Fadiga de MFA: como aprovações por notificação viraram arma contra a autenticação bancária

As notificações se acumulam. Entre o hábito e a pressa, um toque mínimo passou a valer muito mais do que deveria.

A gente resolve assuntos do banco no celular quase no automático. Um alerta, uma olhada rápida, o polegar na tela - e parece que está tudo concluído. Esse ritmo fácil, pensado para conveniência, virou o novo alvo. Criminosos aprenderam a transformar em arma o instante em que você diz “sim”.

O que está acontecendo na prática

Hoje, a maioria dos aplicativos bancários usa uma solicitação por notificação como parte da autenticação forte do cliente. Você tenta entrar na conta, cadastrar um favorecido ou autorizar uma transferência; o celular exibe um pedido; você abre o aplicativo e toca em “Aprovar”. Esse segundo fator deveria elevar a barreira. Só que os atacantes estão batendo justamente nele.

Golpistas disparam ondas de solicitações, dia e noite. A vítima nega algumas, até que em algum momento cede. Algumas quadrilhas conduzem sessões ao vivo de captura de credenciais: imitam uma página do banco, roubam o primeiro fator e, em seguida, acionam uma aprovação real no celular da vítima. Aí um falso “agente de suporte” pressiona para que ela aprove “para verificar sua identidade”. No Android, programas maliciosos voltados a bancos conseguem até colocar uma tela falsa por cima do aplicativo verdadeiro para capturar o gesto de aprovação. A fricção sumiu - e a cautela também.

“Os atacantes não precisam quebrar a criptografia. Eles só precisam vencer um momento apressado e distraído.”

A dinâmica da fadiga de MFA

O roteiro é desanimadoramente simples. Criminosos recolhem credenciais em vazamentos e em pacotes prontos de fraude. Tentam entrar na conta, o que dispara uma solicitação no celular do dono. Se o dono recusa, eles tentam de novo - a cada poucos minutos, ou a cada poucos segundos. Muitos ainda aumentam a pressão com ligação ou mensagem: “Aprove agora para bloquear um pagamento suspeito”. Esse texto social transforma uma checagem de segurança num “OK” reflexo.

De onde vem o problema

O impulso da PSD2 na Europa para reforçar a autenticação forte do cliente levou bancos a migrarem de códigos únicos por SMS para aprovações dentro do aplicativo. No papel, é mais robusto: vinculação ao dispositivo, biometria, verificações no servidor. Na prática, o risco mudou de lugar - não desapareceu. Pagamentos instantâneos, feeds de notificação lotados e particularidades de links profundos no aplicativo criam novas brechas.

• Pouco contexto nas solicitações aumenta a chance de erro. Muitas notificações não exibem o favorecido, o valor ou o motivo. O usuário responde no piloto automático.
• Reaproveitamento de credenciais segue alimentando ataques. E-mails e senhas vazados dão aos criminosos o primeiro ponto de apoio.
• Transferências instantâneas elevam o retorno da fraude. O dinheiro pode cair numa conta de laranja e sair do país em minutos.
• O celular centraliza tudo: banco, e-mail, autenticadores. Abusos de recursos de acessibilidade e falhas em links profundos ampliam o espaço de ataque para cavalos de troia móveis.
• O sistema financeiro aberto adiciona repasses e etapas de consentimento. Cada redirecionamento cria confusão, que engenheiros sociais exploram.

“Ao remover fricção de forma descuidada, você remove a pausa que ajuda as pessoas a perceber uma armadilha.”

O que isso significa para clientes, bancos e reguladores

Para clientes, a fronteira entre fraude “autorizada” e “não autorizada” fica confusa. Se você tocou em “Aprovar”, isso foi consentimento? Alguns bancos tratam isso como sinal verde. No Reino Unido, reguladores apertaram o modelo para golpes de pagamento por aprovação no aplicativo (APP), empurrando mais custo de volta para as instituições e melhorando o ressarcimento para muitas vítimas. A pressão aumenta à medida que o Faster Payments se expande e as checagens de Confirmação do Beneficiário viram padrão.

Para bancos, a conta está mudando. As perdas por fraude sobem, mas etapas mais pesadas de acesso derrubam conversão e satisfação. Por isso, muitos credores investem em camadas “invisíveis”: biometria comportamental, pontuação de risco do dispositivo, detecção de anomalias e interrupção em tempo real de aparelhos comprometidos. Padrões das grandes empresas de tecnologia, como chaves de acesso (FIDO2), fortalecem a autenticação vinculada ao dispositivo e reduzem a eficácia de intermediações que capturam credenciais. Mesmo assim, o fator humano continua enorme. Um par de chaves bem desenhado não resolve um toque apressado motivado por uma voz convincente.

