta que alguém de fora entre com uma senha roubada. Ele não responde às perguntas de governança:
- A pessoa que passou no MFA deveria ter esse perfil de administrador?
- O colaborador desligado ontem ainda tem conta ativa em algum software fora do SSO?
- Quem aprovou esse acesso e quando ele foi revisado pela última vez?
Essas são as perguntas da revisão de acessos e do menor privilégio.
Onde a governança entra
O MFA protege a entrada. O que cada pessoa alcança depois de entrar depende da governança.
A governança de identidade (IGA) da Niuco mantém o inventário de quem tem acesso a quê nos softwares conectados e o cruza com a folha de pagamento: quem entrou, mudou de cargo ou saiu. As campanhas de revisão de acessos levam a lista ao gestor, registram cada decisão e guardam a evidência para o auditor. A Niuco não substitui o SSO nem o diretório: ela trabalha junto com o Microsoft Entra ID e o Google Workspace.
Conheça a governança de identidadeMaterial informativo. Não substitui orientação jurídica.
Informações sobre produtos da Microsoft consultadas na documentação pública da Microsoft em novembro de 2026. Microsoft, Microsoft Entra, Microsoft 365, Active Directory, Windows Server, Azure, Google Workspace, Workday, SAP SuccessFactors, TOTVS, Senior, ADP e demais nomes citados são marcas de seus titulares. A Niuco não é afiliada, parceira nem endossada por eles; a citação é apenas descritiva.