São 3h15 da madrugada e seu smartphone começa a vibrar sem parar na mesa de cabeceira. Uma sequência ininterrupta de notificações toma conta da tela: "Pedido de entrada: conta Microsoft", "Você acabou de tentar iniciar sessão na PlayStation Network?" ou "Solicitação de verificação em duas etapas da Ubisoft". Em menos de dez minutos, dezenas de avisos de confirmação inundam o aparelho. Sonolento, irritado e acreditando se tratar de uma falha de conexão ou erro do aplicativo, você estica o braço e toca em "Aprovar" apenas para fazer a vibração parar.
Em apenas noventa segundos, seu e-mail principal é desvinculado e substituído, sua senha é alterada, seus aplicativos de autenticação são revogados e toda a sua biblioteca de jogos —representando milhares de reais em compras, DLCs e anos de progresso salvo— é completamente tomada por criminosos.
Essa modalidade de ataque é conhecida como fadiga de MFA (MFA Fatigue), também chamada de bombardeio de notificações push (Push Bombing) ou exaustão de confirmações (Prompt Exhaustion). Conforme os jogadores passaram a adotar a autenticação em dois fatores (2FA/MFA) em massa, o cibercrime aperfeiçoou seus métodos: em vez de tentar quebrar algoritmos criptográficos, os invasores exploram a exaustão psicológica do usuário para contornar a segunda barreira de segurança.
Como funciona o ataque por fadiga de MFA
O bombardeio de autenticações não ocorre por acaso; ele representa o estágio final de uma invasão que começou muito antes com o vazamento de credenciais:
- Obtenção de senhas em vazamentos: Os invasores conseguem seu e-mail e senha por meio de vazamentos em fóruns de jogos, lojas online ou bancos de dados expostos na internet.
- Barreira do segundo fator: O invasor insere suas credenciais corretas na página de login do serviço (como Xbox, PlayStation Network ou Ubisoft). Como a verificação em duas etapas está ativa, o sistema bloqueia o acesso e envia uma notificação de autorização para o seu celular.
- Bombardeio automatizado: O criminoso utiliza um script automatizado que tenta fazer login repetidamente a cada poucos segundos. Isso dispara uma enxurrada contínua de notificações push, solicitações de autorização e mensagens de confirmação no celular da vítima.
- Desgaste psicológico: Os ataques costumam ser desferidos na calada da noite ou em momentos em que o usuário está distraído. O objetivo é vencer o jogador pelo cansaço, fazendo com que ele toque em "Aprovar" por engano, por achar que se trata de uma falha do sistema ou simplesmente para silenciar o telefone.
Os primeiros 60 segundos após a aprovação indevida
Ao tocar em "Aprovar", o usuário concede ao criminoso uma chave de acesso com plenos poderes administrativos. Ferramentas automatizadas executam uma rotina de sequestro de conta em questão de instantes:
- Substituição do alias principal: Em contas do ecossistema Microsoft, os criminosos adicionam um novo alias no outlook.com, definem-no como e-mail principal e removem imediatamente o endereço original do usuário, impedindo qualquer recuperação de senha por e-mail.
- Revogação de autenticadores anteriores: O invasor cadastra seu próprio aplicativo de verificação ou chave de segurança, revoga o celular da vítima e gera novos códigos de recuperação descartáveis.
- Drenagem financeira: Cartões de crédito, carteiras digitais ou contas PayPal vinculadas são usados para comprar cartões de presente digitais, códigos de jogos ou moedas virtuais, repassados rapidamente para contas secundárias.
- Desvinculação de consoles: Os consoles PlayStation ou Xbox vinculados são desconectados remotamente, impedindo os aparelhos físicos de acessar os jogos comprados.
Diferenças de proteção entre as principais plataformas
A forma como cada serviço gerencia o segundo fator de autenticação define o nível de vulnerabilidade da conta contra o bombardeio de push:
1. Microsoft e Xbox: A barreira do emparelhamento de números (Number Matching)
Notificações simples com os botões "Aprovar / Recusar" são o alvo perfeito para a fadiga de MFA. Para extinguir esse problema, a Microsoft tornou obrigatório o emparelhamento de números (Number Matching) em seu aplicativo de autenticação. Ao tentar fazer login, o navegador exibe um número aleatório de dois dígitos que precisa ser digitado manualmente no celular. Como o invasor remoto não consegue ver esse número, aprovações cegas tornam-se impossíveis. Além disso, as contas Microsoft permitem eliminar a senha tradicional por completo, adotando o login sem senha.
2. PlayStation Network: A importância de substituir o SMS
A PlayStation Network oferece verificação em duas etapas por SMS ou por aplicativos de terceiros (como o Google Authenticator). A verificação por SMS é vulnerável ao bombardeio e à clonagem de chip (SIM swap). O uso de aplicativos baseados em códigos temporários (TOTP) soluciona o problema, pois eles geram códigos locais de seis dígitos a cada 30 segundos sem emitir notificações push no aparelho.
3. Steam: A segurança nativa do Steam Guard
O aplicativo móvel do Steam não utiliza confirmações cegas por notificação push para autorizar logins no computador. Para acessar o cliente do Steam, é necessário escanear um código QR com a câmera do celular ou digitar o código alfanumérico de cinco caracteres gerado localmente. Embora trocas de itens emitam notificações, o login na conta não pode ser violado por toques mecânicos decorrentes de fadiga.
4. Ubisoft Connect e Conta EA
Tanto a Ubisoft quanto a EA trabalham com códigos por e-mail ou autenticadores. Caso você receba e-mails com códigos de segurança sem ter iniciado nenhuma sessão, significa que alguém já possui sua senha correta e está tentando entrar na sua conta naquele momento.
Procedimentos de emergência durante um bombardeio ativo
Se o seu celular estiver recebendo dezenas de solicitações de autenticação neste momento, adote as seguintes medidas imediatas:
- Nunca toque em aprovar: Toque em "Recusar" e, se houver a opção, marque "Não fui eu" ou "Denunciar atividade suspeita".
- Entenda a gravidade: Um bombardeio de push é a prova de que o invasor já possui sua senha correta. Recusar os avisos apenas adia a invasão; mudar a senha é mandatório e urgente.
- Altere a senha por um dispositivo seguro: Acesse o painel de segurança do serviço por outro computador ou navegador e crie uma senha inédita e complexa, com mais de 16 caracteres.
- Encerre todas as sessões ativas: Use a opção "Sair de todos os dispositivos" para invalidar imediatamente qualquer permissão de acesso temporária emitida.
- Revise os dados de perfil: Certifique-se de que nenhum e-mail secundário, número de telefone desconhecido ou console estranho tenha sido vinculado à sua conta.
Ao investigar disparos sucessivos de notificações de autenticação direcionados a contas de jogos no meio da noite, os guias de segurança de contas da 365Finds recomendam tratar essas solicitações como prova de que a senha principal já foi comprometida.
Lista de verificação para blindagem de contas
- Ativar emparelhamento de números ou TOTP: Substitua notificações de confirmação por um toque por aplicativos com emparelhamento de números ou chaves dinâmicas locais.
- Não reutilizar senhas: Jamais compartilhe a senha das suas contas principais com fóruns de discussão, servidores de Discord ou sites secundários.
- Guardar códigos de recuperação fora da nuvem: Anote os códigos de emergência de uso único em um caderno físico ou em um cofre de senhas criptografado localmente.
- Exigir confirmação para transações: Ative a exigência de código PIN para compras em consoles, evitando compras automáticas caso a conta sofra tentativas de invasão.