# MFA adaptativo: quando pedir o segundo fator Guia · UNIFOKAL · 24 de outubro de 2026 · 7 min de leitura · Antifraude Quando pedir o segundo fator sem cansar quem é legítimo: o que a NIST SP 800-63B-4 diz sobre sinal de risco, qual fator pedir e por quanto tempo a prova vale. O segundo fator em todo login protege a conta e afasta parte de quem a usa todo dia; o segundo fator nunca pedido deixa a conta aberta para quem comprou a senha num vazamento. A resposta curta: o MFA adaptativo pede o segundo fator quando o login foge do padrão da conta, como país, rede ou aparelho novos, e a NIST SP 800-63B-4 permite exatamente isso na seção 2, desde que o sinal de risco seja medido e não substitua o nível de garantia que a operação exige. **Em resumo** - A NIST SP 800-63B-4 diz que um login vindo de geolocalização ou bloco de IP inesperado "might prompt the use of additional risk-based controls". - A mesma norma manda medir a eficácia desses sinais e o impacto deles sobre quem usa o serviço. - O sinal de risco não muda o nível de garantia: a operação que exige dois fatores continua exigindo, com ou sem risco. - Nem todo segundo fator vale o mesmo: e-mail não é fator fora de banda para a NIST, e SMS é autenticador restrito. - A prova do segundo fator tem validade: a norma recomenda reautenticar em até 24 horas no nível 2. ## O que a norma permite A revisão 4 da publicação da NIST sobre autenticação trouxe para o texto o que os serviços já faziam: usar sinal de fraude durante o login. A passagem está na seção 2, a que define os níveis de garantia de autenticação (AAL). > At all AALs, indicators of potential fraud, including applicable indicators described in Sec. 5.3, MAY be used to lower the risk of misauthentication. For example, authentication from an unexpected geolocation or IP address block (e.g., a cloud service) might prompt the use of additional risk-based controls. > > NIST SP 800-63B-4, seção 2 Logo depois vêm duas obrigações que costumam ficar de fora quando o MFA adaptativo é vendido como caixa-preta. Os provedores "SHALL assess their use of indicators of potential fraud for efficacy and to identify and mitigate potential negative impacts on their user populations", e o uso desses sinais "does not impact or change the AAL". Em português: o sinal de risco precisa ser medido, inclusive no dano que faz a quem é legítimo, e ele não sobe nem desce o nível de garantia. Se a sua operação de transferência exige dois fatores, ela exige dois fatores mesmo quando o login parece tranquilo. ## Quais sinais pedem o segundo fator A pergunta prática é qual combinação de sinais justifica interromper a pessoa. A tabela abaixo é a leitura da casa, montada sobre os exemplos da própria seção 2 e sobre o que o artigo de [viagem impossível](https://unifokal.com/blog/viagem-impossivel-em-monitoramento-de-sessao) discute em monitoramento de sessão. **sinais de login e o que cada um sugere (leitura da casa sobre a NIST SP 800-63B-4, seção 2)** | Sinal | Por que importa | Sozinho pede segundo fator? | |---|---|---| | País ou rede (ASN) que a conta nunca usou | É o exemplo da própria norma | Sim, quando a conta tem histórico | | Rede de hospedagem ou nuvem | A norma cita "a cloud service"; pessoa comum raramente entra de servidor | Sim | | Deslocamento impossível entre dois logins | Duas pessoas, ou uma rede que esconde a origem | Sim | | Sequência de falhas de senha antes do acerto | Padrão de quem testa senha | Sim | | Troca recente de senha ou de e-mail | Momento preferido de quem tomou a conta | Sim | | Aparelho novo | Todo primeiro login é de aparelho novo | Não, só junto com rede ou país novos | | Conta sem histórico | Não há padrão para fugir dele | Não | As duas últimas linhas são onde o MFA adaptativo costuma errar para o lado do incômodo. Aparelho novo sozinho é o primeiro login de todo mundo, e conta nova não tem padrão. Tratar cada um como risco vira MFA em todo login com outro nome. O caminho é combinar: aparelho novo