MFA (Autenticação Multifator): Por que Ainda Falta em Tantas Empresas

Segundo pesquisa da Microsoft, a autenticação multifator (MFA) bloqueia mais de 99% dos ataques de comprometimento de contas. A CISA (agência de cibersegurança dos Estados Unidos) chega a um número parecido: 99% de redução na probabilidade de um ataque hacker ser bem-sucedido. É, provavelmente, a medida de segurança com melhor relação custo-benefício que existe — e ainda assim, é comum encontrar empresas onde contas administrativas, e-mail corporativo e acesso remoto dependem só de usuário e senha.

O que é MFA, em uma frase

MFA é exigir mais de uma prova de identidade para acessar uma conta — normalmente combinando algo que a pessoa sabe (senha), algo que ela tem (celular, token físico) e algo que ela é (biometria). Mesmo que um invasor descubra a senha por phishing ou vazamento, o acesso continua bloqueado sem o segundo fator.

Por que o número de 99% faz sentido matemático

Ataques de conta em massa dependem de escala: criminosos automatizam milhares de tentativas simultâneas, e o custo de cada tentativa é praticamente zero. O MFA quebra essa economia — cada conta passa a exigir uma interação manual, um dispositivo físico ou uma verificação biométrica, o que transforma um ataque barato em um ataque caro e, na maioria dos casos, inviável em escala. Não é uma barreira perfeita, mas é a que mais eleva o custo do ataque por unidade de esforço de implementação.

Então por que tantas empresas ainda não usam

Percepção de fricção. O motivo mais citado é o incômodo das etapas extras de verificação — tratado como obstáculo à produtividade, não como investimento em segurança. Isso muda quando a empresa integra MFA a um sistema de login único (SSO): o colaborador autentica uma vez com MFA e circula entre aplicações sem repetir o processo a cada acesso.

Sistemas legados sem suporte nativo. Softwares mais antigos, especialmente sistemas internos desenvolvidos há anos, muitas vezes não foram construídos para suportar um segundo fator de autenticação — implementar MFA nesses casos exige adaptação técnica que a empresa posterga indefinidamente.

Falta de plano para quando algo dá errado. Perda de celular, token que para de funcionar, colaborador em viagem sem acesso ao segundo fator — esses cenários vão acontecer, e empresas sem um processo claro de recuperação de acesso acabam desativando o MFA "temporariamente" para resolver o problema pontual, e nunca mais reativam.

Falsa sensação de que "minha empresa é pequena demais para ser alvo". Como mostram os dados de ransomware no Brasil, criminosos hoje priorizam ambientes vulneráveis e acessos já comprometidos — não necessariamente o alvo "mais valioso", mas o mais fácil de comprometer.

Um exemplo do que a ausência de MFA custa na prática

Em um caso amplamente reportado envolvendo uma empresa brasileira de mobilidade, a origem de uma falha de segurança foi identificada como a ausência de autenticação multifator na conta de um prestador terceirizado — um fornecedor integrado à cadeia digital da empresa. O invasor, aproveitando essa fragilidade isolada, acessou ferramentas internas de comunicação e potencialmente visualizou interações entre colaboradores. O caso ilustra um ponto central: a cadeia de segurança é tão forte quanto seu elo mais fraco, e esse elo, frequentemente, é uma única conta sem MFA — às vezes nem mesmo de um funcionário direto, mas de um terceiro conectado ao ambiente da empresa.

Como implementar sem gerar rejeição interna

• Priorize contas administrativas e de acesso remoto primeiro — são as de maior risco e menor volume, o que facilita testar o processo antes de expandir.
• Combine com SSO sempre que possível, para não multiplicar a fricção de login em cada sistema separado.
• Explique o "porquê" antes de impor — adoção é sempre melhor quando as pessoas entendem que a medida protege dados de clientes e a continuidade do próprio negócio, não é burocracia arbitrária.
• Defina o processo de recuperação de acesso antes de precisar dele — perda de dispositivo e token quebrado vão acontecer; ter um caminho claro evita que alguém desative o MFA "só dessa vez".

Ainda sem MFA na sua empresa?

A Forge Code ajuda empresas a implementar autenticação multifator e outras camadas de segurança sem travar a produtividade da equipe.

Solicitar diagnóstico de segurança →