Microsoft activa Number Matching para combater ataques MFA

A Microsoft vai activar o sistema de Number Matching como forma de combater os ataques com pedidos excessivos de códigos multi-factor.

O aumento da utilização dos sistemas de autenticação MFA/2FA (multi-factor / 2-factor) deu também origem a um novo tipo de ataque: os ataques de spam MFA. Neste cenário, os atacantes inundam a vítima com pedidos de autorização da autenticação incessantes, procurando fazer com que as vítimas acabem por aceitar, por cansaço ou até com um toque acidental.

Para combater este tipo de ataques, a MS vai recorrer a ainda mais números, para o seu sistema Number Matching, em que o utilizador terá que introduzir um código adicional de validação na app de autenticação - neste caso o Microsoft Authenticator. Desta forma, não bastará ao utilizador aceitar um pedido de autenticação de forma cega, já que terá que introduzir o número que lhe foi apresentado; e no caso de se tratar de um ataque de spam MFA, isso tornará mais evidente de que não se trata de um pedido acidental e, espera-se, fará com que o utilizador suspeite do que está a acontecer, alterando a sua password ou contactado o departamento adequado da sua empresa.

Claro que, adicionar ainda mais números para tornar mais seguro um sistema que já obriga o utilizador a usar números adicionais além da password, não será a solução mais amiga dos utilizadores.

Com a Google a já ter entrado na era do fim das passwords com as passkeys, espera-se que em breve mais empresas sigam o exemplo, e libertem os utilizadores das passwords e dos códigos MFA.