vindo de uma rede ou de um país que a conta nunca usou é sinal; aparelho novo na rede de sempre é a pessoa que trocou de celular. > **Nota** > > A NIST cobra que o efeito dos sinais seja medido. Uma regra de risco nova entra primeiro observando, com a taxa de segundo fator que ela pediria contada sobre o histórico, antes de passar a decidir. É a mesma disciplina de [testar regra antifraude no tempo](https://unifokal.com/blog/backtest-de-regra-antifraude-no-tempo). ## Qual segundo fator pedir Pedir o segundo fator só ajuda se o fator for bom. A NIST SP 800-63B-4 é direta sobre dois canais muito usados. Na seção 3.1.3, sobre autenticadores fora de banda: "Email SHALL NOT be used for out-of-band authentication", porque o e-mail pode ser acessado só com uma senha, interceptado no caminho ou desviado. O telefone pela rede pública (SMS e voz) é, nas palavras da seção 3.2.9, o único "restricted authenticator" vigente, e a norma recomenda olhar sinais como troca de chip e portabilidade antes de confiar nele. **fatores comuns e o que cada um prova pela NIST SP 800-63B-4** | Fator | Status na norma | Uso indicado | |---|---|---| | Aplicativo autenticador (TOTP) | Autenticador de posse aceito no nível 2 | O padrão recomendado | | SMS para número já validado | Autenticador restrito (3.1.3.3 e 3.2.9) | Permitido, com a alternativa mais forte oferecida | | Código por e-mail | Não é fator fora de banda (3.1.3) | Reserva, sem subir o nível de garantia | O efeito prático: quem tem aplicativo autenticador cadastrado recebe o pedido nele; o SMS entra quando é o que a pessoa tem; o código por e-mail serve para não trancar quem ainda não cadastrou fator nenhum, e o token resultante deve dizer que o nível não subiu. Como o aplicativo funciona está em [TOTP e aplicativo autenticador](https://unifokal.com/blog/totp-e-app-autenticador), e por que o SMS é restrito, em [SIM swap](https://unifokal.com/blog/sim-swap-e-o-limite-do-sms). ## Quanto tempo a prova vale Provar o segundo fator uma vez não vale para sempre. A tabela de requisitos da seção 2 da NIST SP 800-63B-4 recomenda reautenticação em até 30 dias no nível 1 e em até 24 horas no nível 2, com inatividade de até 1 hora nesse nível. Para quem integra, isso vira uma regra simples: o token de acesso diz o que foi provado e quando, e a rota sensível do seu produto confere esses campos antes de agir. Se a prova de posse tem mais de 24 horas, a rota pede de novo. ## Perguntas frequentes ### MFA adaptativo é menos seguro que MFA em todo login? Não necessariamente. A NIST SP 800-63B-4 permite usar sinais de fraude em qualquer nível, mas o sinal não muda o nível exigido: a operação que pede dois fatores continua pedindo. O adaptativo decide quando pedir o segundo fator fora dessas operações. ### Código por e-mail conta como segundo fator? Não para a NIST. A seção 3.1.3 da SP 800-63B-4 diz que e-mail "SHALL NOT be used for out-of-band authentication". Ele pode servir de reserva, sem subir o nível de garantia do login. ### SMS ainda pode ser usado como segundo fator? Pode, como autenticador restrito. A norma pede que o número tenha sido validado, que a alternativa mais forte seja oferecida e que sinais como troca de chip e portabilidade sejam considerados antes do envio. ### Aparelho novo deve sempre pedir segundo fator? Sozinho, não: todo primeiro login é de aparelho novo. Combinado com país ou rede que a conta nunca usou, ele é um sinal forte. ## Fontes citadas - NIST SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, seção 2 (níveis de garantia, sinais de fraude e reautenticação), seção 3.1.3 (autenticadores fora de banda) e seção 3.2.9 (autenticadores restritos), em [pages.nist.gov](https://pages.nist.gov/800-63-4/sp800-63b.html) - OWASP, Application Security Verification Standard 5.0.0, capítulo V6, requisito 6.6.1 (número validado e alternativa mais forte para o canal telefônico), no [repositório oficial](https://github.com/OWASP/ASVS/blob/v5.0.0/5.0/en/0x15-V6-Authentication.md)