Ataques de fadiga de MFA explicados: como prompts repetidos colocam em risco a segurança do Microsoft 365 e do Azure

By Mirko Peters · 2026-04-26

Nos ambientes de trabalho centrados na Microsoft, a autenticação multifator (MFA) deveria funcionar como a fechadura da porta da frente, impedindo que criminosos cibernéticos entrem…

Automatically translated with AI from the original post. Read the English original

Nos ambientes de trabalho centrados na Microsoft, a autenticação multifator (MFA) deveria funcionar como a fechadura da porta da frente, impedindo que criminosos cibernéticos entrem apenas por terem roubado sua senha. Mas agora surgiu um novo truque: o ataque de fadiga de MFA. Essa estratégia bombardeia os usuários com solicitações de verificação sem parar, na esperança de que alguém, em algum momento, se canse e simplesmente clique em “Aprovar”.

Com mais organizações rodando no Microsoft 365 e no Azure, os atacantes estão mirando diretamente na nuvem, onde a identidade é a chave de tudo. O que torna isso arriscado é que os ataques de fadiga de MFA não quebram o sistema; eles quebram a paciência das pessoas, contornando suas defesas ao desgastar os próprios usuários. Por isso, eles representam uma ameaça séria tanto em ambientes de escritório quanto em configurações remotas.

Este artigo explica o que são esses ataques, como eles realmente funcionam e por que você precisa ir além do MFA tradicional para manter sua casa digital protegida.

O que é um ataque de fadiga de MFA e por que você deveria se importar?

Ataques de fadiga de MFA são um tipo de ataque de engenharia social em que os atacantes abusam do processo de autenticação multifator bombardeando você com solicitações de login repetidas. Eles são chamados de “fadiga” porque, após notificações suficientes, a maioria dos usuários acaba baixando a guarda e aprova uma delas, dando aos criminosos acesso sem que haja uma invasão técnica.

Essa abordagem é diferente de ameaças clássicas como password spraying ou roubo de tokens. Os ataques de fadiga de MFA dependem especificamente de sobrecarregar você com solicitações, explorando a confiança e os hábitos criados pela autenticação baseada em notificação push. Diferentemente do phishing, que engana você para que entregue suas credenciais, esses ataques contam com o cansaço na tomada de decisão e com erros do usuário, algo especialmente comum em grandes empresas, onde a fadiga causada pelas solicitações pode passar despercebida em grande escala.

Você também pode ouvir termos como “MFA bombing” ou “MFA spamming”. São apenas subtipos que usam grandes volumes de solicitações para atingir o mesmo resultado. Essa tática é especialmente eficaz em ambientes como Microsoft 365 e Azure, onde o acesso à nuvem e o login único estão em toda parte. Em um incidente recente envolvendo o Microsoft 365, os atacantes combinaram a fadiga de MFA com roubo de consentimento OAuth e abuso de tokens de sessão, o que lhes permitiu contornar até controles de segurança robustos.

Resumindo: se sua organização depende de notificações push ou de métodos de MFA fracos, você é um alvo preferencial desses ataques. À medida que mais negócios acontecem fora do escritório tradicional, o risco só aumenta. Entender a fadiga de MFA é o primeiro passo para blindar o ambiente de vez.

