Fadiga de senhas: por que mais controles nem sempre significam mais segurança?
No dia a dia corporativo, muitas vezes não paramos para reparar em quantas aplicações precisamos acessar para fazer nosso trabalho, ou quantas identidades precisamos criar.
Esse cenário começa a se tornar caótico quando tudo isso não é integrado, o que facilmente pode se tornar um desastre tanto para os usuários, quanto para os administradores, que começam a perder o controle de quantas contas existem, seus acessos e privilégios, principalmente quando tudo é feito de forma manual.
Infelizmente, isso traz um desafio maior para a cibersegurança: a fadiga de senhas. Entenda o que é esse conceito e por que é uma preocupação.
O que é a fadiga de senhas?
Sabemos que ter uma camada de segurança forte nas identidades é fundamental; afinal, ataques de senhas fracas são uma das principais vulnerabilidades de segurança cibernética, principalmente quando falamos de acessos privilegiados.
Portanto, exigir senhas complexas tornou-se uma regra para proteger os ambientes de TI, assim como a sua redefinição após um período, mas torna-se exaustivo no cotidiano dos usuários.
Os colaboradores lidam com uma grande quantidade de aplicações e logins no trabalho. Imagine ter que criar e gravar um acesso complexo para cada um deles? É humanamente impossível. É justamente essa sobrecarga de lidar com muitos acessos que chamamos de fadiga de senhas.
Embora a exigência histórica de trocas periódicas de senha tenha sido vista como padrão, hoje a recomendação de órgãos como o NIST (SP 800-63B), Microsoft e CISA é adotar MFA e senhas fortes sem expiração arbitrária para contas de usuário final, exatamente para evitar a fadiga. Essa recomendação não se aplica a contas privilegiadas e de serviço, que seguem exigindo rotação regular por representarem um risco maior em caso de comprometimento.
Além disso, senhas criadas de acordo com as políticas vigentes são esquecidas frequentemente, o que bloqueia o acesso e obriga a abrir um chamado para o time de TI redefinir a senha, afetando a produtividade dos funcionários.
Como a fadiga de senhas afeta as empresas?
A fadiga de senhas pode trazer alguns prejuízos, principalmente em relação à segurança cibernética da corporação.
1 - Diminui a produtividade dos times
Colaboradores param a todo momento para procurar por senhas ou redefini-las. Além de ser cansativo, pode ser contraprodutivo, pois atrasa as tarefas que poderiam estar desempenhando ao ir atrás de um acesso.
Quando falamos de senhas esquecidas, o outro time é afetado o de TI. Colaboradores precisando de uma redefinição de senha ou contas bloqueadas por diversas tentativas de login acabam criando chamados em excesso, afetando outras tarefas que o time técnico poderia estar desempenhando.
2 - Riscos de segurança
Senhas simples, repetidas e que precisam ser continuamente trocadas podem abrir diversas brechas de segurança, tornando o ambiente mais fácil de entrar. Quando falamos de contas privilegiadas, o perigo pode ser ainda maior, pois isso pode levar à exfiltração de dados e acesso a informações confidenciais.
3 - Não alinhamento à conformidade
Em caso de brechas de segurança, se o seu ambiente é invadido ou apresenta vulnerabilidades, a empresa pode não estar de acordo com regulamentações do setor e leis, como a Lei Geral da Proteção de Dados (LGPD).
Quais ataques podem se aproveitar da fadiga de senhas?
A fadiga de senhas traz vulnerabilidades aproveitadas por cibercriminosos para tentar acessar o ambiente e dados sensíveis.
Entenda como isso pode acontecer:
Ataque de credential stuffing
Esse ataque é possível devido a um hábito inadequado de usuários: utilizar as mesmas credenciais para diversas aplicações.
O credential stuffing é um ataque cibernético automatizado em que criminosos usam listas de nomes de usuário e senhas vazados obtidas a partir de um vazamento de dados em um serviço, sendo então utilizadas para tentar acessar outro serviço não relacionado.
Os cibercriminosos, ao possuir um login e senha válidos, geralmente por vazamento ou phishing, começam a testar essas credenciais em diversos sites e aplicativos diferentes por meio de bots e scripts até conseguir acesso.
O ataque funciona puramente ao acaso, sorte e mau costume, pois a chance de um login verdadeiro ter sido usado novamente em outros acessos é grande.
Ataque de força bruta
No ataque de força bruta é um método de tentativa e erro, em que o invasor tenta todas as combinações possíveis de senhas ou chaves de criptografia até encontrar a correta, utilizando bots e scripts para fazer isso de forma mais rápida.
