Empresa remove MFA após reclamação por falha em sistema de faturamento

A implantação de autenticação multifator em ambientes corporativos costuma ser tratada como uma das medidas básicas para reduzir o risco de comprometimento de contas. Ainda assim, um caso relatado à coluna On Call, do The Register, mostra como decisões internas e pressão operacional podem levar empresas a recuar justamente em controles de segurança considerados essenciais.

O relato foi enviado por um leitor identificado pelo pseudônimo “Colin”, que trabalhava em um projeto para um cliente interessado em melhorar a segurança de sua implementação do Microsoft 365. O objetivo era elevar o Secure Score, métrica usada pela Microsoft para avaliar a postura de segurança e resiliência de ambientes Microsoft 365.

Segundo Colin, a equipe passou um período considerável alinhando com o cliente um plano de implantação para habilitar MFA em toda a organização, seguindo uma linha de base de segurança previamente acordada. A autenticação multifator adiciona uma etapa extra de verificação além da senha, como aplicativo autenticador, token, biometria ou confirmação em dispositivo confiável, reduzindo o impacto de credenciais roubadas ou reutilizadas.

A implementação começou de forma tranquila. A equipe técnica ativou as melhorias planejadas, e o processo parecia seguir sem incidentes relevantes. O problema surgiu na manhã seguinte, quando uma diretora sênior da empresa entrou em contato com o service desk em tom de forte reclamação.

De acordo com o relato, a executiva, descrita como suposta COO de uma empresa de cibersegurança, acusou a equipe de ter paralisado a organização ao exigir o registro dos usuários no MFA. A reclamação indicava que o processo teria afetado um sistema de faturamento e poderia gerar impacto grave nos negócios em um curto período.

Após a equipe conseguir entender o problema em meio às acusações, ficou claro que a falha afetava apenas três ou quatro telefones. A investigação apontou que o problema não estava na implantação do Microsoft 365 nem no MFA em si, mas no software de faturamento usado pela empresa.

O sistema prometia suporte à autenticação multifator, mas dependia de uma implementação defeituosa para operar corretamente. Em outras palavras, o controle de segurança planejado funcionava no ambiente Microsoft, enquanto a interrupção estava associada à baixa qualidade ou instabilidade do software de terceiros integrado ao processo.

Mesmo com essa explicação, a diretora não aceitou aguardar uma solução alternativa. A ordem foi realizar um rollback imediato, removendo a exigência de MFA. Segundo o relato, essa reversão continuava em vigor, deixando a empresa com uma postura de segurança inferior à planejada originalmente.

Para Colin, o aspecto mais surpreendente foi a resistência de uma liderança supostamente ligada ao setor de segurança em manter uma medida básica de proteção. Na prática, a decisão priorizou a eliminação imediata do atrito operacional, mesmo que isso significasse deixar contas corporativas menos protegidas.

O caso ilustra um dilema comum em projetos de segurança: controles técnicos podem ser bem planejados e executados, mas ainda assim enfrentar resistência quando sistemas legados, aplicações de terceiros ou processos internos não acompanham o mesmo nível de maturidade. Quando a pressão por continuidade operacional é tratada sem análise adequada, o resultado pode ser a remoção de mecanismos importantes de proteção.

A autenticação multifator é especialmente relevante em ambientes Microsoft 365 porque credenciais de e-mail e colaboração corporativa continuam sendo alvos frequentes de phishing, ataques de força bruta, credential stuffing e campanhas de roubo de sessão. Sem MFA, uma senha comprometida pode ser suficiente para dar acesso a e-mails, arquivos, calendários, chats e aplicações integradas.

Ao mesmo tempo, a implantação de MFA exige planejamento operacional. Organizações precisam mapear sistemas dependentes, fluxos de autenticação, dispositivos móveis, usuários privilegiados, contas de serviço, aplicativos legados e exceções temporárias. Quando aplicações críticas afirmam oferecer suporte a MFA, esse suporte deve ser validado antes da ativação ampla, preferencialmente em piloto controlado.

O relato também mostra a importância de comunicação executiva em projetos de segurança. A implantação de controles como MFA deve ser acompanhada de mensagens claras sobre impacto esperado, benefícios, etapas de suporte, exceções documentadas e critérios para rollback. Sem esse alinhamento, incidentes pontuais podem ser interpretados como falha generalizada do projeto.

Segundo Colin, o mesmo cliente já havia feito outras solicitações consideradas sem sentido, incluindo exigir que um engenheiro que não dirigia fosse imediatamente a um local remoto para corrigir uma impressora. Em outra ocasião, a mesma pessoa teria atribuído a um trabalho feito no Microsoft 365 a causa de uma queda de energia.

Embora o caso tenha sido apresentado em tom leve pela coluna do The Register, ele aponta para um problema real em muitas organizações: a segurança pode ser enfraquecida não por falta de tecnologia, mas por decisões apressadas, baixa maturidade de governança e dificuldade de lidar com exceções operacionais.

A principal lição é que MFA não deve ser tratado como um recurso opcional a ser removido ao primeiro atrito. Quando uma aplicação falha ao lidar com autenticação multifator, a resposta adequada é identificar a causa, aplicar contornos temporários bem documentados e corrigir a integração, não abandonar o controle em toda a organização.

Em ambientes corporativos, especialmente aqueles que dependem de Microsoft 365, o equilíbrio entre segurança e operação exige processos de mudança bem definidos. A ausência de MFA pode parecer uma solução rápida para um problema imediato, mas aumenta a exposição a ataques de conta, comprometimento de e-mail corporativo e acesso indevido a dados sensíveis.