Autenticação multifator: o que a investigação da Microsoft e da Google revela sobre a sua eficácia

Quando se fala em segurança informática, é fácil recomendar medidas "por precaução", sem dados concretos para as sustentar. A autenticação multifator (também conhecida por 2FA ou MFA) é uma exceção: existe investigação sólida, de empresas como a Microsoft e a Google, que mede exatamente o quanto esta medida reduz o risco real. O que mostram os números Um estudo da Microsoft Research concluiu que a ativação da autenticação multifator reduz o risco de uma conta ser comprometida em 99,22%, considerando toda a população de contas analisadas — e em 98,56% mesmo nos casos em que as credenciais (palavra-passe) já tinham sido expostas publicamente. Mais de 99,99% das contas com autenticação multifator ativa mantiveram-se seguras durante o período do estudo. A Google, num estudo publicado sobre contas de consumidores, chegou a conclusões semelhantes: a autenticação multifator bloqueou 100% dos ataques automatizados, 96% dos ataques de phishing em massa, e 76% dos ataques direcionados especificamente a uma conta. Nem todos os métodos de autenticação multifator têm o mesmo desempenho. Aplicações dedicadas — como o Microsoft Authenticator — mostraram-se cerca de 40,8% mais eficazes do que a autenticação por SMS, embora ambas ofereçam uma proteção significativamente superior a não usar qualquer segundo fator. Há ainda um efeito menos falado, mas relevante para qualquer empresa: organizações que usam autenticação multifator detetam e contêm violações de segurança, em média, 108 dias mais depressa do que as que não usam — o que se traduz diretamente em custos de recuperação mais baixos. O que isto significa na prática Para uma empresa, estes números traduzem-se numa recomendação simples: qualquer conta com acesso a dados sensíveis — email profissional, sistemas de gestão, acessos de administrador — deve ter autenticação multifator ativa, preferencialmente através de uma aplicação dedicada em vez de SMS. Foi exatamente este princípio que aplicámos no nosso próprio painel de administração: o acesso exige palavra-passe e um código gerado por aplicação, renovado a cada 30 segundos. Não é burocracia — é a medida de segurança com o melhor equilíbrio comprovado entre esforço e proteção real que existe atualmente. Se a sua empresa ainda não usa autenticação multifator nos sistemas críticos, é provavelmente a alteração de segurança mais barata e mais eficaz que pode implementar esta semana.