O modelo de início de sessão único (SSO) tornou-se a espinha dorsal do acesso empresarial, mas a autenticação multifator (MFA) tradicional deixou de bastar para o proteger. Os atacantes industrializaram técnicas que ignoram o momento do login e atacam o que vem a seguir — o token de sessão. Campanhas como a operação Tycoon 2FA e o incidente PoisonSeed demonstraram, ao longo de 2025 e 2026, que códigos por SMS, palavras-passe de uso único (OTP) e notificações push já não travam adversários determinados. Este artigo explica, com base em fontes reputadas, porque é que o seu SSO pode estar vulnerável e o que fazer para o endurecer.
Resposta rápida: O SSO com MFA protege o login, mas não o token de sessão criado depois. Ataques do tipo adversário-no-meio (AiTM) roubam esse token em tempo real e contornam a MFA. A defesa mais robusta é a MFA resistente a phishing (FIDO2, passkeys, chaves de hardware), com ligação criptográfica ao domínio, associada a controlos de conformidade do dispositivo e monitorização de sessões. Reveja também os fluxos de recuperação e os métodos de reserva, que podem anular toda a proteção.
Porque é que a MFA por cima do SSO já não fecha a porta
A ideia de que uma segunda camada resolve o problema do roubo de credenciais está desatualizada. O SSO e a MFA protegem o início de sessão inicial, mas não impedem os atacantes que roubam o token de sessão criado depois desse início de sessão ser bem-sucedido; a sessão opera de forma independente dos controlos de autenticação. Esta distinção é central: a MFA valida quem entra, mas não protege a prova de autenticação que é emitida a seguir.
O vetor dominante são os kits de phishing de adversário-no-meio. O phishing AiTM usa sites de proxy sofisticados que se colocam entre o utilizador e a aplicação legítima; quando as vítimas introduzem credenciais e completam a MFA, o site de phishing captura não só as credenciais como o token de sessão criado após a autenticação bem-sucedida. A Microsoft já tinha sinalizado esta mudança de tática. O Microsoft Digital Defense Report 2024 assinalou diretamente que, embora a MFA padrão continue eficaz contra ataques de credenciais convencionais, os atores de ameaça passaram para técnicas AiTM precisamente porque exploram a confiança pós-autenticação em vez de derrotar a autenticação em si.
A escala do problema é considerável. Segundo dados da SentinelOne baseados no relatório da Verizon, os ataques de fadiga de MFA aparecem em 14% dos incidentes de segurança analisados no Verizon Data Breach Investigations Report de 2025, tornando a fadiga de MFA o método de contorno dominante. A esta pressão soma-se o roubo massivo de cookies: investigadores da SpyCloud recuperaram mais de 17 mil milhões de registos de cookies roubados da dark web em 2024, evidenciando um comprometimento de tokens de sessão à escala industrial.
Tycoon 2FA: o “crime como serviço” que industrializou o contorno de MFA
O caso mais emblemático é o Tycoon 2FA, uma plataforma de phishing como serviço (PhaaS). O Tycoon 2FA opera como um kit de phishing de adversário-no-meio; a sua função principal é recolher cookies de sessão do Microsoft 365 e do Gmail, que os atacantes usam para contornar os controlos de acesso da MFA em autenticações subsequentes. Em março de 2026, uma operação coordenada desmantelou parte da sua infraestrutura. A Microsoft, a Europol e uma coligação de parceiros desmantelaram a plataforma Tycoon 2FA, uma grande operação AiTM que contornou a MFA de mais de 96 000 vítimas em todo o mundo.
A dimensão comercial explica a sua eficácia. No total, o Tycoon 2FA representou aproximadamente 62% de todas as tentativas de phishing bloqueadas pela Microsoft até meados de 2025, incluindo mais de 30 milhões de emails num único mês. A Microsoft atribui o kit a um ator que rastreia como Storm-1747, e nota que após o seu surgimento em agosto de 2023, o Tycoon2FA tornou-se rapidamente uma das plataformas PhaaS mais difundidas, permitindo campanhas responsáveis por dezenas de milhões de mensagens de phishing a chegar a mais de 500 000 organizações por mês em todo o mundo. É crucial perceber que a desativação não resolve o problema de fundo: os atores do Tycoon 2FA mantiveram o código do seu kit durante a operação de março de 2026 e adaptaram-no a um novo tipo de isco em poucas semanas.
PoisonSeed: quando até o FIDO2 é alvo (e o que realmente aconteceu)
Em julho de 2025, uma campanha chamada PoisonSeed levantou alarme por, aparentemente, contornar chaves FIDO2. A técnica abusa de uma funcionalidade legítima. Em julho de 2025, investigadores da Expel divulgaram uma campanha de phishing a que chamaram PoisonSeed, que abusava do fluxo de autenticação entre dispositivos do FIDO2, também chamado transporte híbrido, que permite a um utilizador iniciar sessão num computador ao ler um código QR com um dispositivo móvel que contém a sua passkey. Na prática, a vítima chegava a uma página de login falsa que imitava a real; essa página iniciava um pedido de autenticação entre dispositivos ao serviço legítimo em segundo plano; o serviço respondia com um código QR, que a página falsa mostrava; e a vítima, acreditando estar no site verdadeiro, lia o código QR com o telemóvel e aprovava a autenticação, enviando o token de sessão para o atacante.
