Fadiga de MFA (push bombing): como funciona, sinais de alerta e o que fazer
Golpes contra empresas · médio
Com uma senha obtida por phishing, vazamento ou infostealer, o atacante tenta logar repetidamente. A cada tentativa, o celular da vítima recebe um pedido "Aprovar login?". Ele dispara dezenas de notificações, muitas vezes de madrugada, até a vítima aprovar por cansaço ou engano.
Frequentemente o golpe vem acompanhado de engenharia social: alguém liga ou manda mensagem fingindo ser do suporte de TI e diz "vamos resolver um problema, aprove a notificação". Com o acesso, o invasor registra seu próprio aparelho como segundo fator e se move pela rede.
Sinais / Signs
- Várias notificações de login que você não iniciou
- Pedidos de aprovação em horários estranhos
- Contato do "suporte" pedindo para aprovar a notificação
- Novo dispositivo de MFA cadastrado na sua conta
Prevenção / Prevention
- Nunca aprove um login que você não iniciou
- Empresas: troquem push simples por number matching ou chaves FIDO2/passkeys
- Limite o número de notificações e bloqueie após várias recusas
- Defina que o suporte de TI nunca pede aprovação de MFA por telefone
- Monitore cadastro de novos fatores e logins de locais incomuns
O que fazer / What to do
- Recuse as notificações e avise a TI ou a segurança imediatamente
- Troque a senha: o atacante já a conhece
- Peça revisão de dispositivos de MFA e sessões ativas
- Se aprovou por engano, informe já; a resposta rápida limita o dano
FAQ
Se recebo várias notificações, minha senha vazou?
Muito provavelmente sim. Troque a senha e avise a equipe de segurança.
MFA por SMS é melhor contra isso?
Não. SMS tem outros riscos, como SIM swap. As opções mais seguras são passkeys e chaves físicas.
FBI IC3 - Internet Crime Complaint Center · CERT.br · Verizon DBIR 2025 (via breached.company)