Por que a autenticação MFA por SMS não é mais segura para o Microsoft 365

By Mirko Peters · 2026-10-26

Descubra por que a autenticação multifator (MFA) por mensagem de SMS deixa os locatários do Microsoft 365 vulneráveis a SIM swapping e phishing, e o que você deve usar no lugar.

Automatically translated with AI from the original post. Read the English original

A autenticação multifator por mensagem de SMS há muito tempo é a segunda etapa padrão tanto para administradores de TI quanto para usuários finais, mas sua dependência da rede de telefonia legada a torna perigosamente vulnerável a ataques cibernéticos modernos, como SIM swapping e phishing direcionado.

Principais conclusões

• A autenticação multifator baseada em SMS depende da rede telefônica pública, o que a torna vulnerável a interceptação e SIM swapping.
• Pesquisas da Google e da Verizon mostram que os códigos de texto falham com muito mais frequência contra ataques de phishing direcionados do que notificações push modernas ou passkeys.
• Os relatórios de violações de dados da Verizon recomendam ativamente não usar códigos de texto por SMS para verificação de login.
• A migração para longe do SMS exige planejamento de métodos de verificação duplos para evitar sobrecarga da central de suporte e bloqueios permanentes de contas.

A ilusão de segurança dos códigos por SMS

Quando as organizações implementam a autenticação multifator pela primeira vez, as mensagens de texto costumam parecer uma vitória. Elas são amplamente suportadas, não exigem instalação de software e funcionam em praticamente qualquer dispositivo móvel. No entanto, do ponto de vista da arquitetura de segurança, o SMS viola uma regra fundamental de uma verificação de identidade robusta: o mecanismo de entrega é intrinsecamente falho.

Uma mensagem SMS trafega pela rede de telecomunicações padrão até chegar ao seu celular. Como essa infraestrutura foi projetada há décadas, com pouquíssima preocupação com segurança, ela pode ser interceptada, redirecionada ou manipulada. Criminosos exploram essa vulnerabilidade rotineiramente por meio de uma técnica conhecida como SIM swapping. Por meio de engenharia social com a equipe de suporte da operadora, os atacantes conseguem transferir o seu número de telefone para um chip SIM dentro do próprio smartphone. Assim que essa transferência é concluída, cada código de autenticação destinado à sua conta passa diretamente para o atacante.

O que as pesquisas dizem sobre a MFA por mensagem de texto

Os dados de segurança mostram um quadro preocupante sobre a eficácia da verificação por SMS. Embora os códigos de texto ofereçam defesa adequada contra ataques automatizados e de baixo esforço, como o credential stuffing, sua eficácia despenca quando há adversários humanos envolvidos.

Estudos de segurança importantes da Google revelaram que, embora os códigos por SMS tenham bloqueado cerca de noventa e seis por cento das tentativas de phishing em massa, sua eficácia caiu significativamente em campanhas direcionadas. Quando um atacante concentra seus esforços em um indivíduo ou organização específica, os códigos de texto deixam de oferecer proteção confiável. Consequentemente, importantes frameworks de cibersegurança e investigações anuais de violações de dados, incluindo relatórios da Verizon, agora recomendam eliminar gradualmente as mensagens de texto e as chamadas de voz para a verificação de login.

Ataques de adversário no meio

A limitação central de qualquer código digitado é que ele pode ser redirecionado. Em um ataque de adversário no meio (adversary-in-the-middle), um agente malicioso implanta um clone sofisticado e idêntico pixel a pixel da página de login do Microsoft 365. Quando você digita sua senha e seu código por SMS nesse portal falso, o proxy encaminha imediatamente suas credenciais para o serviço real. O sistema concede o acesso, e o atacante captura um token de sessão ativo, contornando suas defesas por completo, mesmo você tendo informado um código válido.

Como migrar do SMS para alternativas modernas

Deixar as mensagens de texto para trás exige entender a hierarquia dos segundos fatores disponíveis. Para proteger de fato o seu ambiente do Microsoft 365, as organizações precisam levar os usuários a métodos que eliminem segredos reutilizáveis e dependências de operadoras de telefonia.

