MFA nunca foi tão importante: AWS alcança marco histórico na autenticação multifator

A campanha que reforça uma verdade já conhecida

O Australian Signals Directorate (ASD) — equivalente australiano de uma agência nacional de segurança cibernética — lançou recentemente a campanha MFA: Switch it on, convocando empresas, organizações e pessoas físicas a ativarem a Autenticação Multifator (MFA) em todas as suas contas digitais. A iniciativa não é apenas mais um alerta genérico de segurança: o MFA é considerado um dos pilares do modelo de maturidade Essential Eight do próprio ASD, além de ser reconhecido nos principais frameworks de cibersegurança ao redor do mundo.

A AWS declarou apoio à campanha — e não é por acaso. O MFA é exatamente o tipo de controle simples, de alto impacto, que protege contra as ameaças mais comuns do dia a dia: phishing, credential stuffing (ataque que testa senhas vazadas em massa) e engenharia social. Senhas, por mais complexas que sejam, já não são suficientes para proteger contas críticas.

O marco histórico da AWS com MFA

Em junho de 2025, o AWS Identity and Access Management (IAM) — serviço de Gerenciamento de Identidade e Acesso da AWS — atingiu um ponto de inflexão importante: a exigência abrangente de MFA para usuários root em todos os tipos de conta. Segundo a própria AWS, este é um feito inédito entre os grandes provedores de nuvem.

Essa conquista foi resultado de uma jornada gradual e deliberada. Veja como a AWS construiu esse caminho:

• Maio de 2024: exigência de MFA para usuários root de contas de gerenciamento no AWS Organizations — serviço de organização e governança de múltiplas contas AWS.
• Junho de 2024: extensão da exigência para usuários root de contas standalone (independentes).
• Novembro de 2024: introdução do gerenciamento centralizado de acesso root.
• Junho de 2025: conclusão da exigência para todos os tipos de conta, incluindo contas-membro dentro de organizações.

O resultado prático é significativo: o MFA bloqueia mais de 99% dos ataques baseados em senhas comprometidas. E o melhor: está disponível para todos os clientes AWS sem custo adicional, com suporte a passkeys FIDO2 e chaves de segurança certificadas FIDO — tecnologias resistentes a phishing.

MFA vai além do ambiente AWS

Um ponto frequentemente negligenciado: a segurança do ambiente AWS não depende apenas do que acontece dentro da console da AWS. Contas externas conectadas ao seu fluxo de trabalho representam vetores de ataque reais.

Por exemplo: uma conta de e-mail comprometida pode ser usada para redefinir a senha de acesso AWS. Um sistema de controle de versão (como GitHub ou GitLab) violado pode expor segredos embutidos em código de infraestrutura como código. Por isso, a recomendação é clara: ative o MFA também em ferramentas de e-mail, colaboração, controle de código-fonte e qualquer outro serviço que suporte essa proteção.

Para orientações mais amplas sobre como proteger contas além do ambiente AWS, a página da campanha MFA do ASD oferece um guia completo.

Como habilitar MFA no ambiente AWS

Para usuários root, a AWS já aplica o MFA automaticamente. A atenção agora deve se voltar para os usuários IAM — as identidades utilizadas pelos membros da equipe e pelas aplicações no dia a dia.

A configuração pode ser feita individualmente pelo AWS Management Console (console de gerenciamento da AWS) para IAM. Para quem quer se aprofundar, a documentação de boas práticas de segurança no IAM é o ponto de partida recomendado.

Para quem busca autenticação resistente a phishing com passkeys FIDO2, a documentação sobre passkeys e chaves de segurança no IAM detalha como configurar esse nível adicional de proteção.

Dúvidas ou feedbacks sobre MFA na AWS podem ser enviados pelo AWS re:Post, a comunidade oficial de perguntas e respostas da AWS.

Por que isso importa para o mercado brasileiro

A campanha do ASD é australiana, mas a mensagem vale para qualquer organização no mundo — incluindo as brasileiras. Ataques de phishing e credential stuffing não têm fronteiras, e a realidade é que muitas empresas ainda operam com MFA desativado por “facilidade” ou falta de priorização.

O MFA é uma das medidas de segurança com melhor custo-benefício disponível: simples de implementar, gratuito na AWS, e capaz de neutralizar a esmagadora maioria dos ataques baseados em credenciais. Não há justificativa técnica ou financeira para deixá-lo desativado.

Se sua organização ainda não habilitou o MFA em todas as contas relevantes, este é o momento. Ative o MFA agora — em todas as contas que você gerencia.

Fonte

Supporting ASD’s multi-factor authentication campaign: Why MFA matters more than ever (https://aws.amazon.com/blogs/security/supporting-asds-multi-factor-authentication-campaign-why-mfa-matters-more-than-ever/)