Como os ataques de fadiga de MFA funcionam na prática

1. O ataque começa com credenciais roubadas: O atacante primeiro obtém um nome de usuário e uma senha válidos, muitas vezes por meio de phishing, malware infostealer ou compra em fóruns da dark web.
2. O atacante inicia solicitações de MFA repetidas: Usando o login roubado, ele tenta entrar imediatamente, o que aciona o sistema de MFA. Mas, em vez de parar, ele envia solicitações de autenticação repetidamente, às vezes dezenas ou centenas em sequência, mirando a notificação push ou o aplicativo de telefone da vítima.
3. O usuário passa por interrupções constantes: A vítima passa a receber uma enxurrada de solicitações de MFA inesperadas, não importa onde esteja: no trabalho, em casa, possivelmente até tarde da noite. Isso é irritante, fora de contexto e exaustivo.
4. A fadiga cognitiva e a natureza humana entram em ação: Conforme a enxurrada continua, um usuário normalmente cuidadoso pode se distrair, ficar insensível ou simplesmente frustrado. Basta um toque acidental ou uma aprovação intencional “só para parar com aquilo” para quebrar a proteção.
5. O atacante obtém acesso aos recursos do Microsoft 365/Azure: Com o MFA aprovado, o atacante entra. A partir daí, ele pode elevar privilégios, exfiltrar dados ou fazer movimentação lateral, estabelecendo persistência rapidamente. Casos reais costumam combinar isso com técnicas mais avançadas, como abuso de OAuth ou brechas em acesso condicional.
6. O impacto se estende ao ambiente inteiro: se sua equipe não definiu políticas claras ou ainda lida com exceções herdadas, os danos podem se multiplicar. Saiba mais sobre como eliminar o débito de segurança do acesso condicional para manter suas defesas eficazes, e não apenas no papel.

Ataques de fadiga de MFA são eficazes porque exploram o ponto mais fraco da cadeia: pessoas reais tentando fazer o trabalho. A cadeia de ataque é simples, mas as consequências podem ser enormes.

Entendendo a autenticação multifator e suas vulnerabilidades

A autenticação multifator (MFA) está no centro da maioria das verificações de segurança das organizações hoje, especialmente para usuários do Microsoft 365 e do Azure. A ideia central é bem simples: você comprova que é realmente você usando vários fatores de autenticação, como uma senha somada a outra coisa (talvez seu celular ou sua impressão digital), em vez de apenas um.

Ela funciona porque atacar dois ou mais fatores deveria ser muito mais difícil do que adivinhar uma única senha. Mas aqui a realidade entra em cena: mesmo com essas etapas extras, os atacantes estão ficando criativos. Hábitos humanos, fadiga por notificações push e a dependência crescente de dispositivos móveis dão aos atacantes um novo caminho, que não tem nada a ver com quebrar códigos e tudo a ver com manipular você.

Portanto, embora a MFA seja uma linha de defesa essencial e uma prática recomendada para a segurança em nuvem, ela não é invencível. Como você verá em breve, ataques de engenharia como a fadiga de MFA transformam uma ferramenta de segurança forte em um passivo se os usuários não estiverem preparados e os sistemas não forem bem governados. Se você quer tornar sua MFA à prova de falhas sem frustrar toda a equipe, confira as orientações sobre configurações eficazes de segurança do Microsoft 365 para manter usuários e dados protegidos.

O que é a autenticação multifator e como ela funciona?

A autenticação multifator, ou MFA, acrescenta camadas extras de comprovação de identidade, com o objetivo de garantir que você realmente é quem diz ser. Ela exige que os usuários apresentem dois ou mais tipos diferentes de evidência, chamados fatores de autenticação, antes de acessar um sistema ou conta.

Em vez de apenas digitar uma senha, a MFA também pede um código do dispositivo, uma impressão digital ou outra confirmação. Essa melhoria simples neutraliza a maioria dos ataques básicos de credenciais, e por isso a Microsoft, os bancos e os serviços em nuvem dependem tanto dela. Quando bem implementada, a MFA reduz drasticamente o acesso não autorizado e sustenta os princípios de confiança zero.

Tipos de fatores de autenticação

• Algo que você sabe: é sua senha ou PIN. É um segredo conhecido apenas por você, mas uma senha fraca pode ser facilmente roubada.
• Algo que você possui: como um dispositivo móvel, um token de hardware ou uma chave de segurança. São itens físicos exclusivos que estão em seu poder e normalmente são usados como segunda etapa.
• Algo que você é: dados biométricos, como leitura de impressão digital, reconhecimento facial ou identificação por voz. Esses fatores verificam sua identidade física, o que os torna difíceis de falsificar ou roubar.
• Verificação por aplicativo: aplicativos autenticadores que geram ou recebem códigos e solicitações push, oferecendo respostas rápidas e flexíveis para o usuário.
• Chaves de segurança (FIDO2): chaves de hardware que usam criptografia de chave pública. São a melhor opção de resistência a phishing e à fadiga, especialmente quando usadas com plataformas em nuvem como o Microsoft 365.