Aplicativos autenticadores e correspondência de número

Os aplicativos autenticadores representam um grande avanço em relação ao SMS. Ao gerar senhas únicas baseadas em tempo, que mudam continuamente, localmente no dispositivo, eles eliminam totalmente a dependência da rede telefônica. Além disso, ao usar soluções corporativas como o aplicativo Microsoft Authenticator, recursos como a correspondência de número neutralizam ataques de bombardeio de solicitações (prompt bombing). Os usuários precisam olhar para a tela de login, ler um número aleatório e digitá-lo no aplicativo do celular, garantindo que estão aprovando conscientemente uma tentativa de entrada que eles mesmos iniciaram.

Passkeys resistentes a phishing e chaves de segurança

O padrão-ouro da autenticação moderna são as chaves de hardware resistentes a phishing ou as passkeys de plataforma. Esses mecanismos se baseiam em criptografia de chave pública. O seu dispositivo guarda uma chave privada que nunca sai do hardware. Quando você se autentica, o site emite um desafio criptográfico que o dispositivo assina. Um site de phishing falso não consegue forjar essa assinatura, o que torna os ataques de adversário no meio completamente ineficazes. As próprias métricas da Microsoft mostram que os logins com passkey são significativamente mais rápidos do que senhas tradicionais somadas às solicitações de MFA padrão, o que comprova que segurança mais forte não precisa ser pago com a experiência do usuário.

Como gerenciar a transição na sua organização

Impor uma política que proíbe a autenticação por SMS pode gerar resistência se não for conduzida com cuidado. Os administradores de TI precisam planejar a implantação de forma estratégica. Comece pelas contas de alto risco, como administradores globais, profissionais da área financeira e usuários com acesso a portais de infraestrutura crítica. Forneça aos usuários pelo menos dois métodos de verificação válidos e caminhos de recuperação claros e testados, para evitar que usuários legítimos fiquem sem acesso às suas contas quando um telefone for perdido ou substituído.

Conclusão e próximos passos

Embora qualquer forma de autenticação multifator seja inquestionavelmente melhor do que depender apenas de uma senha, manter os códigos por SMS deixa os ambientes de nuvem modernos expostos a riscos evitáveis. Migrar para aplicativos autenticadores com correspondência de número ou para passkeys totalmente resistentes a phishing transforma a sua postura de segurança de um obstáculo frágil em uma defesa resiliente.

Para se aprofundar nos mecanismos de proteção de identidade, nas configurações de segurança em nuvem e nas estratégias modernas de autenticação, não deixe de conferir a discussão relacionada no nosso podcast. Ouça o episódio completo e acompanhe a gente enquanto detalhamos tudo o que você precisa para proteger seus ambientes do Microsoft 365 e do Azure.

Perguntas frequentes

Por que o SMS é considerado um método fraco de autenticação multifator?

Os códigos por SMS trafegam pela rede da operadora, e não por um canal criptografado de aplicativo. Isso os torna vulneráveis a ataques de troca de chip (SIM swapping), em que criminosos enganam as operadoras para transferir o seu número de telefone para um dispositivo que eles controlam.

O Microsoft 365 permite que administradores desativem a autenticação por SMS?

Sim. Os administradores do Microsoft 365 podem usar os controles de política de métodos de autenticação no Entra ID para restringir ou desativar as opções de SMS e de chamada de voz, direcionando os usuários para opções mais seguras, como o aplicativo Microsoft Authenticator ou chaves FIDO2.

Como a correspondência de número nos aplicativos autenticadores impede o phishing?

A correspondência de número exige que o usuário digite no aplicativo autenticador um número específico exibido na tela de login. Isso impede que os usuários aprovem cegamente as solicitações por causa da fadiga de solicitações (prompt fatigue) ou de ataques de adversário no meio.

Qual é a melhor alternativa aos códigos de texto por SMS para usuários corporativos?

Chaves de segurança FIDO2 e passkeys modernas oferecem o mais alto nível de segurança, pois são totalmente resistentes a phishing e se baseiam em criptografia de chave pública, em vez de códigos reutilizáveis.