Lacunas de Segurança SSPR Entra: Não Ativado, Não Obrigatório para Admins, Métodos de Redefinição Fracos

Lacunas de Segurança do SSPR (Self-Service Password Reset) do Entra: O Que São

A redefinição de senha self-service (SSPR) no Microsoft Entra ID deve fechar o ciclo de recuperação de conta que a autenticação multifator abre em outras partes do tenant. Na prática, as mesmas três lacunas de segurança do SSPR de redefinição de senha self-service do Entra continuam aparecendo em tenants reais: SSPR deixado desativado em todo o tenant, administradores excluídos de uma política que na verdade exige verificação forte, e métodos de redefinição fracos, como perguntas de segurança ou SMS, aceitos isoladamente como prova suficiente de identidade.

O SSPR permite que os usuários recuperem o acesso a uma conta bloqueada sem abrir um chamado no helpdesk, verificando sua identidade por um ou mais métodos registrados (aplicativo Authenticator, e-mail, telefone ou perguntas de segurança) em passwordreset.microsoftonline.com. Ativá-lo requer pelo menos uma licença Microsoft Entra ID P1 e a função Authentication Policy Administrator, e pode ser delimitado para None, um único grupo (opcionalmente aninhado) ou All usuários, conforme o tutorial de ativação da Microsoft.

A maioria das implantações para por aí, enquadrada puramente como economia de custo — menos chamados no helpdesk, redefinição mais rápida para o usuário final, uma linha em uma planilha de licenciamento. É esse enquadramento que permite que as três lacunas a seguir sobrevivam sem serem percebidas:

• SSPR completamente desativado (SSPR_NOT_ENABLED) — não existe caminho self-service, então toda redefinição passa por um humano.
• Administradores não cobertos por uma política de redefinição que realmente exige verificação forte (SSPR_NOT_REQUIRED_ADMINS) — contas privilegiadas caem no mesmo caminho manual, suscetível a engenharia social.
• Métodos fracos aceitos como prova suficiente de identidade (SSPR_METHODS_WEAK) — perguntas de segurança ou chamadas de SMS/voz satisfazem sozinhas a política de redefinição.

Nenhuma dessas é uma configuração incorreta exótica. São estados próximos do padrão para os quais um tenant deriva simplesmente por nunca revisitar o SSPR após a configuração inicial — o que também explica por que raramente são detectadas em uma revisão de rotina: um teste de penetração ou auditoria de MFA normalmente verifica se o login exige um segundo fator, não se o caminho de recuperação dessa mesma conta é igualmente forte. Um atacante não precisa vencer o MFA na porta da frente se a porta dos fundos — a recuperação de senha — só precisa de uma pergunta de segurança adivinhada ou de uma ligação convincente.

As Três Lacunas do SSPR, Uma de Cada Vez

Lacuna 1 — SSPR Completamente Desativado

Quando o escopo do SSPR é None, toda redefinição de senha precisa passar pela TI ou pelo helpdesk. Esse caminho manual é exatamente o vetor descrito no alerta da CISA sobre o Scattered Spider (AA23-320A): atores de ameaça ligam ou enviam mensagens para a equipe do helpdesk se passando por funcionários, solicitando uma redefinição de senha ou troca de dispositivo MFA como vetor de acesso inicial. Um tenant com o SSPR desativado não removeu o caminho de redefinição — forçou 100% das redefinições exatamente pelo canal que essa técnica visa, e não deu ao helpdesk nenhuma referência self-service para comparar com uma solicitação incomum.

Lacuna 2 — Admins Não São Obrigados a Usar o SSPR

Por padrão, o Microsoft Entra trata as contas de administrador de forma diferente: elas são cobertas por uma política de dois portões integrada e não alterável, que exige duas informações de autenticação, distinta da política (muitas vezes de portão único) aplicada a usuários comuns, conforme a documentação de política do SSPR da Microsoft. Tenants que desativam a política de redefinição de senha para admins — sem excluir explicitamente os admins da política voltada ao usuário — deixam as contas privilegiadas se redefinirem da mesma forma que na Lacuna 1: manualmente, pelo helpdesk. Essa é a conta de maior valor para proteger desse caminho, já que uma redefinição bem-sucedida por engenharia social em um Global Administrator é o comprometimento de todo o tenant, não apenas de uma caixa de correio.

Lacuna 3 — Métodos de Redefinição Fracos Aceitos

As perguntas de segurança podem ser respondidas por qualquer pessoa que tenha feito um pequeno reconhecimento sobre um alvo, e a Microsoft está aposentando-as completamente do SSPR até março de 2027 exatamente por esse motivo — a própria documentação da Microsoft as classifica como "menos seguras que outros métodos" e recomenda combiná-las com um segundo método, caso sejam usadas. Os métodos de telefone móvel (SMS/chamada de voz) carregam seu próprio risco conhecido de interceptação e SIM swap — as diretrizes de identidade digital do NIST classificam códigos entregues pela rede telefônica como um autenticador restrito exatamente por esse motivo, orientando os verificadores a checar troca de SIM e portabilidade numérica antes de confiar neles, conforme o NIST SP 800-63B. Uma política de redefinição que aceita qualquer um desses métodos como um único portão satisfatório é funcionalmente tão fraca quanto nenhuma política — a conta está a uma resposta adivinhada ou um texto interceptado de distância de ser tomada.