Métodos de ataque: do bombardeio de MFA às táticas de engenharia social

Não basta se preocupar apenas com senhas fortes: os atacantes que têm como alvo a MFA da sua organização sabem que a arma secreta de verdade é explorar as rotinas diárias da equipe e o desejo natural de se livrar de incômodos. Esta seção apresenta os principais métodos por trás dos ataques bem-sucedidos de fadiga de MFA, com foco na técnica de "bombardeio" em alto volume e em estratégias inteligentes de engenharia social.

Em ambientes com forte presença da Microsoft, os atacantes combinam tecnologia e psicologia para contornar até as melhores configurações de segurança. Eles podem começar com uma abordagem básica de spam, enviando enxurradas de solicitações de autenticação, ou partir para enganar usuários com solicitações direcionadas e apelos de urgência. Como muitos administradores estão ocupados apagando incêndios como Shadow IT, risco de OAuth e proliferação de aplicativos, essas táticas podem passar despercebidas se você não estiver atento.

Vamos detalhar como os atacantes combinam métodos técnicos com truques de engenharia social, explorando desde a fadiga causada por prompts na nuvem até a confusão dos usuários. Quer mais formas de tapar esses buracos? Confira este guia sobre como governar aplicativos não autorizados e riscos de acesso no M365.

Entendendo o MFA Bombing e o MFA Spamming

O MFA bombing, também chamado de MFA spamming, acontece quando um atacante dispara repetidamente solicitações de notificação push de MFA para o dispositivo de um usuário. O objetivo é sobrecarregar a pessoa com tantas notificações que ela acabe irritada, confusa ou simplesmente desista e aprove uma solicitação fraudulenta.

Mesmo com o MFA perfeitamente configurado nas contas da Microsoft, esse ataque funciona porque a maioria dos sistemas permite várias tentativas de autenticação em um curto período. O usuário recebe um fluxo constante de solicitações, o que leva à fadiga e, por fim, à aceitação. Não se trata de força bruta, e sim de desgaste pela insistência.

Como os atacantes exploram o comportamento humano em ataques de fadiga de MFA

O verdadeiro poder por trás dos ataques de fadiga de MFA não está apenas nas solicitações repetidas, mas na manipulação psicológica. Os atacantes se aproveitam das reações naturais ao estresse, à urgência e à frustração. Eles sabem que, se interromperem seu dia de trabalho com notificações suficientes, você provavelmente vai agir por hábito ou irritação.

Por exemplo, um atacante pode programar as enxurradas de solicitações para os horários de pico ou para a madrugada, quando os usuários estão cansados. Ele pode até complementar o spam com uma mensagem de phishing (“Aqui é a TI, por favor aprove o MFA para atualizações urgentes”) para induzir o usuário a clicar em Aceitar em um login fraudulento. A fadiga de decisão se instala, e basta um único erro.

O ecossistema de nuvem da Microsoft, em que o logon único e as solicitações constantes de autenticação são comuns, pode tornar isso ainda mais difícil de perceber. Com fluxos de trabalho ligados a aplicativos como Teams, SharePoint ou Exchange, é fácil que surjam a fadiga de prompts ou a dessensibilização a alertas, exatamente o que os atacantes esperam para burlar suas defesas.

Risco de fadiga de MFA para equipes remotas e híbridas

Agora, com o trabalho remoto e híbrido se tornando o novo normal, o cenário muda. Trabalhar de casa, de cafeterias ou de hotéis pode deixar as pessoas muito mais expostas a ataques de fadiga de MFA. Quando os usuários alternam entre dispositivos pessoais e corporativos ou acessam o Microsoft 365 de locais incomuns, os atacantes encontram mais oportunidades para agir.

Sua força de trabalho moderna provavelmente acessa de todo lugar: redes domésticas, Wi-Fi público ou hotspots móveis. Essas conexões nem sempre são tão seguras quanto as do escritório. Além disso, dispositivos pessoais podem não ter todas as mesmas proteções, criando pequenas brechas na sua armadura que os atacantes adoram explorar.

