Fadiga da MFA e pedidos de aprovação nas apps bancárias

As notificações acumulam-se. Entre o hábito e a pressa, um toque minúsculo passou a ter muito mais peso do que deveria.

Confiamos no telemóvel para tratar do banco sem pensar demasiado. Um sinal, um olhar rápido, um polegar no ecrã e a tarefa parece concluída. Esse ritmo cómodo - concebido para poupar esforço - tornou-se o novo alvo. Os criminosos aprenderam a explorar o instante em que dizemos «sim».

Em casa ou numa pequena empresa, o mesmo telemóvel serve muitas vezes para banco, trabalho e vida pessoal. Quando tudo apita ao mesmo tempo, um pedido legítimo pode parecer apenas mais uma notificação banal. Separar alertas críticos, ocultar pré-visualizações sensíveis e reservar um dispositivo para operações financeiras pode reduzir erros evitáveis.

O que está a acontecer no terreno

Hoje, a maioria das aplicações bancárias usa um pedido por notificação para cumprir a autenticação forte do cliente. Tenta iniciar sessão, adicionar um beneficiário ou aprovar um pagamento; o telefone mostra um pedido; abre a aplicação e toca em «Aprovar». Esse segundo fator deveria elevar a exigência. Na prática, os atacantes atacam precisamente esse momento.

Os burlões lançam vagas contínuas de pedidos, dia e noite. A vítima rejeita alguns, acaba por ignorar outros e, mais tarde, cede. Alguns grupos fazem sessões de phishing em tempo real: imitam a página de acesso do banco, roubam o primeiro fator e disparam um pedido legítimo para o telemóvel da vítima. Um falso «agente de apoio» insiste para que a pessoa aprove «para verificar a sua identidade». Em Android, malware bancário pode até colocar um ecrã falso sobre a aplicação verdadeira para capturar o gesto de aprovação. O atrito desapareceu. A prudência também.

Os atacantes não precisam de quebrar a criptografia. Só têm de vencer um instante apressado e distraído.

A dinâmica da fadiga de MFA

O método é frustrantemente simples. Os criminosos recolhem credenciais a partir de fugas de dados e kits de phishing. Tentam iniciar sessão, o que faz chegar um pedido ao verdadeiro titular da conta. Se a pessoa recusar, voltam a tentar - de poucos em poucos minutos, ou até de poucos em poucos segundos. Muitos acrescentam pressão por telefone ou por mensagem: «Aprove agora para bloquear um pagamento suspeito.» Esse guião social transforma uma verificação de segurança num «OK» automático.

De onde vem o problema

A aposta europeia da PSD2 na autenticação forte do cliente afastou os bancos dos códigos SMS de uso único e aproximou-os das aprovações dentro da aplicação. No papel, é um modelo mais robusto: associação ao dispositivo, biometria, verificações do lado do servidor. Na prática, o risco não desapareceu; apenas mudou de sítio. Os pagamentos imediatos, os fluxos densos de notificações e as particularidades das ligações diretas nas apps abriram novas brechas.

• A falta de contexto nos pedidos aumenta a probabilidade de erro. Muitas notificações não mostram o beneficiário, o montante ou a finalidade. As pessoas respondem em piloto automático.
• A reutilização de credenciais continua a alimentar os ataques. Emails e palavras-passe vazados dão aos criminosos o primeiro ponto de entrada.
• As transferências imediatas elevam o ganho do fraude. O dinheiro pode cair numa conta-mula e sair do país em minutos.
• Os telemóveis concentram tudo: banco, email, autenticadores. O abuso das funções de acessibilidade e as falhas nas ligações diretas ampliam a superfície de ataque para trojans móveis.
• O open banking acrescenta transferências entre serviços e passos de consentimento. Cada redirecionamento traz confusão, e é essa confusão que os engenheiros sociais aproveitam.

Se se remove o atrito sem cuidado, remove-se também a pausa que ajuda as pessoas a detetar uma armadilha.

O que isto significa para clientes, bancos e reguladores

Para os clientes, a fronteira entre fraude «autorizada» e fraude «não autorizada» torna-se nebulosa. Se tocou em «Aprovar», isso conta como consentimento? Por vezes, os bancos tratam esse gesto como um sinal verde. No Reino Unido, os reguladores apertaram o modelo para os esquemas de pagamento autorizado (APP), transferindo mais custos para as instituições e melhorando o reembolso de muitas vítimas. Essa pressão cresce à medida que os pagamentos mais rápidos se expandem e os controlos de confirmação do beneficiário se tornam norma.

Para os bancos, a equação está a mudar. As perdas com fraude aumentam, mas acrescentar mais passos ao acesso prejudica a conversão e a satisfação. Muitos credores investem agora em camadas invisíveis: biometria comportamental, avaliação de risco do dispositivo, deteção de anomalias e bloqueio em tempo real de telemóveis comprometidos. Normas de grandes tecnológicas, como as chaves de acesso, reforçam a autenticação ligada ao dispositivo e dificultam os ataques de retransmissão de phishing. Ainda assim, o fator humano continua a pesar muito. Uma chave de acesso impecável não resolve um toque precipitado provocado por uma voz convincente.