Detecção

Se você estiver conduzindo uma revisão de segurança do Entra ID mais ampla, a postura do SSPR pertence à mesma passada que o Acesso Condicional e o PIM — é verificada com as mesmas permissões do Graph e a mesma sessão do admin center.

Consultando a Cobertura de Registro Diretamente

Connect-MgGraph -Scopes "Reports.Read.All", "Policy.Read.All"

# Postura de SSPR dos admins
Invoke-MgGraphRequest -Method GET -Uri "https://graph.microsoft.com/v1.0/policies/authorizationPolicy" |
  Select-Object -ExpandProperty allowedToUseSSPR

# Usuários habilitados para SSPR mas não realmente registrados
Get-MgReportAuthenticationMethodUserRegistrationDetail -All `
  -Filter "isSsprEnabled eq true and isSsprRegistered eq false" |
  Select-Object UserPrincipalName, IsAdmin, IsSsprRegistered, MethodsRegistered

Qualquer pessoa que essa segunda consulta retornar pode estar habilitada para o SSPR no papel, sem ter nenhum método compatível de fato registrado — o que significa que seu caminho real de redefinição, hoje, ainda é o helpdesk. Cruze primeiro a coluna IsAdmin com sua lista de funções privilegiadas; uma conta de Directory ou Global Administrator nesse resultado é a Lacuna 2 e a Lacuna 3 empilhadas na mesma identidade — a combinação que vale mais a pena triar antes de qualquer outra coisa nessa lista.

Correção

Fechando a Lacuna 1 — Ative o SSPR em Todo o Tenant

No admin center do Entra, em Protection → Password reset → Properties, defina o escopo como All em vez de None ou um único grupo piloto. Isso requer a função Authentication Policy Administrator e uma licença Entra ID P1+, conforme o tutorial da Microsoft.

Fechando a Lacuna 2 — Traga as Contas de Admin para uma Política de Redefinição Real

Confirme que allowedToUseSSPR em authorizationPolicy reflete uma decisão intencional, e que as funções privilegiadas estão cobertas pela política de dois portões integrada do Entra para admins, em vez de excluídas silenciosamente, conforme a documentação de política do SSPR da Microsoft. Para suas funções mais sensíveis (Global Administrator e equivalentes), combine isso com métodos resistentes a phishing e contas de acesso de emergência break-glass rigorosamente monitoradas e excluídas do Acesso Condicional, para que a recuperação nunca dependa apenas do SSPR ou de uma ligação ao helpdesk. Cruze as atribuições permanentes com sua revisão de acesso privilegiado — uma conta que não deveria ser admin permanente, para começo de conversa, não precisa que esse problema seja resolvido para ela.

Fechando a Lacuna 3 — Exija Dois Métodos e Elimine os Fracos

Configure a política de redefinição para exigir pelo menos dois portões, e remova Security questions como opção isolada — a Microsoft está aposentando-as do SSPR até março de 2027 de qualquer forma, conforme sua documentação. Priorize o aplicativo Authenticator ou o registro de passkey em vez de SMS/chamada de voz.

Depois Feche o Ciclo de Registro e Monitoramento

Ative a campanha de registro de métodos de autenticação para que os usuários tenham métodos compatíveis registrados antes de precisarem redefinir uma senha, fechando AUTH_METHODS_NO_REGISTRATION junto com as outras três lacunas. Se o seu tenant também estiver trabalhando na aplicação do SSPR apenas com métodos registrados a partir de novembro de 2026, o mesmo relatório de registro impulsiona as duas correções — essa mudança para de aceitar telefone/e-mail de diretório não registrados como fallback, o que só importa se a cobertura de registro estiver realmente sendo acompanhada em primeiro lugar.

Por fim, monitore as duas atividades de auditoria que mais importam — Self-service password reset policy changes e Reset password (by admin) — para que um futuro enfraquecimento de escopo, quantidade de métodos ou métodos permitidos apareça imediatamente, em vez de reabrir essas lacunas silenciosamente. Um pico de redefinições feitas por admins para o mesmo punhado de usuários costuma ser o primeiro sinal visível de que o SSPR parou de funcionar silenciosamente para eles, bem antes de alguém abrir um chamado sobre isso.

Como a EtcSec Detecta Isso

A auditoria de Entra ID da EtcSec verifica SSPR_NOT_ENABLED (SSPR limitado a None), SSPR_NOT_REQUIRED_ADMINS (administradores não cobertos por uma política de redefinição compatível) e SSPR_METHODS_WEAK (perguntas de segurança ou telefone móvel satisfazendo a política sozinhos), junto com AUTH_METHODS_SMS_ENABLED e AUTH_METHODS_NO_REGISTRATION para a postura de métodos de autenticação ao redor. Juntas, essas cinco verificações dão uma visão única de se o caminho de recuperação de conta é realmente tão forte quanto o caminho de login que ele deveria sustentar — porque um tenant que reforçou cada login com Acesso Condicional e MFA, mas deixou a recuperação de senha em uma configuração padrão de SSPR, acabou de construir uma porta da frente forte ao lado de uma entrada lateral destrancada.