Os bancos com opção de MFA deixam portas (e contas) seguras abertas para ladrões saquearem

As instituições financeiras colocam os seus clientes em risco em nome da conveniência. OPINIÃO Escrevo uma coluna semanal chamada PWNED, sobre como práticas de segurança inadequadas podem levar a sérios danos. Normalmente, há algo engraçado na prevaricação, como um CEO que manteve a senha de cada funcionário em um arquivo Excel em seu desktop.

No entanto, eu não estava rindo em maio, quando ladrões profissionais invadiram toda a vida financeira da minha mãe de 84 anos e conseguiram fugir com US$ 30 mil apenas de suas contas bancárias. E eles não teriam entrado se suas instituições financeiras exigissem autenticação multifatorial (também conhecida como MFA ou 2FA), um passo que muitas instituições não darão. Um dia, em maio, mamãe recebeu um telefonema da instituição que administra sua conta poupança para aposentadoria, que identificou uma transação suspeita e perguntou se era legítima.

Ela disse não e eles imediatamente protegeram sua conta. Depois, ela verificou sua conta bancária em uma instituição diferente para ver se estava comprometida e encontrou milhares de dólares transferidos de suas contas correntes e de poupança. Os ladrões sabiam exatamente quanto podiam sacar por dia e usaram tanto saques quanto transferências para uma conta estranha.

Mas a instituição financeira não sinalizou a atividade fraudulenta. Os ladrões foram tão astutos que invadiram sua conta do Gmail e criaram filtros de spam para filtrar qualquer e-mail de seu banco ou provedor de poupança-reforma para a lixeira, para que ela não recebesse alertas sobre as transferências ou sobre as contas falsas que eles fizeram em seu nome. Ela passou horas ao telefone denunciando o roubo a um departamento de fraudes inútil e incrédulo que perguntou: “Tem certeza de que um parente não fez isso?” Não sabemos ao certo como os crimes chegaram às contas da minha mãe, mas sabemos que ela usou senhas iguais ou semelhantes em todas as suas contas, e pelo menos uma de suas contas sofreu uma violação de dados há alguns anos, então essa informação provavelmente estava disponível em algum lugar online.

Os malfeitores poderiam então ter usado essas informações para entrar em sua conta de aposentadoria, em seu banco e em seu Gmail. Nada disso teria sido possível se ela tivesse a MFA habilitada nessas contas, mas nem o Google nem suas instituições financeiras exigem isso. “Muitos consumidores presumem que todos os bancos exigem 2FA, mas essa não é a realidade”, disse Gregory Shein, CEO da Nomadic Soft, uma empresa de SaaS que atende clientes de fintech.

"Algumas instituições financeiras ainda tratam isso como um recurso opcional porque estão equilibrando a segurança e o atrito. Cada etapa extra de login pode reduzir conversões, aumentar os tickets de suporte e frustrar clientes menos técnicos." Na verdade, embora alguns bancos, como o PNC, exijam MFA, outros, como o Bank of America, o Chase, o Capital One e o Citibank, deixam-no como opcional. As contas do Google também são opcionais para MFA.

Felizmente, depois de passarem horas dizendo à minha mãe que alguém de sua família poderia ter cometido o crime, colocando-a repetidamente em espera e forçando-a a navegar por uma árvore telefônica labiríntica, o banco finalmente concordou em investigar. Algumas semanas depois, eles restauraram os fundos roubados. Minha mãe teve sorte, porque se o dinheiro for roubado da sua conta bancária, não há garantia de que você o receberá de volta, pelo menos nos EUA.

De acordo com o Consumer Financial Protection Bureau, você tem 60 dias a partir da data do extrato bancário para contestar qualquer transação. O banco também tem 45 dias para investigar, a menos que sua conta bancária tenha sido aberta nos últimos 30 dias ou que as transações fraudulentas tenham ocorrido fora dos EUA. Mas o banco pode muito bem decidir que essas transações fraudulentas parecem legítimas e recusar-se a reembolsá-lo.

Se o banco não concordar em reembolsá-lo, o próximo passo é procurar um advogado e tentar processar. Uma rápida pesquisa revelou dezenas de advogados da minha área especializados em lidar com esse problema. Seria fácil culpar minha mãe por ter sido roubada.