O nome "força bruta" vem de invasores que usam tentativas excessivamente forçadas para obter acesso a contas de usuário. Quanto mais fraca for a senha do usuário, mais fácil será para o atacante descobrir o acesso verdadeiro.
Ataque de dicionário
Aqui o atacante usa palavras comuns, normalmente encontradas em listas vazadas na internet (o dicionário) para tentar adivinhar senhas de usuários e comprometer suas credenciais, por meio de um programa automatizado que testa todas as combinações possíveis.
Assim, se o usuário usar uma senha como "Senh@12345", também será fácil quebrar o acesso. Quanto mais fácil for a senha, com caracteres comuns e mais curtas, mais fácil será de descobrir.
Como combater a fadiga de senhas
Vazamento e ataques de credenciais estão se tornando cada vez mais comuns, e, por isso, trazer a proteção e resiliência para essa camada está se tornando uma prioridade cada vez maior para os times de segurança.
Além de serem um alvo dos cibercriminosos, lidar com diversas senhas tornou-se cansativo e nada prático no dia a dia dos colaboradores, mas é possível utilizar métodos que aumentem a cibersegurança, e ao mesmo tempo, proporcionem uma experiência melhor.
Aqui estão algumas dicas de como combater a fadiga de senhas:
Single sign-on (SSO) e MFA
Single Sign-On (SSO) é um método de autenticação que permite aos usuários acessarem múltiplos sistemas e aplicações utilizando apenas um conjunto de credenciais de login, ao invés de lembrar e inserir diversas credenciais para cada serviço que irá utilizar.
O SSO reduz o número de senhas, mas concentra o risco em uma única credencial.
Quando os usuários usam as mesmas credenciais para diversas aplicações, ficam sujeitos a sofrer alguns ataques. Por isso, implementar a autenticação multifatorial (MFA) é importante, pois, caso a senha vaze, o atacante não conseguirá entrar na conta, pois precisará de outros fatores de autenticação.
É por isso que o SSO deve vir sempre acompanhado de autenticação multifatorial (MFA), já que outros fatores de autenticação também serão exigidos, como algo que você possua (celular), algo que você sabe (senha ou PIN) ou algo que é (biometria).
Acesso condicional
Enquanto o SSO e o MFA atuam no momento do login, o acesso condicional entra em ação depois, avaliando se aquele acesso específico deve ou não ser permitido, mesmo depois que a identidade já foi confirmada.
Esse mecanismo é usado para controlar quem poderá acessar determinados recursos e sistemas, e tem como objetivo garantir que apenas usuários autorizados e/ou em situações específicas tenham acesso às informações, garantindo a integridade e segurança de dados importantes.
O acesso é liberado somente se obedecer a certos pré-requisitos, como identidade do usuário, integridade do dispositivo, localização, risco e padrões de comportamento.
Utilize um cofre de senhas
O cofre de senha (ou gerenciador de senha) é um espaço criptografado usado para armazenar dados, como senhas e credenciais de login, documentos, imagens e outras informações confidenciais em um local digital protegido.
Assim, informações sensíveis estarão mais seguras e com o acesso mais limitado, porém, para o usuário, com um modo fácil de acessar.
Autenticação sem senha
A autenticação sem senha elimina a senha como fator de login. Diferente dos métodos anteriores, que reduzem ou reforçam o uso de senhas, esse mecanismo ataca a fadiga de senhas na origem: sem senha, não há o que memorizar, redefinir ou expor a vazamentos.
O sistema valida a identidade do usuário por meio de um fator do tipo "algo que você tem" (como uma chave de segurança ou notificação push no celular) ou "algo que você é" (biometria facial ou digital). Quando combinada a outro fator de autenticação, essa abordagem se torna parte de uma estratégia de MFA — tornando o processo ao mesmo tempo mais seguro e mais simples para o usuário.
ManageEngine e a mitigação de fadiga de senhas
A ManageEngine pode tornar a experiência dos usuários muito mais simples e confortável e, mesmo assim, continuar protegendo o seu ambiente.
Para combater a fadiga de senhas, o ADSelfService Plus é uma solução para autogestão de senhas que auxilia a reforçar a identidade, com recursos como MFA, SSO e sincronização de senhas, redefinição de senhas por autoatendimento e acesso condicional.
O Password Manager Pro permite a gestão de senhas corporativas, com controle de acesso robusto, cofre de senhas seguro e rotação periódica de senhas voltada a contas privilegiadas e de serviço, além do gerenciamento de contas privilegiadas para evitar que atacantes se aproveitem de fragilidades para conseguir acesso a dados sensíveis.
Além disso, o Identity360 é uma plataforma baseada na cloud para a segurança de acesso, com recursos como MFA, SSO e gestão de acesso.
Faça um teste gratuito de todas as soluções acessando o nosso site!