A rápida evolução dos ataques de engenharia social automatizados e o avanço das ferramentas de interceptação de tráfego estão levando equipes de segurança da informação no Brasil a repensarem as barreiras de entrada de suas redes. Embora a autenticação multifator (MFA) baseada em códigos temporários (TOTP) ou mensagens SMS tenha sido considerada por anos um marco essencial de conformidade, a proliferação de ataques do tipo Adversary-in-the-Middle (AitM) revelou gargalos críticos nesse ecossistema. Para mitigar o comprometimento de acessos corporativos e neutralizar o roubo de sessões, organizações dos setores financeiro, de tecnologia e de serviços têm acelerado projetos de migração para o padrão FIDO2 e o uso de passkeys.
O limite do MFA tradicional diante de proxies reversos
Durante anos, a estratégia dominante de proteção de identidades consistiu em adicionar uma segunda camada de verificação sobre senhas estáticas. No entanto, o surgimento e a popularização de kits de phishing automatizados e proxies reversos maliciosos alteraram a dinâmica defensiva. Em um ataque AitM, o cibercriminoso posiciona um servidor intermediário entre a vítima e o serviço legítimo. Quando o usuário insere seu login e o código de autenticação de uso único gerado em aplicativo ou recebido por mensagem, o proxy intercepta essas informações em tempo real e as repassa ao servidor verdadeiro.
Assim que o serviço corporativo valida a autenticação, ele emite um cookie ou token de sessão. É exatamente esse elemento que o atacante captura. De posse do token de sessão ativo, o invasor é capaz de sequestrar o acesso autenticado (session hijacking), contornando integralmente os fatores tradicionais de segurança sem necessitar quebrar chaves criptográficas complexas ou adivinhar senhas.
Como a arquitetura FIDO2 e as Passkeys fecham a brecha técnica
A tecnologia de passkeys, estruturada nas especificações abertas da FIDO Alliance e na API WebAuthn do consórcio W3C, ataca a raiz do problema por meio de criptografia assimétrica de chave pública vinculada ao contexto de rede. O modelo elimina completamente os segredos compartilhados que transitam entre o dispositivo e o servidor da aplicação.
Quando uma passkey é criada, o dispositivo do usuário (seja um computador, smartphone ou chave de segurança física via USB/NFC) gera localmente um par de chaves criptográficas:
- Chave privada: permanece rigidamente confinada no ambiente seguro do dispositivo (como o Trusted Execution Environment, TPM ou chip criptográfico de segurança), nunca sendo compartilhada ou transmitida pela rede;
- Chave pública: é enviada ao servidor de destino para registrar e associar a identidade da conta.
Durante a tentativa de login, o servidor desafia o cliente por meio de um valor aleatório (nonce). O dispositivo assina o desafio com a chave privada após a confirmação biométrica ou PIN local do usuário, devolvendo a assinatura para validação matemática pela chave pública. Se a assinatura for válida, o acesso é liberado.
Vinculação estrita de domínio (Origin Binding)
O grande diferencial das passkeys contra o phishing moderno reside na propriedade de vinculação de origem (origin binding). O navegador e o sistema operacional gerenciam a autenticação e conferem o Fully Qualified Domain Name (FQDN) antes de solicitar qualquer assinatura à chave privada. Caso o colaborador caia em uma página clonada com endereço enganoso, o navegador reconhece que o domínio não coincide com a credencial registrada e simplesmente recusa a operação. O invasor do proxy reverso não recebe nenhum dado criptográfico aproveitável, inviabilizando o ataque por design.
Modelos corporativos: chaves sincronizadas versus hardware dedicado
Nas empresas brasileiras, o debate sobre implementação gira em torno dos diferentes formatos de gerenciamento de credenciais. A indústria divide o padrão em dois modelos essenciais:
Passkeys sincronizadas: são armazenadas e replicadas em ecossistemas de nuvem do usuário (como chaveiros gerenciados por sistemas operacionais móveis ou gerenciadores corporativos). Proporcionam ampla comodidade aos colaboradores em cenários de trabalho híbrido, permitindo recuperação fluida caso o usuário troque de celular ou computador.
Credenciais vinculadas ao dispositivo (Device-Bound) e chaves físicas: a chave privada permanece confinada exclusivamente ao chip de silício de um token físico dedicado (como dispositivos de autenticação USB) ou ao hardware corporativo homologado. Este modelo atende aos critérios mais rígidos de estruturas de Confiança Zero (Zero Trust) e normas regulatórias de proteção à infraestrutura crítica, sendo a escolha prioritária para administradores de sistemas, operadores de bancos de dados e executivos.
Ganhos econômicos e desoneração do suporte técnico
Além do ganho expressivo de postura de defesa, a transição para métodos sem senha (passwordless) demonstra impactos diretos no custo operacional dos departamentos de tecnologia. Chamados de redefinição de senhas esquecidas, desbloqueio de contas travadas e reconfiguração de tokens desincronizados costumam responder por uma parcela volumosa do orçamento de service desk corporativo.
Ao remover as senhas da rotina do usuário e integrar a validação local por biometria ou PIN do próprio sistema operacional, o tempo gasto em rotinas de autenticação diminui drasticamente, ao mesmo tempo em que se elimina a superfície de exposição explorada por malwares ladrões de credenciais (infostealers) que vasculham navegadores em busca de senhas salvas.
Desafios na transição para o modelo sem senha
Apesar dos claros benefícios técnicos, a migração integral enfrenta desafios que exigem planejamento de governança de identidades (IAM). Aplicações legadas, sistemas internos desenvolvidos sem suporte nativo a WebAuthn e estações de trabalho compartilhadas demandam adaptações arquiteturais ou camadas intermediárias de federação de identidade.
Outro ponto crítico é a formulação de fluxos seguros de contingência: a política corporativa precisa definir processos robustos de validação de identidade caso um colaborador perca ou danifique seu autenticador físico, garantindo que o procedimento de recuperação não se transforme em uma nova brecha para fraudadores que utilizem engenharia social. A consolidação dos padrões abertos, no entanto, coloca a autenticação resistente a phishing como um divisor de águas incontornável para a maturidade cibernética no país.
FIDO Alliance / Relatórios de Ameaças Cibernéticas