A sociedade funciona à base de alertas. Conversas de trabalho, atualizações de entrega, notificações promocionais - tudo pisca. Um pedido do banco deixa de parecer raro ou grave. Por isso, o design da tela e a redação são decisivos: a forma como o aplicativo enquadra o momento influencia a escolha que as pessoas fazem.

O que especialistas propõem e quais correções funcionam

Especialistas voltam sempre ao mesmo defeito central: um botão “Aprovar” sem contexto. As contramedidas mais eficazes que vêm surgindo em finanças e tecnologia tentam desacelerar o reflexo, devolver contexto ou amarrar a aprovação à ação exata.

Medida	O que muda	Limitações
Correspondência de números	O usuário digita um código exibido na tela de acesso; o toque automático deixa de funcionar	Sites falsos ainda podem repassar o código em tempo real
Vinculação dinâmica	A aprovação mostra favorecido e valor; a vinculação criptográfica impede alterações silenciosas	Depende de uma interface clara; telas pequenas podem esconder detalhes importantes
Chaves de acesso e chaves com proteção por hardware	Vincula o acesso ao dispositivo e ao domínio; resiste a repasses por sites falsos	Perda do dispositivo e recuperação de conta exigem um fluxo bem projetado
Limitação de taxa de solicitações	Bloqueia ou atrasa rajadas após recusas; adiciona avisos	Atacantes migram para ligações persuasivas e contas novas
Reforço do aplicativo móvel	Impede sobreposição de telas, detecta acesso root, protege o tempo de execução	Programas maliciosos sofisticados continuam evoluindo

• Usar linguagem direta nas solicitações: quem está tentando se conectar, de qual aparelho, de onde aproximadamente e em que horário.
• Inserir um período de espera para o primeiro pagamento a um novo beneficiário ou para valores incomumente altos.
• Trocar de canal após várias recusas - sem novas notificações; exigir nova autenticação biométrica ou uma checagem com atendimento humano.
• Compartilhar indicadores de pacotes de fraude e contas de laranja entre instituições para encurtar a vida útil das campanhas.

“Uma solicitação por notificação deveria parecer uma decisão sobre uma ação específica, não um teste vago de identidade.”

A questão mais profunda: segurança como escolha de design

Autenticação não é um ritual. É um ponto de decisão. Se a tela diz pouco e o layout treina um reflexo, as pessoas ficam previsíveis. E usuários previsíveis são fáceis de conduzir. Bancos que redesenham jornadas com foco em compreensão - e não só em conformidade - vêm registrando menos perdas ligadas a aprovações por notificação e menos chamadas ao suporte.

O que você pode fazer agora

Quando uma solicitação aparecer sem motivo, pare por um instante. Se alguém ao telefone mandar você aprovar “para impedir uma fraude”, desligue e ligue para o banco usando um número conhecido. Ative confirmação do beneficiário e alertas de pagamento. Evite reutilizar senhas. Use chaves de acesso quando estiver disponível. Mantenha o aparelho atualizado e remova aplicativos que você não reconhece.

Se você trabalha numa equipe de produto financeiro, teste o texto. Troque “Confirmar autenticação” por algo humano: “Alguém está tentando entrar numa conta em um Samsung Galaxy em Leeds às 14:03. Se não for você, toque em Negar.” Mostre o nome do favorecido, parte do código de agência e do número da conta, além do valor exato em toda aprovação. Adicione fricção apenas quando o risco aumentar. O resto deve permanecer rápido.

Um passo a passo rápido: correspondência de números na prática

Você entra na conta pelo navegador. A tela exibe um número de dois dígitos, por exemplo 47. Seu celular recebe uma solicitação com três opções: 12, 47, 83. Você abre o aplicativo e escolhe 47. O aplicativo assina o desafio com uma chave do dispositivo e envia ao banco. Um criminoso que esteja apenas disparando solicitações não consegue adivinhar o número certo sem ver a sua tela. Se um site falso repassar o fluxo, a pressão de tempo ainda faz a vítima errar com menos frequência, e a pontuação de risco pode sinalizar a divergência de dispositivo e localização.

Compensações de risco a ter em mente

Pagamentos instantâneos encurtam a janela de recuperação. Períodos de espera e checagem de nome reduzem velocidade, mas barram muitos golpes. Aprovações por notificação parecem sem esforço - e essa facilidade esconde o custo do erro. Chaves de acesso aumentam a resistência a sites falsos, porém exigem recuperação de conta e migração de dispositivo bem resolvidas. Todo controle move o ponteiro; nenhum funciona sozinho. Os melhores resultados aparecem quando vinculação ao dispositivo, contexto rico e “freios” inteligentes se combinam com boa orientação ao usuário.

---