É importante o contexto completo, porque as fontes divergiram. A própria Expel corrigiu a interpretação inicial: a empresa acreditava que o atacante tinha concluído com sucesso o fluxo de autenticação, resultando em acesso a recursos protegidos, mas depois de discutir os resultados com a comunidade de segurança, entendeu que isso não era exato. A explicação técnica é que a autenticação entre dispositivos exige verificação de proximidade por Bluetooth entre o computador e o telemóvel; sem essa verificação, o código QR falsificado não autentica contra a sessão real, e a análise posterior confirmou que, em condições reais, a verificação de proximidade quebra a cadeia de ataque de forma fiável. Ou seja, o método de comprometimento não explora qualquer falha na implementação do FIDO, mas antes abusa de uma funcionalidade legítima para fazer downgrade do processo de autenticação. A lição prática mantém-se: a resistência a phishing depende de todas as salvaguardas estarem ativas, não apenas de uma delas.
A defesa mais forte: MFA resistente a phishing
O consenso técnico aponta para autenticadores criptográficos ligados ao domínio. O padrão FIDO2 e o protocolo WebAuthn usam criptografia de chave pública para vincular as credenciais de autenticação a dispositivos e serviços específicos, o que significa que a credencial não pode ser usada em domínios não autorizados — mesmo que um site de phishing imite o serviço legítimo. Na prática, uma chave FIDO2 recusa completar o desafio quando a origem do verificador não corresponde, sendo por isso o controlo único mais forte.
Este caminho está a tornar-se também uma exigência normativa. A publicação especial NIST SP 800-63-4, finalizada em 2025, torna a autenticação resistente a phishing obrigatória no nível de garantia de autenticação AAL3, exigindo chaves privadas vinculadas ao hardware e não exportáveis para casos de uso de elevada garantia. Ainda assim, não basta adicionar passkeys e manter tudo o resto. A Apple foi clara neste ponto: acrescentar passkeys como opção não torna um sistema resistente a phishing se ainda existirem fluxos de recuperação por SMS ou de reposição de palavra-passe, porque a resistência a phishing é uma propriedade de toda a cadeia de autenticação, não do método mais forte da cadeia.
Medidas concretas de mitigação
- Adotar MFA resistente a phishing (FIDO2, passkeys, chaves de hardware ou autenticação por certificado) ao nível do fornecedor de identidade (IdP).
- Eliminar ou restringir métodos de reserva fracos (SMS, OTP) e proteger os fluxos de recuperação de conta, que são um alvo frequente.
- Exigir dispositivos geridos e conformes através de políticas de acesso condicional. Segundo a Elastic, este é o controlo mais eficaz contra o roubo de tokens por AiTM.
- Para a autenticação entre dispositivos, limitar localizações geográficas e impor a autenticação por Bluetooth como requisito para a autenticação entre dispositivos.
- Encurtar a validade das sessões e monitorizar logins anómalos, novos registos de passkeys e leituras de códigos QR invulgares.
Cronologia dos principais desenvolvimentos
| Data | Acontecimento |
|---|---|
| Agosto 2023 | Primeiro avistamento do kit Tycoon 2FA (Storm-1747) |
| Julho 2025 | Expel divulga a campanha PoisonSeed; correção posterior esclarece que não houve contorno do FIDO2 |
| Meados de 2025 | Tycoon 2FA atinge ~62% do phishing bloqueado pela Microsoft |
| Março 2026 | Microsoft, Europol e parceiros desmantelam a infraestrutura do Tycoon 2FA (330 domínios) |
| Semanas depois | Operadores adaptam o kit e migram para novos iscos (ex.: OAuth device code) |
Porque é que isto importa em Portugal
Para as organizações portuguesas, o comprometimento de contas via SSO é frequentemente o primeiro passo de uma cadeia que termina em ransomware ou fuga de dados pessoais — com implicações diretas no RGPD, incluindo obrigações de notificação à CNPD. A adoção de autenticação forte é também uma expectativa crescente do quadro regulatório: o novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) exige medidas de gestão de riscos e de controlo de acessos por parte das entidades abrangidas. O CNCS, através do CERT.PT, recomenda regularmente a MFA robusta e a monitorização de acessos como boas práticas essenciais. Para PME e cidadãos, a mensagem é simples: a MFA continua indispensável, mas privilegiar métodos resistentes a phishing e desconfiar de logins inesperados ou de códigos QR não solicitados reduz drasticamente o risco.
Perguntas frequentes
A MFA deixou de servir para alguma coisa?
Não. A MFA continua a travar ataques de credenciais convencionais, como o preenchimento de credenciais e a pulverização de palavras-passe. O que mudou é que a MFA tradicional por SMS, OTP ou push não impede ataques de adversário-no-meio que roubam o token de sessão. Por isso a recomendação é migrar para MFA resistente a phishing.
O que é MFA resistente a phishing?
São métodos baseados em criptografia de chave pública, como o FIDO2, as passkeys e as chaves de hardware, que ligam a credencial ao domínio legítimo. A credencial recusa autenticar num site falso, mesmo que este imite perfeitamente o original, tornando o roubo de credenciais estruturalmente muito mais difícil.
O ataque PoisonSeed conseguiu mesmo contornar o FIDO2?
Não explorou uma falha do FIDO2. A técnica abusava do fluxo legítimo de autenticação entre dispositivos por código QR para fazer downgrade da autenticação. A própria Expel corrigiu a sua conclusão inicial, esclarecendo que a verificação de proximidade por Bluetooth, quando corretamente aplicada, quebra o ataque.
A desativação do Tycoon 2FA resolveu o problema?
Apenas parcialmente. A operação de março de 2026 apreendeu centenas de domínios, mas os operadores mantiveram o código do kit e adaptaram-se em poucas semanas, migrando para novos iscos. As defesas de fundo — MFA resistente a phishing e conformidade de dispositivos — continuam a ser o essencial.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Microsoft, Europol, Proofpoint, Expel, NIST, FIDO Alliance e por investigadores de segurança reputados.