Na pr\u00e1tica, criminosos est\u00e3o burlando a autentica\u00e7\u00e3o em dois fatores por meio de notifica\u00e7\u00f5es push. A t\u00e1tica envolve senhas vazadas, engenharia social e t\u00e9cnicas de sobrecarga psicol\u00f3gica para pressionar a aprova\u00e7\u00e3o de login. Casos j\u00e1 ocorreram contra grandes empresas de tecnologia, incluindo a Cisco, em 2022.<\/p>\n
O ataque exige tr\u00eas elementos: a senha real da v\u00edtima obtida de vazamentos; tentativas repetidas de acesso a servi\u00e7os como VPN, Microsoft 365 ou Okta; e o envio cont\u00ednuo de notifica\u00e7\u00f5es que, em vez de refor\u00e7ar a seguran\u00e7a, cansam o usu\u00e1rio a aceitar a autoriza\u00e7\u00e3o.<\/p>\n
A sequ\u00eancia funciona assim: o invasor envia v\u00e1rias solicita\u00e7\u00f5es de login para o celular da v\u00edtima, que podem ser recusadas inicialmente pela pessoa. Em momentos, os atacantes ligam fingindo ser suporte t\u00e9cnico e convencem a v\u00edtima a aprovar a notifica\u00e7\u00e3o.<\/p>\n
A t\u00e9cnica depende do uso de notifica\u00e7\u00f5es sem contexto suficiente. A v\u00edtima n\u00e3o tem informa\u00e7\u00f5es sobre a origem do pedido, qual dispositivo est\u00e1 sendo tentado ou se houve iniciativa pr\u00f3pria.?<\/p>\n
Quando as notifica\u00e7\u00f5es surgem em sequ\u00eancia, h\u00e1 maior chance de erro humano, sobretudo se houver uma liga\u00e7\u00e3o associada ao ataque, aumentando a probabilidade de aprova\u00e7\u00e3o inadvertida.<\/p>\n
O ataque j\u00e1 foi registrado em incidentes envolvendo Cisco, com criminosos aproveitando uma conta pessoal do Google para obter acesso \u00e0 VPN de um funcion\u00e1rio. Ap\u00f3s aprovar a notifica\u00e7\u00e3o, os invasores registraram dispositivos no sistema para manter a janela de entrada e obtiveram privil\u00e9gios administrativos.<\/p>\n
O volume de dados roubados chegou a gigabytes, com a estimativa de que o acesso n\u00e3o autorizado posibilitou a extra\u00e7\u00e3o de informa\u00e7\u00f5es por um per\u00edodo relevante. Este caso evidencia o potencial de danos quando a verifica\u00e7\u00e3o secund\u00e1ria falha.<\/p>\n
Especialistas recomendam tr\u00eas frentes de defesa. A primeira \u00e9 substituir notifica\u00e7\u00f5es push por m\u00e9todos mais seguros de segunda etapa, como chaves FIDO2, tokens f\u00edsicos ou c\u00f3digos de aplicativos autenticadores.<\/p>\n
A segunda orienta\u00e7\u00e3o \u00e9 bloqueiar senhas vazadas na origem, usando ferramentas que monitoram o Diret\u00f3rio Ativo em busca de credenciais comprometidas para exigir mudan\u00e7as preventivas.<\/p>\n
A terceira envolve adicionar contexto ao login, com pol\u00edticas que avaliam localiza\u00e7\u00e3o, dispositivo e hor\u00e1rio antes de acionar qualquer notifica\u00e7\u00e3o, bloqueando tentativas suspeitas de forma proativa.<\/p>\n","protected":false},"excerpt":{"rendered":"