Os recentes ataques hackers a governos e empresas deixam muitas perguntas no ar. Afinal, como eles conseguem? Uma técnica chamada MFA bombing aparentemente é parte da estratégia. Ela não é nova, mas vem sendo usada por grupos como o Lapsus$, que estaria por trás das ações contra o ConecteSUS , a Microsoft  e a Nvidia . O truque explora fraquezas dos usuários para conseguir autorização e entrar nos sistemas.

MFA é a sigla para multi-factor authentication, ou autenticação multifator. Este é o nome dado à proteção extra que alguns serviços e sistemas oferecem.

Ela é parecida com a autenticação por dois fatores ou verificação em duas etapas, mas pode ir além e exigir três ou mais passos. Assim, não basta saber usuário e senha — é preciso de no mínimo um fator extra para entrar.

Esse fator pode ser um SMS com uma senha, um código gerado por um aplicativo como o Google Authenticator, uma notificação para o usuário autorizar, uma verificação biométrica de digital ou face ou uma chave física.

Uma frase muito repetida em segurança da informação é que o usuário é o elo mais fraco de qualquer sistema. E ele é justamente o alvo do MFA bombing.

Bombardear até aceitar

O MFA bombing foca na notificação. A ideia é, como o nome sugere, bombardear o usuário com solicitações até ele aceitar.

Os hackers escolhem até mesmo horários em que ele pode estar mais vulnerável — por exemplo, mandar centenas de pedidos de madrugada, quando a pessoa está com sono.

Segundo o Ars Technica, existem jeitos mais sutis. Um deles é mandar uma ou duas solicitações por dia. Isso chama menos a atenção, mas ainda tem uma boa chance de fazer o usuário aceitar. Outro é ligar para o alvo e se passar pela empresa dizendo que o funcionário precisa autorizar o pedido.

Uma das fontes ouvidas pela reportagem do Ars Technica diz que os hackers do Lapsus$ vêm usando a técnica com bastante sucesso. No entanto, não foram eles que inventaram o método e não devem levar os créditos por ele, que já existe há cerca de dois anos.

Padrão mais seguro também é suscetível a ataques

Como você deve saber, nada é 100% seguro, e isso inclui a autenticação multifator. Existe um padrão mais seguro chamado FIDO2. Ele foi criado por um consórcio de empresas e tem como objetivo equilibrar segurança e facilidade de uso.

Uma das diferenças é que ele é atrelado à máquina que alguém está usando para acessar um sistema. Por isso, não dá para usar um aparelho para autorizar outro. O FIDO2 é relativamente novo e, por isso, foi adotado por poucas empresas.

Se as empresas ainda permitem formas menos seguras de autenticação junto com o novo padrão, isso se torna por si só um ponto de vulnerabilidade. Mesmo assim, alguns grupos hackers já foram capazes de dar um jeitinho e invadir sistemas que oferecem apenas MFA no padrão FIDO2.

O grupo hacker russo Nobelium, responsável pelo ataque à SolarWinds, conseguiu driblar a autenticação. Não foi fácil: eles precisaram comprometer o Active Directory, ferramenta de banco de dados altamente protegida.

O Active Directory é usado por administradores de rede para criar, deletar ou modificar contas de usuários, além de dar os privilégios necessários para acessar alguns recursos. Se ele é hackeado, não tem o que salve.

É bom ressaltar que qualquer autenticação em dois fatores, por pior que seja, é melhor que nada. Senhas enviadas por SMS são extremamente falhas e problemáticas, principalmente quando se considera golpes de SIM swap. No entanto, se essa for a única opção disponível, não pense duas vezes: use-a.

Mesmo assim, fica o alerta. Não basta apenas ter autenticação multifator — é preciso que todos na empresa saibam como usá-la e quais riscos estão correndo.

Se você é usuário do Facebook e não consegue fazer o login na sua conta por problemas com o código de autenticação, você não está sozinho. Diversas pessoas estão reportando o mesmo erro, no Brasil e em mais países. Segundo os relatos, o Facebook envia o código “LS-Nonce” em vez dos seis dígitos requeridos para a validação de entrada na rede social.

As reclamações são bem parecidas, e a frequência delas aumentou nas últimas horas. No Twitter, usuários dizem que já tentaram repetir a recuperação de acesso diversas vezes, sem sucesso.

O leitor Matheus Gomes nos avisou sobre o problema na manhã desta terça-feira (29). Ele contou que perdeu uma manhã inteira de trabalho por não receber o código de autenticação em dois fatores. Além de Matheus, mais usuários brasileiros enfrentam o problema. No exterior, há pessoas passando pela mesma dificuldade.

O que é o LS-Nonce enviado pelo Facebook?

“Nonce” é um token criptográfico — um código arbitrário para uso único, que pode ser composto por números ou letras. Apesar de o conceito estar ligado à identidade e segurança de contas, esse termo não deveria ser a sequência enviada aos usuários que precisam de um código de autenticação para logar ou recuperar uma conta no Facebook.

Como o próprio sistema informa, é necessário inserir uma sequência de 6 números para reaver o acesso ao perfil.

Engenheiros e outros profissionais de TI que discutem em fóruns sobre o tema acreditam que o “LS-Nonce” enviado pelo Facebook seja uma resposta automática enviada por engano. O termo deveria ser substituído pelo código de acesso único de cada usuário no momento de recuperação de login.

Cuidado com as suas informações

Algo que notamos ao investigar este problema foi a presença de contas não oficiais oferecendo ajuda para recuperar o acesso ao Facebook. Os perfis geralmente tinham poucos seguidores e tentavam direcionar o usuário para outra rede social.

É importante ter cautela ao tentar reaver o código de acesso por meios não tradicionais, uma vez que não há qualquer certeza sobre a credibilidade destes serviços. Vale lembrar que o código de autenticação é uma informação sigilosa, e compartilhá-la com estranhos pode resultar na perda da sua conta.

O que diz o Facebook?

Apesar de ter ficado mais recorrente nas últimas horas, o problema não é algo novo — já foi reportado por vários usuários em outras ocasiões, em 2020 e 2021. Há tópicos de discussões sobre o caso em fóruns, e mais relatos em redes sociais sobre bugs semelhantes a este.

No Twitter, uma usuária chegou a questionar o perfil oficial da Meta sobre a situação. Mas a resposta da conta oficial a direcionou para uma página de suporte da plataforma com direcionamentos mais genéricos sobre a autenticação em dois fatores no Facebook. A própria usuária disse, depois, que a solução fornecida não serviu para o problema dela.

O Tecnoblog entrou em contato com a assessoria do Facebook para saber se a empresa tem um posicionamento oficial sobre o problema para compartilhar. Aguardamos a resposta da companhia e este texto poderá ser atualizado para adicioná-lo posteriormente.