Ataques a 2FA: medimos se o segundo fator sobrevive a um proxy
Um intermediário pede o código ou o push em tempo real. O exercício é técnico: qual controle falha, não quem “caiu num SMS”.
Como testamos o fator sem quebrar o IdP
Documentamos qual MFA os papéis do universo usam: app, OTP, push, chave. Sem esse mapa o cenário é genérico e não mede. IAM precisa sentar no brief.
Montamos o fluxo de proxy ou de captura do challenge, sem persistir segredos. A isca se parece com o login que as pessoas já usam. O teto ético é não reutilizar uma sessão real nem tocar a produção do IdP.
Disparamos a isca no universo combinado. Registramos quem entregou o código, quem aprovou o push e quem parou para verificar por outro canal. Não há um reenvio em massa de SMS de marketing.
O relatório traduz o gesto em controle: fadiga, ausência de matching, OTP por SMS, falta de FIDO. Segurança e IAM recebem a mesma peça, em linguagem de arquitetura, não de campanha de awareness.
Por que “já temos MFA” é uma frase incompleta
Porque o segundo fator foi desenhado para um atacante que não está na sessão. O intermediário está: vê o challenge e o passa. O OTP que viaja por SMS ou se lê em voz alta é um segredo de uso único que o proxy gasta no mesmo minuto. O push…
O que entregamos
Evidência de se o segundo fator aguenta um intermediário, escrita para IAM e para o programa.
Mapa de MFA do universo
Qual fator cada papel do alcance usa. Sem isso o resultado não se lê. Fica como anexo do relatório.
Cenário de intermediário
Fluxo controlado, sem segredo persistido, alinhado ao seu IdP na aparência e não em credenciais reais de produção.
Relatório de controles
Quem entregou o fator e qual controle falhou. Corte técnico, não uma taxa de “caídos em phishing”.
Recomendação de hábito e de arquitetura
O que pedir às pessoas (não aprovar push cego, não ler OTP) e o que decidir no IAM (matching, FIDO, canal fora de banda). Duas linhas, um dono em cada.
O que precisamos de vocês
Um interlocutor de IAM ou de identidade que explique o segundo fator real, não o que está na política. Acesso a um ambiente de aparência — marca do IdP, textos de challenge — sem… Também um universo de pessoas que usem MFA de verdade. Não serve um grupo que ainda está só com senha. Exclusões: contas de serviço, break-glass, terceiros. Este serviço não pede…
Como se encaixa no programa
O ataque a 2FA não substitui as simulações de e-mail nem o smishing. É uma medição do fator, não do celular pessoal nem do clique num anexo. Lê-se com IAM e com o índice, em duas conversas distintas. Misturar com…
Também se contrata junto com este
Perguntas sobre ataques a 2FA
Coloque à prova a frase “temos MFA”
Se o segundo fator não foi medido diante de um intermediário, a cobertura é hipótese. Vamos falar com o IAM.
Catálogo completo em Serviços