Impossível desabilitar login sem senha!

Question

A Microsoft está decepcionando horrores.

Tenho dezenas de contas no Microsoft Authenticator, nas ultimas semanas tenho recebido notificações de tentativa de acesso a alguma conta na madrugada. O problema é que como os ataques acontecem de madrugada, só vejo pela manhã a notificação. E pra piorar, o app simplesmente não mostra de qual conta veio a solicitação! a notificação aparece como expirada, e sequer tem um histórico mostrando as ultimas solicitações do app. Isso ao meu ver é um erro gravíssimo de projeto da aplicação que tem foco em segurança.

O Microsoft Authenticator deveria ter obrigatoriamente um registro de logs no próprio app (sem precisar ficar entrando em cada conta, o que também é ineficaz) que mostrasse sei lá, as ultimas 50 solicitações que o App recebeu, o IP de origem e de qual conta se trata. Pois sem isso, o app tem uma fragilidade enorme.

Fora isso, existe o problema que a Microsoft não respeita as configurações do usuário. Mesmo se voce setar que não quer conta sem senha, a conta continua sem senha! Fiz vários testes em diversas contas, e sempre a mesma coisa:

Basta inserir o email, e por padrão já vem pra tela pra enviar notificação no celular pra entrar. IGNORANDO TOTALMENTE A SENHA. Isso é uma falha gigantesca de segurança.

E veja que no menu de configuração de segurança está explicitamente desativado a opção "conta sem senha", pois na minha visão, isso é extremamente frágil, um ataque de saturação de solicitações já poderia dar acesso ao atacante, sem falar que o próprio usuário pode clicar sem querer e acabar aceitando a solicitação.

Eu preciso que para logar na conta seja o padrão que ocorre na maioria das empresas: VERIFICAÇÃO DE DUAS ETAPAS!

O próprio nome já diz, e está ativado ali, e mesmo assim a Microsoft ignora isso.

Preciso que seja sempre obrigatório colocar a senha pra entrar na 1ª fase, se a senha tiver correta daí vai pro segundo passo que é a confirmação seja por SMS ou código do Microsoft Authenticator.

Answer 1

Esta resposta foi traduzida automaticamente. Como resultado, pode haver erros gramaticais ou palavras estranhas.

Olá Paulo,

Lamento muito que você tenha enfrentado um risco tão sério de perder o acesso à sua conta devido ao sistema de notificação vago e insuficiente do aplicativo.

Obrigado por testar e compartilhar uma análise tão detalhada e cuidadosa de sua experiência com o Microsoft Authenticator. Eu realmente aprecio o esforço que você fez para delinear os problemas e riscos potenciais - é claro que seu feedback vem de um lugar de profunda preocupação com a segurança cibernética e a segurança do usuário.

Seus insights não são apenas valiosos para identificar áreas de melhoria, mas também servem como um lembrete importante para a comunidade em geral sobre a importância de práticas de segurança robustas. Contribuições como a sua ajudam a aumentar a conscientização e incentivar melhores padrões em todos os setores.

Como essa é uma plataforma voltada para a comunidade, recomendo que você envie seus comentários diretamente pelo aplicativo ou pelo Hub de Feedback da Microsoft. Isso garante que a equipe de produto e os engenheiros técnicos possam revisar suas sugestões e considerá-las para atualizações futuras.

Como canal de suporte, infelizmente temos capacidade limitada de influenciar diretamente o desenvolvimento de aplicativos, mas sua voz pode causar um impacto real quando compartilhada por meio dos canais oficiais de feedback.

Obrigado novamente por sua dedicação em melhorar a segurança para todos.

Atenciosamente,
Zoevi – Especialista em Suporte da Comunidade Microsoft