Segurança de Passkeys e MFA: Quanto Mais Forte a Fechadura Técnica, Mais os Atacantes Visam as Pessoas

Uma passkey é um método de autenticação que permite entrar com chaves criptográficas guardadas no seu dispositivo, em vez de uma password. É muito mais resistente ao phishing do que as passwords e os códigos MFA clássicos. Mas, à medida que a fechadura técnica fica mais forte, os atacantes viram-se para a camada humana: falsas chamadas de suporte, cenários que levam o utilizador a adicionar um novo dispositivo e métodos que enganam o utilizador na verdadeira página de login. Neste artigo explicamos porque a MFA sozinha já não chega e a que deve estar atento na era das passkeys.

Porque a MFA sozinha já não chega

Durante muito tempo, a MFA foi vista como um dos controlos de segurança mais importantes. Continua a ser um controlo básico, mas os atacantes encontraram várias formas de a contornar:

• Páginas falsas que roubam sessões: algumas ferramentas levam o utilizador a uma cópia da verdadeira página de login, intercetam a password e o código MFA e tomam conta da sessão.
• Métodos alternativos fracos: se a conta tiver um método alternativo de acesso fraco, como SMS ou password, os atacantes vão atrás dele. Chama-se a isto um ataque de downgrade da MFA.
• Pedir o código diretamente: em falsas chamadas de suporte ou chats ao vivo, o atacante pede o código ao utilizador. Quando o utilizador o entrega, a MFA deixa de proteger.
• Aplicações menos protegidas: todos protegem as contas Microsoft e Google. As dezenas de outras aplicações que a equipa usa todos os dias costumam estar menos protegidas.

O relatório Cybersecurity Signals de 2025 da Marsh McLennan mostra também que a MFA, hoje presente em quase todas as organizações, já não faz diferença por si só. O que faz diferença é a MFA resistente a phishing.

O que resolvem as passkeys?

A Microsoft anunciou o suporte a passkeys Entra no Windows em março de 2026 e disponibilizou-o a todos no fim de abril de 2026. Os utilizadores podem agora entrar nas aplicações da empresa com o Windows Hello, sem password e de forma resistente a phishing. As passkeys tornam o roubo de credenciais muito mais difícil, porque:

• Não há password para partilhar ou anotar.
• A chave só funciona com o site certo e é inútil numa página falsa.
• Não há uma base de dados de passwords no servidor que possa ser roubada.

Passar para passkeys é o passo certo. Não é uma solução completa.

Os pontos fracos estão à volta da passkey

Três estudos diferentes, publicados na mesma semana de agosto de 2026, chegam à mesma conclusão: a passkey em si resiste, mas os sistemas à sua volta podem falhar. Os investigadores contornaram a autenticação explorando fragilidades no Windows, no Chrome e na sincronização na cloud.

Estes cenários têm uma condição: o atacante tem de ter já acesso ao dispositivo. Ou seja, se a segurança do dispositivo for fraca, a passkey sozinha também não chega.

Novos ataques esperados na era das passkeys

Quando as passwords desaparecem, enganar as pessoas passa a valer mais. Novos métodos de ataque esperados:

• O cenário "perdeu o seu dispositivo, nós ajudamos": abuso do processo de recuperação de conta através do falso help desk.
• Adicionar uma passkey a um novo dispositivo: um fluxo de aspeto legítimo em que o utilizador autoriza o dispositivo do atacante.
• PIN fraco e perda do dispositivo: um PIN simples combinado com a perda do dispositivo físico.

Os primeiros casos: device-code phishing

Segundo a investigação da Microsoft, os atacantes estão a usar um método chamado device-code phishing:

1. O atacante inicia um pedido de autenticação no seu próprio dispositivo e recebe um código.
2. Dá esse código à vítima: "Introduza este código para concluir o registo da sua passkey."
3. A vítima introduz o código na verdadeira página de login da Microsoft.
4. No momento em que o faz, autoriza sem saber o dispositivo do atacante na sua própria conta.

Neste método não há página falsa. O utilizador está na página verdadeira, a fazer uma ação verdadeira. Como as passkeys ainda são novidade para a maioria dos utilizadores, é fácil pensar "isto é um passo normal".

Foram também reportados grupos que ligam aos colaboradores para os telemóveis pessoais e lhes roubam os dados com o pretexto de uma "configuração de passkey para uma atualização de segurança urgente".

O que devem fazer as organizações?

1. Passem para passkeys e mantenham-se atentas. As passkeys reforçam a segurança; a necessidade de sensibilização mantém-se.
2. Reforcem os processos de recuperação de conta. Os passos de verificação de identidade do help desk podem ser o elo mais fraco.
3. Reforcem a segurança dos endpoints. Uma passkey é tão segura quanto o dispositivo onde está guardada.
4. Removam os métodos alternativos fracos. Se ficarem alternativas como SMS e passwords, os atacantes vão visá-las.
5. Expliquem o novo processo aos colaboradores. Ensinem como se configura uma passkey e que ninguém vai pedir um código por telefone.

Perguntas frequentes

---
A InfoLore acrescenta aos seus programas de sensibilização os novos padrões de ataque que surgem com a mudança da tecnologia. Contacte-nos para planearmos juntos o lado do utilizador na sua transição para passkeys.