Usar a mesma senha em vários lugares a deixou aberta à exploração. No entanto, a falta de um segundo fator de autenticação obrigatório em seu banco também contribuiu. O banco não permite transações sem senha e não emite cartão ATM sem PIN, porque sabe que deve haver um nível mínimo de segurança exigido.

Os bancos e outras instituições financeiras sabem melhor. O Google sabe melhor. Mas todos eles estão colocando a conveniência à frente da segurança quando é o seu dinheiro que está em jogo.

“Diferentes segmentos da população adotam a tecnologia de forma mais rápida ou mais lenta. Se sou um banco, tenho que considerar isso com muito cuidado, porque não quero perder nenhum relacionamento bancário.” Andrew Shikiar, CEO da FIDO Alliance, uma associação industrial que defende uma segurança de login mais forte, me contou em uma entrevista. “Portanto, acho que há algumas preocupações em torno do atrito que impediram alguns bancos e outros prestadores de serviços de realmente promoverem isso de forma mais agressiva.” De acordo com um artigo de 2019 da Microsoft, o MFA evita 99,9% dos ataques às suas contas.

No entanto, outros especialistas dizem que este número é exagerado, pois há muitas maneiras de passar pela MFA se você for um criminoso, incluindo engenharia social e interceptação. Um dos tipos mais comuns de MFA, a emissão de uma senha única por meio de uma mensagem SMS ou e-mail, é inerentemente falho. Um ladrão determinado pode usar engenharia social para obter um cartão SIM com seu número de telefone e, em seguida, acessar suas mensagens.

E se o seu e-mail em si não for perfeitamente seguro e estiver recebendo uma OTP, eles também poderão fazer isso. Os phishers também podem induzi-lo a desistir de suas OTPs criando um site falso que se parece com a página de login do seu banco. A maneira certa de fazer MFA hoje é com uma chave de acesso.

As chaves de acesso são pares de chaves criptográficas onde há uma chave privada no dispositivo do usuário e uma chave pública no servidor. Para acessar a chave no dispositivo, o usuário deve inserir um PIN, tocar em uma chave de segurança física como um Yubikey ou inserir um login biométrico, como rosto ou impressão digital. As chaves de acesso não podem ser roubadas ou interceptadas, por isso são conhecidas como “MFA resistente a phishing”.

Infelizmente, muitos bancos estão mantendo seus OTPs. Por exemplo, quando fui configurar o MFA para a conta de um membro da família no banco americano Chase, usando seu site. Chase ofereceu a oportunidade de receber uma OTP por e-mail, SMS ou telefonema.

O banco está lançando chaves de acesso, de acordo com a FIDO Alliance. O mesmo acontece com o Wells Fargo, o US Bank e o Bank of America. Alguns bancos podem estar a utilizar uma MFA melhor apenas nas suas aplicações móveis.

O aplicativo do Chase, por exemplo, pede aos usuários que usem impressão digital ou reconhecimento facial no login, embora o site não o faça. No entanto, se um ladrão quiser fazer login no site do Chase, não haverá desafio biométrico. E se um usuário não tiver o MFA habilitado, será ainda mais fácil para os ladrões entrarem.

“OTP é apenas mais uma senha. Portanto, é de curta duração, mas na verdade é apenas mais uma senha", disse Shikiar. "E também há problemas de usabilidade.

Você está fazendo malabarismos entre seu celular e seu desktop. É inseguro, ineficiente e oferece uma experiência de usuário realmente inadequada.” O que os bancos parecem não compreender é que você está tão seguro quanto o seu ponto de entrada mais fraco. Se os controles de segurança existirem apenas em aplicativos móveis, isso não ajudará em ataques baseados na web.

Se um nível de segurança for opcional, a maioria das pessoas não o ativará. Os ladrões seguirão o caminho de menor resistência, por isso os operadores de serviços precisam bloquear todos os caminhos de entrada igualmente por padrão. Infelizmente, uma abordagem que privilegia a conveniência em detrimento da segurança fará com que muito mais pessoas percam o seu dinheiro.

E, em última análise, os bancos perderão dinheiro quando tiverem de reembolsar as pessoas por essas transacções fraudulentas. “Não espero que os bancos exijam chaves de acesso e apenas chaves de acesso por algum tempo, mas quanto mais eles as pressionam, mais conforto existe”, disse-nos Shikiar. “Quanto mais cedo chegaremos ao ponto em que isso se tornará um padrão de fato e então se tornará realmente algo obrigatório ou essencialmente obrigatório.”