Como ativar MFA na VPN: guia prático para PMEs sem equipe de TI

Se a sua empresa usa VPN para acesso remoto e ainda depende só de usuário e senha, existe uma lacuna concreta de segurança, e ela é simples de fechar. Depois de mostrarmos por que a VPN sem autenticação multifator (MFA) virou uma das portas de entrada preferidas de ataques de ransomware no Brasil, este guia é a parte prática: o que é MFA, quais opções fazem sentido para uma PME sem equipe de TI dedicada, e como ativar isso nos equipamentos mais comuns do mercado.

Por que a senha sozinha não basta mais

Senha é "algo que você sabe", e o que se sabe pode vazar. Vazamentos de credenciais, phishing e reuso de senha entre serviços fazem com que milhões de combinações usuário/senha circulem em fóruns e mercados clandestinos. Um invasor não precisa "quebrar" sua VPN: ele só precisa comprar ou coletar uma credencial válida e testá-la.

MFA (autenticação multifator) resolve isso exigindo um segundo fator, de uma categoria diferente:

• Algo que você sabe: a senha.
• Algo que você tem: um celular com app autenticador, um token físico.
• Algo que você é: biometria, menos comum em VPN corporativa.

Mesmo com a senha em mãos, o invasor trava no segundo fator. É por isso que MFA é apontado, de forma consistente, como um dos controles que mais reduz o risco de comprometimento por credencial roubada: a barreira que falta na maioria dos ataques de ransomware que começam pela VPN.

As opções práticas para PME: prós e contras

Nenhuma opção é perfeita, mas todas são melhores do que nenhuma. Para uma empresa pequena, a ordem de prioridade costuma ser:

App autenticador (Microsoft Authenticator, Google Authenticator, Authy): gera um código temporário (TOTP) a cada 30 segundos, sem depender de internet ou operadora. É gratuito, funciona em qualquer smartphone e é hoje o padrão mínimo recomendado. Ponto de atenção: se o funcionário perder o celular, é preciso ter um processo de recuperação e reset definido antes que isso aconteça.

SMS: é o método mais fácil de implantar, mas também o mais fraco, sujeito a SIM swap (clonagem do chip) e interceptação. Serve como ponto de partida emergencial, não como solução definitiva. Várias plataformas, incluindo a Microsoft, já recomendam migrar de SMS para app autenticador ou chave física sempre que possível.

Chave de segurança física (FIDO2/U2F, ex.: YubiKey): é o método mais resistente a phishing, porque a autenticação depende de um desafio criptográfico vinculado ao domínio real do serviço. Um site falso não consegue completar o processo. Tem custo por unidade e exige logística de distribuição, o que faz mais sentido para contas administrativas e acessos críticos (ex.: quem gerencia o firewall/VPN) do que para todo o quadro de funcionários.

Para a maioria das PMEs, a combinação prática é: app autenticador para todos os usuários da VPN, e chave física reservada para administradores de rede e contas privilegiadas.

Passo a passo: ativando MFA na VPN

O caminho varia por fabricante, mas a lógica é sempre a mesma: habilitar MFA no usuário ou no servidor de autenticação usado pela VPN.

Fortinet FortiGate: em User & Device > User Definition, edite o usuário, informe o e-mail, ative "Two-factor Authentication" e associe um FortiToken (app) ao usuário. O FortiGate também aceita RADIUS externo para centralizar o MFA de vários usuários de uma vez.

Cisco (AnyConnect/ASA ou Meraki): a prática recomendada é apontar a VPN para um servidor RADIUS ou provedor de identidade que já exija o segundo fator (Duo é o mais usado com Cisco), em vez de depender só da senha local do dispositivo.

pfSense (OpenVPN): instale o pacote FreeRADIUS pelo System > Package Manager, habilite suporte a OTP (Google Authenticator), configure o servidor RADIUS em System > User Manager > Authentication Servers e associe cada usuário ao seu segredo OTP. No login, a senha vira PIN + código do app.

Mikrotik: o RouterOS não tem MFA nativo, é preciso um servidor RADIUS externo (ou proxy como Rublon/Protectimus) na frente da VPN, validando usuário, senha e código do app antes de liberar a conexão.

Em todos os casos, o princípio é o mesmo: a VPN passa a autenticação para um serviço (RADIUS, provedor de identidade) que exige dois fatores, em vez de aceitar só usuário e senha local.

Erros comuns que anulam a proteção

Ativar MFA errado dá falsa sensação de segurança. Os deslizes mais comuns:

• Deixar "lembrar este dispositivo por 30 dias" ligado: isso recria a mesma janela de exposição que o MFA deveria fechar, especialmente em notebooks compartilhados ou levados para fora do escritório.
• Aprovar notificações push sem checar: ataques de "MFA fatigue" (push bombing) bombardeiam o usuário com solicitações até ele aprovar por cansaço ou distração. Prefira apps com "number matching" (o usuário digita um número exibido na tela de login) em vez de só apertar "aprovar".
• Reutilizar ou compartilhar código ou segredo TOTP entre pessoas: cada usuário precisa do próprio cadastro. Segredo compartilhado é senha disfarçada.
• Aplicar MFA só em algumas contas: administradores e contas de serviço são justamente os alvos mais valiosos. Exceção nelas anula o ganho de segurança do restante.

MFA sozinho não resolve todo o problema do ransomware, mas é o controle de maior custo-benefício disponível hoje para fechar a porta de entrada mais explorada. Para uma PME sem equipe de TI, o app autenticador gratuito já cobre a maior parte do risco. O próximo passo é simplesmente agendar a implantação.

Referências

Fortinet: Set up FortiToken multi-factor authentication

Netgate: FreeRadius on pfSense software for Two Factor Authentication

Rublon: Multi-Factor Authentication (2FA/MFA) for MikroTik VPN

Cisco Duo: MFA fatigue: what it is and how to respond

DOCManagement: Brasil é o terceiro país que mais sofreu ataques de ransomware em junho, aponta Cohesity