MFA obrigatório no Microsoft 365: como ativar sem travar a operação

O aviso já chegou ou vai chegar no seu centro de administração: a Microsoft está tornando o MFA, a verificação em duas etapas, obrigatório no Microsoft 365, por etapas que começaram pelos portais administrativos e vêm se ampliando. Para o gestor, a pergunta deixou de ser “se ativa” e virou “como ativo sem que na segunda-feira de manhã metade da empresa fique sem e-mail”. A Global Data, empresa de TI em São Paulo, implanta o MFA no Microsoft 365 de forma planejada, por ondas, com exceções mapeadas e suporte preparado, para que a exigência entre sem parar a operação.

O risco real de uma implantação malfeita é o caos de adoção, não a parte técnica. MFA ligado de uma vez, sem aviso, significa gente sem o aplicativo instalado, integração que para porque a conta de serviço não tem como aprovar login no celular, diretor viajando sem conseguir entrar. E uma pressão enorme para desligar tudo e voltar como estava. Aí a empresa fica com o pior dos dois mundos: o atrito da mudança e nenhuma proteção.

Por que a Microsoft está exigindo — e por que faz sentido

O motivo é o que sustenta toda a discussão de acesso: a imensa maioria das invasões de conta começa com uma credencial comprometida, e quase todas param quando existe um segundo fator no caminho. Por que a senha sozinha não segura mais uma conta é assunto de por que a autenticação de dois fatores importa; o que trava a maioria das empresas é o passo seguinte, fazer isso acontecer num Microsoft 365 de verdade, com gente de verdade e sistemas pendurados nas contas.

E há o fato prático: contas novas do Microsoft 365 já vêm com os padrões de segurança que incluem MFA, e a exigência avança sobre as existentes. Adiar não é escolher não ter MFA — é escolher implantá-lo no pior momento, quando a Microsoft impuser o prazo, em vez de no seu ritmo.

Security defaults ou Conditional Access: decida antes de ligar

O Microsoft 365 oferece dois caminhos para exigir MFA, e escolher errado é o que costuma gerar atrito.

Os security defaults (padrões de segurança) são o caminho simples: gratuitos, um interruptor só, MFA para todos e bloqueio dos protocolos antigos de autenticação. O limite é justamente esse. Tudo ou nada, sem exceção fina, sem rollout gradual. Para uma empresa pequena, em plano básico, é um ponto de partida honesto.

O Conditional Access (acesso condicional) é o caminho com controle: políticas separadas por grupo de usuários e por aplicativo, com condições de acesso, o que permite implantar por ondas, abrir exceções conscientes e testar cada política em modo somente-relatório antes de impor. Ele está nos planos que incluem o Microsoft Entra ID P1, caso do Business Premium e dos planos corporativos. Se a sua licença já o inclui, é o caminho certo para uma implantação sem susto; se não inclui, vale colocar essa conta na decisão do plano, porque o controle da implantação é parte do que se está comprando.

Rollout por ondas: como o MFA entra sem parar a empresa

A implantação que não trava a operação tem menos a ver com telas de configuração e mais com sequência.

Comece por um piloto: a própria TI e um grupo pequeno de usuários dispostos. É nele que os problemas de percurso aparecem enquanto ainda são pequenos — o aplicativo que não instala naquele celular antigo, a dúvida na hora de registrar a conta.

Comunique antes de exigir. Cada onda precisa saber com antecedência o que muda e quando, o que fazer antes (instalar o Microsoft Authenticator e registrar a conta) e a quem recorrer se travar. A janela entre “registre-se” e “agora é obrigatório” é o que separa uma transição tranquila de uma fila no suporte.

Avance por áreas, uma onda por vez, observando o volume de chamados antes de liberar a próxima. Em Conditional Access, o modo somente-relatório mostra quem seria afetado por uma política antes de ela valer; use-o como ensaio de cada onda.

Diretoria não fica por último. Deixar os diretores para o final, “para não incomodar”, é um erro clássico: são as contas mais visadas, porque quem ataca sabe quem assina transferência. O certo é o contrário. Entram cedo, com atendimento individual, alguém configurando junto no horário que servir. Deferência aqui é acompanhamento, não isenção.

As exceções que precisam de plano (não de improviso)

Três situações derrubam implantações de MFA quando ninguém pensou nelas antes.