A sociedade vive de alertas. Conversas de trabalho, atualizações de entregas, promoções - tudo pisca. Um pedido bancário deixou de parecer raro ou sério. Isso torna o desenho do ecrã e a formulação das mensagens decisivos: a forma como a aplicação enquadra o momento condiciona a escolha que as pessoas fazem.

O que os especialistas propõem e as soluções que realmente funcionam

Os especialistas continuam a apontar o mesmo defeito de base: um botão «Aprovar» sem contexto. As contramedidas eficazes já aparecem tanto no setor financeiro como na tecnologia. Todas procuram travar o reflexo, devolver contexto ou prender a aprovação à ação exata que está a ser executada.

Medida	O que altera	Limitações
Correspondência numérica	O utilizador introduz um código mostrado no ecrã de acesso; tocar sem pensar deixa de funcionar	Os sites de phishing ainda podem transmitir o código em tempo real
Ligação dinâmica	A aprovação mostra o beneficiário e o montante; a ligação criptográfica impede alterações silenciosas	Exige uma interface clara; ecrãs pequenos podem esconder detalhes importantes
Chaves de acesso e chaves apoiadas por hardware	Vinculam o acesso ao dispositivo e ao domínio; resistem a retransmissões de phishing	A perda do dispositivo e os percursos de recuperação exigem um desenho cuidadoso
Limitação da taxa de pedidos	Bloqueia ou atrasa vagas de pedidos após recusas; acrescenta avisos	Os atacantes mudam para chamadas sociais e contas novas
Endurecimento da aplicação móvel	Impede sobreposições de ecrã, deteta dispositivos com permissões de superutilizador e protege o ambiente de execução	O malware mais sofisticado continua a evoluir

• Use linguagem simples nos pedidos: quem está a ligar, a partir de que dispositivo, de que zona aproximada e a que hora.
• Introduza um período de espera para o primeiro pagamento a um novo beneficiário ou para montantes invulgarmente altos.
• Mude de canal após várias recusas - nada de novos pedidos por notificação; exija nova autenticação biométrica ou uma verificação com operador.
• Partilhe indicadores de kits de phishing e de contas-mula entre o setor para encurtar a vida útil das campanhas.

Um pedido por notificação deve parecer uma decisão sobre uma ação concreta, e não um teste vago de identidade.

A questão mais profunda: a segurança como escolha de design

A autenticação não é um ritual. É um ponto de decisão. Se o ecrã diz pouco e o desenho treina um reflexo, as pessoas tornam-se previsíveis. E utilizadores previsíveis são fáceis de manipular. Os bancos que reescrevem os fluxos à volta da compreensão - e não apenas da conformidade - estão a registar menos perdas associadas a pedidos por notificação e menos chamadas para o apoio.

Também ajuda envolver famílias e equipas na mesma disciplina: confirmar sempre através do canal oficial, nunca aprovar sob pressão e reportar de imediato qualquer pedido inesperado. A fraude prospera muito mais quando cada pessoa responde sozinha e em urgência do que quando existe um conjunto simples de regras partilhadas.

O que pode fazer já

Pare quando surgir um pedido inesperado. Se alguém lhe disser para aprovar «para travar uma fraude», desligue e ligue para o seu banco através de um número conhecido. Ative a confirmação de beneficiário e os alertas de pagamento. Evite reutilizar palavras-passe. Use chaves de acesso quando estiverem disponíveis. Mantenha o dispositivo atualizado e remova aplicações que não reconheça.

Se gere um produto financeiro, teste a redação. Troque «Confirmar autenticação» por algo humano: «Alguém está a tentar iniciar sessão num Samsung Galaxy no Porto às 14:03. Se não for você, toque em Recusar.» Mostre o nome do beneficiário, parte do código de agência e da conta, e o montante exato em cada aprovação. Acrescente atrito só quando o risco subir. Mantenha o restante rápido.

Um breve exemplo da correspondência numérica em prática

Inicia sessão na web. O ecrã mostra um número de dois dígitos, por exemplo 47. O telemóvel recebe um pedido com três opções: 12, 47, 83. Abre a aplicação e escolhe 47. A aplicação assina o desafio com uma chave do dispositivo e envia-o ao banco. Um criminoso que esteja a bombardear com pedidos não consegue adivinhar o número certo sem ver o seu ecrã. Se um site de phishing retransmitir o fluxo, a pressão do tempo continua a fazer menos vítimas, e a avaliação de risco pode assinalar a discrepância entre dispositivo e localização.

Riscos e compromissos que convém ter presentes

Os pagamentos imediatos encurtam a janela de recuperação. O período de espera e a correspondência do nome reduzem a velocidade, mas travam muitas burlas. As aprovações por notificação parecem simples, mas essa simplicidade esconde o custo dos erros. As chaves de acesso aumentam a resistência ao phishing, mas exigem uma recuperação de conta sólida e um processo de migração entre dispositivos bem pensado. Nenhum controlo resolve tudo sozinho. Os melhores resultados aparecem quando a associação ao dispositivo, o contexto rico e travões inteligentes se juntam a boa educação do utilizador.