Além disso, as organizações com equipes híbridas costumam ter dificuldade para manter as políticas de acesso atualizadas e aplicar a conformidade de dispositivos para todos os usuários e cenários. Exceções demais ou regras de acesso condicional amplas demais viram brechas para os atacantes, e não apenas para os usuários. Apertar essas políticas e ensinar os trabalhadores remotos a reconhecer solicitações falsas é fundamental. Para um aprofundamento em políticas de referência e implantações de confiança zero, veja o guia sobre como criar um acesso condicional inclusivo e confiável no Microsoft 365.

Aumento da superfície de ataque em ambientes remotos

Quando a sua infraestrutura está espalhada, pense em Wi-Fi doméstico, VPNs e dispositivos de propriedade pessoal, fica mais fácil para os atacantes entrarem sem serem notados. BYOD (traga seu próprio dispositivo) faz com que as equipes de TI percam visibilidade e controle, e os usuários podem deixar de instalar atualizações críticas ou acabar instalando aplicativos arriscados.

Redes não seguras, tablets compartilhados e endpoints não gerenciados ampliam a sua superfície de ataque. Isso vale especialmente para trabalhadores híbridos e remotos que acessam sistemas em nuvem fora do ambiente seguro do escritório. Os atacantes visam ativamente esses usuários, sabendo que as defesas são mais fracas fora do perímetro da organização.

Políticas para mitigar a fadiga de MFA em equipes híbridas

• Aplicação de acesso condicional: use políticas do Microsoft Entra ou do Azure AD para exigir localizações verificadas, conformidade do dispositivo ou solicitações baseadas em risco antes de conceder acesso. Para estratégias práticas, explore o Entra ID Conditional Access Security Loop.
• Verificações de conformidade de dispositivos: Permita o acesso somente a partir de dispositivos que atendam aos padrões de segurança. Isso reduz o risco provocado por equipamentos desatualizados ou não gerenciados.
• Integração com Zero Trust: Migre para um modelo Zero Trust, combinando identidade, integridade do dispositivo e controles de sessão dinâmicos. Dicas práticas de design podem ser encontradas neste podcast sobre Zero Trust by Design for Microsoft 365.
• Treinamento contínuo e conscientização: Eduque regularmente as equipes para reconhecer e reportar atividades suspeitas de MFA, especialmente para colaboradores remotos e híbridos.

Detecção e prevenção de ataques de fadiga de MFA: melhores práticas

Depois de entender como funcionam os ataques de fadiga de MFA, o próximo passo é aprender a identificá-los e bloqueá-los antes que levem a um desastre. A detecção precoce consiste em reconhecer picos incomuns de solicitações de MFA, grande volume de notificações para contas individuais ou tentativas de login a partir de locais ou dispositivos anormais.

Em ambientes Microsoft, o uso de logs de auditoria detalhados e alertas em tempo real por meio de ferramentas como Microsoft Purview ou Entra ID pode ajudar as equipes de segurança a identificar sinais de problema. A detecção não se resume a procurar força bruta: ataques de fadiga de MFA podem ser sutis ou se espalhar ao longo de dias, exigindo análises mais inteligentes e um monitoramento baseado em contexto.

A prevenção combina tecnologia e bons hábitos. Autenticação baseada em risco, correspondência de números e login sem senha podem limitar o abuso de métodos de MFA legados. Enquanto isso, o treinamento de conscientização dos usuários continua sendo seu melhor "firewall humano": as pessoas ainda precisam saber como é uma solicitação suspeita. Para colocar a mão na massa com auditoria e governança, confira o guia passo a passo de auditoria do Microsoft Purview e as melhores práticas de governança da plataforma.