Contas de serviço e integrações. A conta que o sistema de gestão usa para enviar e-mail e o scanner que digitaliza para uma caixa postal têm o mesmo problema: nenhum dos dois consegue aprovar um login no celular. Essas contas precisam ser mapeadas antes das ondas e migradas para autenticação de aplicação, ou isoladas com controles próprios. O que não pode acontecer é a exceção improvisada que vira eterna: uma conta privilegiada sem MFA, esquecida no ambiente, é exatamente a porta que o MFA veio fechar.

A conta de emergência. Uma conta administrativa de contingência, documentada, com credencial guardada de forma segura e uso monitorado, fica fora das políticas. Ela existe para que um erro de configuração não tranque a TI do lado de fora do próprio cofre; sem ela, o primeiro incidente de política vira um chamado à Microsoft.

O cansaço de MFA (MFA fatigue). Atacantes que já têm a senha disparam aprovações em sequência, esperando que a pessoa, cansada, aprove uma. O Authenticator combate isso exigindo a digitação de um número exibido na tela de login. E a equipe precisa da orientação explícita: aprovação que você não pediu se nega e se reporta, nunca se aprova só para o celular parar de apitar.

O impacto no suporte — e como absorvê-lo

Toda implantação de MFA gera um pico de chamados na primeira semana de cada onda: quem trocou de celular na semana errada, quem deixou o registro para a última hora, e sempre alguém que apagou o aplicativo sem perceber. É o custo previsível da mudança, e se dimensiona com material curto de registro passo a passo, um canal claro para dúvidas da onda ativa e, principalmente, um processo definido de recuperação de acesso, com verificação real de identidade antes de qualquer reset. Esse último ponto é o que quase todo mundo esquece. Se qualquer ligação ao suporte consegue resetar o MFA do diretor, o atacante não precisa mais burlar o segundo fator; basta um telefonema.

Como a Global Data entrega

A implantação, para nós, é um projeto: avaliamos o tenant e as licenças, mapeamos contas de serviço e integrações, desenhamos as políticas e as ondas, acompanhamos o registro de cada grupo e preparamos o suporte para o pico, incluindo o atendimento individual da diretoria e o processo de recuperação de acesso. Depois da virada, o acompanhamento contínuo do ambiente faz parte do serviço de Microsoft 365 para empresas da Global Data, que inclui revisar essas políticas antes que envelheçam em silêncio.

Perguntas frequentes sobre MFA obrigatório no Microsoft 365

O MFA é mesmo obrigatório no Microsoft 365?

A Microsoft vem impondo o MFA por etapas, começando pelos portais administrativos e ampliando desde então, e contas novas já vêm com os padrões de segurança que o exigem. Na prática, operar o Microsoft 365 sem MFA deixou de ser uma opção de longo prazo, tanto pela exigência quanto pelo risco que a senha sozinha representa.

Qual método usar: aplicativo Authenticator ou SMS?

O Microsoft Authenticator. O código por SMS é vulnerável a clonagem de chip e interceptação, e a própria Microsoft o trata como método de segunda linha. O aplicativo tem menos atrito no dia a dia e exige a digitação do número exibido no login, o que barra a aprovação por engano explorada nos ataques de MFA fatigue.

O que fazer com contas de serviço e integrações?

Mapeá-las antes de qualquer onda. Contas usadas por sistemas, como o envio de e-mail do ERP ou o scanner, não conseguem responder a um desafio de MFA e precisam ser migradas para autenticação de aplicação ou isoladas com controles próprios. O erro a evitar é a exceção improvisada que vira permanente: uma conta privilegiada sem MFA esquecida no ambiente anula boa parte do ganho.

Security defaults ou Conditional Access?

Os security defaults são gratuitos e simples, mas tudo ou nada; servem bem a empresas pequenas em planos básicos. O Conditional Access permite políticas por grupo, exceções conscientes e rollout por ondas com modo somente-relatório, e está nos planos que incluem o Entra ID P1, como o Business Premium. Quem tem a licença deve usar Conditional Access: a granularidade é o que torna a implantação controlável.

A Global Data implanta o MFA no Microsoft 365?

Sim, como projeto de implantação dentro do serviço de Microsoft 365: avaliação do tenant, desenho das políticas e das ondas, tratamento de contas de serviço, acompanhamento do registro e preparação do suporte e do processo de recuperação. Solicite uma avaliação do seu ambiente Microsoft 365.