Alguém troca de telefone, restaura o aparelho ou simplesmente apaga o aplicativo autenticador durante uma limpeza. A senha continua funcionando, mas o segundo fator desapareceu, impedindo o acesso ao e-mail. O bloqueio de 2FA no webmail é uma das solicitações de suporte mais comuns em organizações que levam a segurança a sério, e é totalmente previsível.
Este artigo explica como resolver o bloqueio, por que a recuperação precisa ser deliberada, e não automática, e quais pequenos preparativos transformam uma tarde de trabalho em uma tarefa de dois minutos.
Por que isso acontece com tanta frequência
A autenticação em dois fatores é configurada uma única vez, em um único dispositivo, quando a pessoa está pensando em acessar o e-mail, não no que acontecerá se o aparelho desaparecer.
Os códigos de recuperação são oferecidos, mas geralmente ignorados porque naquele momento parecem apenas mais uma tarefa. Os telefones são trocados aproximadamente a cada três anos. A menos que o aplicativo autenticador tenha um backup ou seja migrado de forma intencional, os códigos não acompanham a troca. Portanto, um bloqueio de 2FA no webmail não significa que alguém fez algo errado. É uma consequência previsível do ciclo de vida dos dispositivos.
Vale lembrar disso quando acontecer, pois a pessoa bloqueada normalmente se sente culpada sem ter motivo.
As duas formas de recuperar o acesso
Existem exatamente duas, e somente a primeira pode ser executada pelo próprio usuário.
Um código de recuperação. Esses códigos são emitidos durante a ativação da 2FA e permitem a recuperação por autosserviço. O usuário entra com a senha, informa um código de recuperação no lugar do código do aplicativo e depois pode remover o segundo fator antigo e cadastrar outro dispositivo nas configurações do webmail. Nenhum administrador participa do processo.
Entrar em contato conosco. Se os códigos de recuperação também tiverem sido perdidos, o segundo fator precisará ser removido por nossa equipe. Essa é uma ação do suporte, não uma opção do painel, e de propósito não está disponível por autosserviço. Um proprietário de conta capaz de retirar silenciosamente a 2FA de qualquer caixa postal seria um alvo mais valioso do que a própria caixa.
É importante esclarecer o que o painel do cliente oferece nesse caso, pois ele parece conter a solução. A página de segurança da caixa mostra se a autenticação em dois fatores está ativa e quando foi confirmada, além de permitir a troca da senha. Ela não pode remover o segundo fator. Alterar a senha não resolve um bloqueio de 2FA no webmail porque a senha nunca foi o obstáculo.
Independentemente de como o fator for removido, o usuário deve ativá-lo novamente de imediato, não "depois". Uma caixa que acabou de passar por um bloqueio de 2FA e agora depende apenas de uma senha é justamente a que menos deveria permanecer assim.
Confirme com quem você está falando
Antes de escalar em nome de alguém uma solicitação de bloqueio de 2FA no webmail, confirme se ela é legítima. Essa é a etapa que as pessoas costumam ignorar, embora seja a mais importante.
Do ponto de vista de um invasor, convencer um colega a pedir a remoção do segundo fator de outra pessoa é uma das ações mais úteis possíveis. A solicitação chega por e-mail ou chat, parece rotineira e é encaminhada porque quem a fez aparentava saber do que estava falando.
Por isso, verifique por um canal independente. Se a solicitação chegou por e-mail, telefone para a pessoa. Se chegou pelo chat, faça uma pergunta cuja resposta um impostor não saberia ou confirme pessoalmente. A verificação leva um minuto. O fato de a ação final depender do suporte representa uma segunda camada de proteção, não um motivo para pular a primeira.
Tenha atenção especial quando a solicitação for urgente, apologética e um pouco confusa. Esse é o comportamento de alguém diante de um bloqueio real, mas é também exatamente como uma tentativa de engenharia social é encenada, pois a urgência inibe a verificação.
Prepare-se para que a solução seja simples
Três pequenas medidas transformam um incidente em uma tarefa rápida.
Inclua os códigos de recuperação na ativação. Eles não devem ser um extra opcional tratado mais tarde, mas parte da mesma conversa, com um local específico para guardá-los. Um gerenciador de senhas é o lugar mais evidente, e imprimi-los também é uma alternativa perfeitamente razoável.
Quando fizer sentido, incentive o cadastro de um segundo dispositivo. Com um tablet ou outro telefone, perder um aparelho causa apenas um inconveniente, não um bloqueio.
Documente o caminho de escalonamento. Quando ocorrer um bloqueio de 2FA no webmail, o usuário precisa saber quem deve avisar, e essa pessoa precisa saber que a solução passa pelo suporte, não pelo painel. Descobrir isso no meio do incidente desperdiça uma tarde.
Nenhuma dessas medidas impede todos os bloqueios, nem é esse o objetivo. Elas tornam a recuperação barata. Os códigos de recuperação são o único recurso que transforma um chamado de suporte em uma solução de autosserviço com dois minutos de duração, por isso merecem mais insistência do que normalmente recebem.
Dois casos que apenas parecem bloqueios
Duas situações parecem idênticas para o usuário, mas exigem respostas totalmente diferentes.
Os códigos são rejeitados, mas o aplicativo ainda funciona. Normalmente, a causa é a dessincronização do relógio. Os códigos TOTP baseados em tempo definidos na RFC 6238 dependem de um relógio razoavelmente correto. Se o telefone estiver atrasado ou adiantado em mais de um minuto, ele produzirá códigos inválidos. Ativar a sincronização automática da hora resolve o problema sem nenhuma redefinição.
A conta errada. Quem utiliza vários endereços às vezes cadastra um deles e tenta entrar em outro, ou seleciona a entrada incorreta no autenticador. Vale conferir antes de redefinir qualquer coisa.
Também há casos em que o usuário está tentando entrar no lugar errado. Usuários de caixas postais acessam o webmail pela página de login do webmail, não pelo painel da conta. Uma senha válida em um deles não funciona no outro, o que parece uma falha misteriosa em vez de um engano evidente.
Vale a pena exigir a 2FA?
Como os bloqueios são o custo da proteção, é justo perguntar se o benefício compensa.
Para qualquer caixa que receba redefinições de senha de outros serviços, o que inclui quase todas, a resposta é claramente sim. A conta de e-mail é o caminho de recuperação de todo o resto e, portanto, é a conta que mais merece proteção. Um bloqueio de 2FA resolvido com um código de recuperação é um custo pequeno diante de uma caixa comprometida.
A dificuldade real aparece em endereços operacionais compartilhados por várias pessoas. A solução não é dispensar o segundo fator, mas eliminar o login compartilhado e usar uma caixa postal compartilhada com membros, para que cada pessoa se autentique com a própria conta.
O mesmo princípio vale para a ativação de contas em geral: cada credencial deve pertencer a uma pessoa. Por isso, os convites permitem que o próprio usuário defina a senha e evitam que os administradores precisem conhecê-la, como explicamos em configuração de caixas postais sem compartilhar senhas.