Práticas comprovadas de prevenção e mitigação para fadiga de MFA

• Adote a autenticação baseada em risco: Implemente sistemas que analisem o contexto do login (como localização, horário ou dispositivo) para exigir segurança adicional somente quando necessário, dificultando que invasores imitem a atividade real do usuário.
• Ative a correspondência de números e o login sem senha: Use métodos de verificação por push que exijam digitar um número ou tocar em uma chave de segurança FIDO2, em vez de apenas clicar em "Aprovar". Essas abordagens dificultam aprovações automáticas e reduzem confirmações acidentais.
• Ajuste as configurações de notificação: Refine os limites de alertas e escalonamentos no Microsoft Defender e no Entra ID, para que volumes suspeitos de solicitações de MFA recebam atenção imediata das equipes de segurança.
• Eleve a conscientização sobre segurança: Realize regularmente treinamentos com os usuários sobre como identificar solicitações suspeitas de MFA e sobre a importância de nunca aprovar pedidos desconhecidos, especialmente em equipes distribuídas.
• Reforce as políticas de acesso condicional: Revise as políticas em busca de exceções desatualizadas e migre para regras claras e abrangentes. Para orientações, explore o Entra ID Conditional Access Security Loop para um gerenciamento disciplinado do ciclo de vida das políticas.

Soluções avançadas de segurança: FIDO2, proteção baseada em IA e plataformas de segurança de identidade

Se você quer ir além de correções simples, é hora de conhecer soluções avançadas de segurança resistentes à fadiga para seus locatários do Microsoft 365 e do Azure. A primeira opção é o FIDO2, um padrão de autenticação baseado em hardware, projetado para interromper tanto o phishing quanto as solicitações infinitas de MFA. Também veremos como a inteligência artificial (IA) e a análise comportamental identificam padrões de login estranhos e bloqueiam automaticamente solicitações suspeitas.

Plataformas unificadas de segurança de identidade, como o Exabeam, levam essas defesas a um novo patamar. Elas reúnem detecção de identidade, análises e resposta rápida em grandes ambientes Microsoft. Cada uma dessas ferramentas oferece uma vantagem única quando seu objetivo é barrar tanto criminosos quanto erros dos usuários, antes que aconteçam, e não depois.

Fique atento a detalhes sobre a implantação do FIDO2 e a proteção com IA que sinaliza proativamente solicitações de autenticação suspeitas, ajudando você a deixar para trás o MFA baseado em notificações desatualizadas e a adotar sistemas mais inteligentes e seguros.

As chaves FIDO2 são a solução para a fadiga de MFA?

As chaves FIDO2 são frequentemente vistas como o padrão ouro em autenticação moderna. Essas chaves de segurança físicas usam criptografia de chave pública, o que as torna quase imunes a ataques de phishing e de fadiga de MFA. Ao usar uma chave FIDO2, não há solicitação de aprovação por notificação push: basta um toque rápido ou a inserção da chave para comprovar sua presença.

O Microsoft 365 e o Azure oferecem suporte nativo a chaves FIDO2, então as empresas podem implantá-las com integração à plataforma. E as desvantagens? A implantação em escala pode exigir investimento em novo hardware e algum treinamento dos usuários, mas a maioria das equipes de segurança concorda que a troca vale a pena para contas sensíveis e executivos.

Como usar segurança baseada em IA e análise comportamental para interromper ataques

A inteligência artificial é uma aliada poderosa contra ataques de fadiga de MFA. Sistemas de segurança baseados em IA, como os do Microsoft Defender e do Entra ID, detectam automaticamente padrões anormais nas tentativas de login, sinalizando localizações suspeitas, deslocamentos impossíveis ou um aumento repentino de solicitações.

A análise comportamental se adapta com o tempo, aprendendo o que é "normal" para cada usuário e identificando rapidamente qualquer coisa que não se encaixe no padrão. Essas plataformas não apenas detectam sinais de ataques conhecidos, como também podem rejeitar solicitações de autenticação repetidas ou incomuns antes que os usuários as vejam. Para monitoramento contínuo e conformidade, veja as melhores práticas de monitoramento do Microsoft Defender for Cloud.

Exabeam e segurança unificada de identidade para ambientes Microsoft

A Exabeam é um exemplo de plataforma que unifica a detecção e a resposta a incidentes de identidade em ambientes Microsoft. Ao integrar-se ao Microsoft 365 e ao Azure, a Exabeam oferece visibilidade centralizada, análises avançadas e contenção automatizada para ameaças baseadas em identidade, incluindo ataques de fadiga de MFA.

