Questão de Segurança da Informação — Autenticação Multifator (MFA) — CESPE / CEBRASPE 2025

Autenticação Multifator (MFA): o código enviado por e-mail como fator de posse

✅ CERTO. A afirmação está correta: o envio de um código único de verificação para o e-mail registrado é uma técnica válida de implementação de MFA, pois o e-mail funciona como um fator do tipo "algo que você possui" (something you have). O acesso à caixa de entrada do e-mail é a prova de posse desse fator, complementando outros fatores como senha (algo que você sabe) ou biometria (algo que você é).

A autenticação multifator (MFA) é um mecanismo de segurança que exige que o usuário apresente dois ou mais fatores de autenticação independentes para comprovar sua identidade. A lógica por trás disso é simples: se um fator for comprometido (por exemplo, uma senha vazada), o atacante ainda precisará superar o segundo fator para obter acesso. É por isso que o MFA é considerado uma das defesas mais eficazes contra ataques de força bruta, credential stuffing e phishing — segundo a Microsoft, o MFA bloquearia 99,9% dos ataques de comprometimento de contas.

Os fatores de autenticação são classificados em categorias, e a combinação de fatores de categorias diferentes é o que caracteriza o MFA. As três categorias clássicas são:

O código enviado por e-mail se enquadra na categoria "algo que você possui": o usuário prova que tem acesso à conta de e-mail registrada, o que é um fator de posse. Quando combinado com a senha (algo que você sabe), temos uma autenticação de dois fatores (2FA), que é uma forma de MFA. É importante notar que exigir dois fatores da mesma categoria (por exemplo, senha + PIN) não constitui MFA — os fatores devem ser de categorias distintas para oferecer segurança real.

Na prática, o fluxo funciona assim: o usuário informa sua senha (primeiro fator) e, em seguida, o sistema envia um código único para o e-mail cadastrado. O usuário acessa o e-mail, copia o código e o insere no sistema, comprovando que possui acesso àquela conta de e-mail. Esse é um método comum e amplamente utilizado, embora seja considerado menos seguro que outros fatores de posse, como tokens físicos ou aplicativos autenticadores, porque o e-mail pode ser alvo de ataques de phishing ou de comprometimento da própria conta de e-mail.

A pegadinha que a banca explora neste tema é a confusão entre autenticação e autorização. A autenticação verifica quem o usuário é; a autorização verifica o que ele pode fazer. O código enviado por e-mail é um mecanismo de autenticação, não de autorização. Outra confusão comum é achar que o e-mail é um fator "algo que você sabe" — mas o código em si não é memorizado pelo usuário; ele é recebido no e-mail, o que caracteriza posse do acesso à conta de e-mail.

Guarde a distinção entre as categorias de fatores e a regra de que o MFA exige fatores de categorias diferentes: é exatamente nesse critério que as questões sobre o tema se dividem.

Alternativa C — ✅ Certo ⟵ GABARITO

A afirmação está correta. O envio de um código único de verificação para o e-mail registrado é uma técnica legítima de implementação de MFA. O e-mail funciona como um fator de posse ("algo que você possui"), pois o usuário precisa demonstrar acesso à conta de e-mail para obter o código. Quando combinado com outro fator de categoria diferente (como senha ou biometria), configura-se a autenticação multifator. O NIST SP 800-53 define os fatores como "algo que você sabe", "algo que você possui" e "algo que você é", e o acesso ao e-mail se enquadra claramente na segunda categoria.

Gabarito: letra C (Certo).