Autenticação Multifatorial: O Aumento da Cegueira aos Avisos

A autenticação multifatorial (MFA) tornou-se uma pedra angular da cibersegurança moderna. No entanto, o bombardeamento constante de pedidos de MFA está a levar a uma tendência preocupante: a cegueira aos avisos multifatoriais. Os utilizadores estão cada vez mais a ignorar ou a aprovar automaticamente os avisos de MFA, anulando efetivamente os benefícios de segurança. Este artigo explora a psicologia por trás deste fenómeno, as suas implicações para a prevenção de fraudes e a gestão de identidade, e estratégias para reconquistar a confiança do utilizador e manter uma segurança robusta.

Ponto Chave 1: A fadiga da MFA é real, levando a uma diminuição da eficácia da segurança devido à 'cegueira aos avisos' – os utilizadores aprovam automaticamente os avisos sem uma consideração cuidadosa.

Ponto Chave 2: O volume de pedidos de MFA está diretamente correlacionado com a diminuição do envolvimento do utilizador e o aumento do risco de ataques de phishing bem-sucedidos.

Ponto Chave 3: A autenticação baseada em risco e a MFA adaptativa são cruciais para reduzir a fadiga da MFA e melhorar a experiência do utilizador sem comprometer a segurança.

Ponto Chave 4: Construir a confiança do utilizador através de comunicação transparente e fluxos de autenticação simplificados é essencial para a adoção de MFA a longo prazo.

A Psicologia da Fadiga da MFA

Os seres humanos estão programados para se habituarem a estímulos repetidos. Este é um atalho cognitivo que nos ajuda a conservar energia mental. Quando confrontados com pedidos constantes de MFA, os utilizadores começam a percebê-los como um incómodo, em vez de uma medida de segurança. Isto leva a um fenómeno semelhante à 'cegueira aos avisos' – um fenómeno visual em que os utilizadores não reparam em anúncios ou outras informações importantes porque aprenderam a ignorá-los. Um estudo recente do Google revelou que os utilizadores têm 50% mais probabilidades de cometer um erro quando confrontados com interrupções frequentes, e os avisos de MFA certamente qualificam-se como interrupções.

O problema é agravado pelo facto de muitas implementações de MFA serem mal concebidas. Pedidos constantes do mesmo tipo de verificação (por exemplo, notificações push) tornam-se previsíveis e facilmente exploráveis por atacantes. Além disso, a falta de comunicação clara sobre o porquê de um pedido de MFA estar a ser acionado corrói a confiança do utilizador e incentiva a complacência.

O Impacto na Fraude e na Gestão de Identidade

A cegueira aos avisos da MFA aumenta significativamente o risco de ataques de phishing bem-sucedidos. Os atacantes estão a aproveitar esta fadiga ao enviar campanhas de phishing direcionadas que imitam pedidos de MFA legítimos. Como os utilizadores estão condicionados a aprovar automaticamente os avisos, é menos provável que examinem os detalhes, tornando-se vulneráveis a compromissos. De acordo com o Relatório de Investigações de Violações de Dados da Verizon de 2023 (DBIR), o phishing está envolvido em 74% de todas as violações, e o bypass da MFA é uma preocupação crescente.

Do ponto de vista da gestão de identidade, a fadiga da MFA cria um risco de compliance. Se a MFA não estiver a funcionar eficazmente, as organizações não estão a cumprir os requisitos regulamentares para proteção de dados e controlo de acesso. Isto pode resultar em multas pesadas e danos à reputação. Além disso, uma conta comprometida devido à fadiga da MFA pode levar a fraude interna e exfiltração de dados.

Autenticação Baseada em Risco: Uma Abordagem Mais Inteligente

A solução não é abandonar a MFA, mas torná-la mais inteligente. A autenticação baseada em risco (RBA) ajusta dinamicamente o nível de autenticação necessário com base no risco percebido da tentativa de início de sessão. Isto significa que os inícios de sessão de baixo risco (por exemplo, a partir de um dispositivo e localização de confiança) podem não exigir MFA, enquanto os inícios de sessão de alto risco (por exemplo, a partir de um dispositivo ou localização desconhecidos) desencadeiam medidas de autenticação mais rigorosas.

A MFA adaptativa vai mais longe, aprendendo o comportamento do utilizador e adaptando continuamente os requisitos de autenticação. Por exemplo, se um utilizador normalmente iniciar sessão a partir do seu computador de escritório, qualquer tentativa de início de sessão a partir de uma localização ou dispositivo diferente desencadearia um desafio de autenticação mais rigoroso. A plataforma da Didit, por exemplo, utiliza sinais como endereço IP, dados do dispositivo e biometria comportamental para avaliar o risco em tempo real.

Construir Confiança do Utilizador Através da Transparência

A transparência é crucial para construir a confiança do utilizador e incentivar a adoção da MFA. As organizações devem comunicar claramente por que a MFA está a ser utilizada e como protege os seus dados. Também devem fornecer aos utilizadores instruções claras sobre como denunciar atividades suspeitas. Além disso, oferecer uma variedade de métodos de MFA (por exemplo, autenticação biométrica, chaves de segurança) permite que os utilizadores escolham a opção que melhor se adapta às suas necessidades e preferências.

Simplificar o fluxo de autenticação também é essencial. Reduzir o número de passos necessários para concluir a MFA e fornecer uma experiência de utilizador perfeita pode reduzir significativamente a fadiga. Utilizar métodos de autenticação sem palavra-passe, como os oferecidos pela Didit, pode eliminar a necessidade de palavras-passe, reduzindo ainda mais o atrito e melhorando a segurança.

Como a Didit Ajuda

A plataforma de identidade da Didit aborda a fadiga da MFA e a cegueira aos avisos através de um conjunto abrangente de funcionalidades:

• Autenticação Baseada em Risco: Aproveitando sinais avançados de fraude e biometria comportamental para ajustar dinamicamente os requisitos de autenticação.
• MFA Adaptativa: Aprendendo continuamente o comportamento do utilizador para otimizar a experiência de autenticação.
• Autenticação Sem Palavra-Passe: Oferecendo autenticação biométrica e outras opções sem palavra-passe para eliminar as vulnerabilidades relacionadas com as palavras-passe.
• KYC Reutilizável: Reduzindo a frequência das verificações KYC completas, minimizando o atrito do utilizador.
• Orquestração de Fluxos de Trabalho: Construindo fluxos de autenticação personalizados adaptados a perfis de risco específicos.

Pronto para Começar?

Não deixe que a fadiga da MFA comprometa a sua segurança. Solicite uma demonstração da plataforma de identidade da Didit hoje e descubra como podemos ajudá-lo a construir uma experiência de autenticação mais segura e amigável para o utilizador. Explore os nossos planos de preços e veja como a Didit pode ajustar-se ao seu orçamento.