Essas plataformas ajudam as equipes de segurança a ganhar eficiência operacional e a reduzir os tempos de resposta, correlacionando eventos de identidade em toda a nuvem. Em vez de investigar cada alerta manualmente, as equipes do SOC recebem insights priorizados e acionáveis sobre quem está sob ataque e como mitigá-lo, usando playbooks de detecção de ataques reais adaptados aos ecossistemas Microsoft.

Perguntas frequentes, dicas de especialistas e próximos passos para se defender das ameaças de amanhã

Até aqui, você já viu por que a fadiga de MFA está subindo nos rankings de risco e provavelmente está se perguntando o que pode fazer agora para manter seu ambiente seguro. Esta seção final responde às perguntas mais comuns sobre ataques de fadiga de MFA, traz recomendações respaldadas por especialistas e aponta para os próximos passos práticos.

Está se perguntando se o MFA ainda é eficaz? Quer saber como diferenciar uma solicitação normal de um ataque? Ou talvez procure orientações de especialistas para manter os usuários do Microsoft 365 protegidos sem tornar a vida deles um sofrimento. Cobrimos tudo, desde a detecção e a recuperação de incidentes até a tecnologia e as políticas que transformam uma configuração vulnerável em uma fortaleza.

Se você quer uma visão geral das configurações essenciais e das melhores práticas para equilibrar segurança e conforto do usuário, confira este guia sobre segurança blindada do Microsoft 365 sem incomodar os usuários. As perguntas frequentes, as dicas de especialistas e o resumo a seguir oferecem um plano de ação claro para conter a fadiga de MFA, tanto hoje quanto à medida que as ameaças evoluem amanhã.

Perguntas frequentes sobre ataques de fadiga de MFA

• Como posso identificar sinais de um ataque de fadiga de MFA? Fique atento a um aumento repentino de solicitações de MFA, a pedidos repetidos fora do horário de trabalho ou a usuários reclamando de notificações "estranhas".
• O MFA ainda é eficaz? Sim. O MFA continua sendo um controle de segurança essencial, mas os métodos baseados em solicitação (especialmente as notificações push) podem ser vulneráveis sem salvaguardas adicionais.
• O que os usuários devem fazer se receberem uma enxurrada de solicitações? Recusar e reportar imediatamente. Nunca aprove uma solicitação que você não iniciou e informe a equipe de TI para que ela possa agir rapidamente.
• Invasores conseguem entrar sem a minha senha? Só se já tiverem comprometido suas credenciais. Porém, combinar táticas de fadiga de MFA com phishing, roubo de tokens ou sequestro de dispositivos aumenta a taxa de sucesso deles.

Dicas de especialistas em segurança e recomendações finais

• Implante a correspondência de números e as chaves FIDO2: abandone os velhos métodos de "basta tocar em aprovar" e adote ferramentas resistentes a phishing e à fadiga.
• Aplique políticas de acesso condicional rigorosas e inclusivas: Pare de se esconder atrás de exclusões e revise todas as políticas quanto a riscos.
• Realize sessões regulares de conscientização dos usuários: Ensine a equipe a reconhecer e reportar atividades suspeitas de MFA.
• Audite os logs e monitore anomalias: Use o Microsoft Purview e o Sentinel para detecção avançada.
• Prepare um playbook de resposta a incidentes: Conheça as etapas de contenção, investigação e recuperação antes que um ataque aconteça.

Conclusão: Aja agora contra as ameaças de amanhã

Relatórios de segurança mostram uma maré crescente: mais de 15% das violações de identidade relevantes em 2023 envolveram alguma forma de fadiga de MFA ou ataque baseado em notificações push. As decisões humanas continuam sendo o elo decisivo: os atacantes vencem quando as defesas dependem apenas de tecnologia, e não de prontidão e conscientização.

As lições são claras. Combinar tecnologia (como FIDO2, análise com IA e controles de política robustos) com educação contínua dos usuários dá às organizações uma vantagem. O sucesso vem de uma mudança proativa: configurações fortes, políticas claras e um plano de resposta a incidentes que não deixe espaço para fadiga ou confusão.

Trate a fadiga de MFA como algo mais do que um incômodo: trata-se de um vetor de ataque em evolução que tem como alvo seus usuários, seus dados e todo o seu negócio. Aja agora e esteja preparado para o que vem a seguir.