Golpistas miram a central de atendimento de TI para contornar o MFA corporativo
Grupos como o Scattered Spider têm atacado o service desk de TI em vez do MFA em si, se passando por funcionários para convencer atendentes a resetar senhas ou cadastrar novos dispositivos de autenticação. O texto aponta que perguntas de verificação baseadas em conhecimento público, como dados tirados do LinkedIn, não bastam mais, e que engenharia social por voz e SMS já supera o phishing por e-mail em taxa de sucesso.
O texto descreve uma técnica que grupos como o Scattered Spider já consolidaram como vetor preferencial: em vez de atacar o MFA diretamente, o criminoso ataca o processo humano que existe para contornar o MFA quando ele falha, o service desk de TI. Ligando ou abrindo chamado se passando por um funcionário legítimo, o atacante pede o reset de senha ou o cadastro de um novo dispositivo de autenticação, e é exatamente aí que a conta é comprometida.
A engenharia social funciona porque as perguntas de verificação tradicionais, como data de nascimento, últimos dígitos de documento ou nome da gerência, são informações coletáveis em LinkedIn, sites corporativos e redes sociais — o NIST já classifica esse tipo de pergunta como inadequado para verificação de identidade. O texto cita que engenharia social por SMS e ligação tem taxa de sucesso 40% maior que phishing tradicional por e-mail segundo o Verizon DBIR 2026, e que o uso de deepfakes de voz para imitar funcionários já foi reportado por 62% das organizações pesquisadas pela Gartner.
A recomendação central é parar de depender de perguntas baseadas em conhecimento e substituir por verificação fora de banda via canais já cadastrados, como e-mail corporativo, SMS para o número já homologado ou autenticadores terceirizados, de forma que o reset de senha ou re-registro de MFA exija prova equivalente à do login original, e não menos. Times de service desk também deveriam ser treinados especificamente para resistir a pressão de urgência ("preciso disso agora, estou viajando"), que é o gatilho emocional mais comum nesse tipo de golpe.