autenticação multifator
5 artigos com esta tag
Vazamento de dados médicos da Perry Johnson & Associates (PJ&A): quatro estados fecham acordo de até US$ 10 milhões (13,3 milhões de pessoas), o que foi exposto e o que fazer
Em 6 de novembro de 2026, os procuradores-gerais de Nova York, Connecticut, Michigan e Nova Jersey anunciaram um acordo com a empresa de transcrição e codificação médica Perry Johnson & Associates, Inc. (PJ&A) e quatro afiliadas (em conjunto, as empresas Perry Johnson). Ele abrange um vazamento de março de 2023 que afetou cerca de 13,3 milhões de pessoas no país. Segundo os estados, as informações expostas incluíam nomes, datas de nascimento, endereços residenciais, números de Seguro Social, números de conta hospitalar, diagnósticos e informações de seguro, além de detalhes clínicos de arquivos de transcrição, como resultados de exames e nomes de medicamentos. Os estados dizem que os invasores usaram as credenciais de um funcionário da PJ&A Coding, que o acesso remoto não exigia autenticação multifator, que o software de uma afiliada registrou a atividade dos invasores mas não alertou a equipe de segurança, e que a PJ&A soube do vazamento cerca de dois meses depois, quando os invasores entraram em contato. O acordo vale até US$ 10 milhões: ao menos US$ 300.000 em multas agora, e outros US$ 9,7 milhões devidos apenas se as empresas descumprirem os termos do acordo. As empresas devem manter um programa de segurança, usar autenticação multifator e criptografia, fazer avaliações de risco anuais e disciplinar por quanto tempo guardam dados de saúde. Conclusão deste site: se você recebeu um aviso em 2023, o acordo não acrescenta nenhum passo novo, mas, como números de Seguro Social e diagnósticos estavam envolvidos, mantenha o congelamento de crédito e continue conferindo seus extratos médicos.
SonicWall SonicOS SSL-VPN CVE-2026-19868: SAML e sua MFA podem ser contornados, no KEV da CISA (atualize Gen7 e Gen8)
A CVE-2026-19868 é uma falha no serviço SSL-VPN do SonicWall SonicOS, o sistema operacional dos firewalls da SonicWall. Segundo o aviso SNWLID-2026-0014 da SonicWall de 6 de novembro de 2026, em um firewall com SAML ativado para os logins de SSL-VPN, um usuário com credenciais válidas de um método de autenticação alternativo pode contornar os controles de autenticação SAML e, com eles, a autenticação multifator (MFA) que o SAML impõe. A SonicWall diz que sua equipe de segurança investigou um relato que indicava possível exploração. A CISA adicionou a CVE ao catálogo Known Exploited Vulnerabilities (KEV) em 6 de novembro, com prazo de 20 de novembro. Afetados: firewalls Gen7 com SonicOS 7.3.3-7015 e anteriores, e firewalls Gen8 com 8.2.2-8015 e anteriores. Corrigidas: 7.3.4-7013 e 8.2.3-8015 ou posteriores. Não há solução alternativa. O mesmo aviso cobre outras seis CVEs, incluindo falhas na interface de gerenciamento e uma falha pré-autenticação no SSL-VPN que pode derrubar o serviço. Nossa conclusão: se você usa um firewall SonicWall Gen7 ou Gen8, atualize agora, use ou não SAML, e se você depende de SAML e MFA para os logins da VPN, verifique quais outras contas ainda conseguem entrar no SSL-VPN.
Quando o seu provedor de hospedagem é invadido: o que os clientes devem fazer
Um comprometimento do lado do provedor não pode ser bloqueado pelas configurações do cliente, então a defesa passa de prevenir para limitar o quanto você pode perder. Os resultados da investigação de 10 de setembro estabeleceram a parte que mais importa: o acesso não autorizado ao sistema de gestão de vendas ocorreu entre abril de 2023 e março de 2026, as contas de hospedagem afetadas subiram de 583 para 951, e algumas senhas iniciais não tinham hash. A visão deste site: trate tudo o que está em hospedagem compartilhada como legível, leve segredos, credenciais e backups para fora do provedor e troque hoje qualquer senha inicial que você ainda esteja usando.
O que é uma senha de uso único (OTP)? TOTP vs HOTP vs SMS, e seus limites
Uma senha de uso único (OTP) é um código de curta duração e uso único que se torna inválido depois de usado. Tipos: TOTP de aplicativo autenticador (baseado em tempo), HOTP (baseado em contador) e SMS-OTP. É forte contra senhas vazadas e reutilizadas e costuma ser o fator 'algo que você tem' no 2FA. Mas tem um limite: o phishing de intermediário (AiTM) pode retransmitir uma OTP por um site falso e ainda entrar. Uma resistência forte a phishing vem de uma passkey vinculada ao domínio. A OTP é 'muito melhor que nada, mas não o passo final'.
O que é autenticação de dois fatores (2FA)? vs duas etapas, e a força de cada método
A autenticação de dois fatores (2FA) reforça a verificação de identidade acrescentando uma categoria diferente de prova — 'algo que você tem' ou 'algo que você é' (um código, chave ou biometria) — além de 'algo que você sabe' (sua senha). Ela estritamente não é o mesmo que a verificação em duas etapas (duas verificações, não necessariamente duas categorias). A força depende do método: SMS/e-mail < aplicativo autenticador (TOTP) < passkey/chave de segurança (FIDO2). A posição deste site: primeiro ligue algum 2FA em toda parte, depois migre as contas importantes para métodos que você não consegue entregar a um site de phishing.