Como trocar a 2FA por SMS por uma passkey em qualquer conta

Por que trocar agora a 2FA por SMS por uma passkey?

Códigos SMS podem ser interceptados dentro das redes telefônicas, enquanto uma passkey foi projetada para resistir a phishing, e os grandes provedores agora estão se afastando do SMS: a Microsoft remove os próprios códigos por SMS e chamada de voz da maioria das contas de trabalho e escola a partir de 1 de fevereiro de 2027 ^[1][8].

O risco não é teórico. A empresa de segurança móvel Enea informou em 11 de novembro de 2026 que um ator recém-identificado, que ela chama de SilentAir, usou solicitações maliciosas de atualização de localização em redes móveis para interceptar SMS e chamadas, com elementos de rede ligados ao SilentAir encontrados em pelo menos seis países asiáticos, e que alguns alvos receberam códigos 2FA imediatamente após a interceptação ^[11]. A história completa está no guia da Pouyam Is SMS 2FA Safe? What the SilentAir Attacks Show.

As orientações oficiais apontam na mesma direção. A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) disse em dezembro de 2024 a pessoas muito visadas por ataques: "Não use SMS como segundo fator", e colocou chaves de segurança FIDO e passkeys acima dos apps autenticadores ^[9]. O órgão de padrões dos EUA, NIST, classifica códigos por SMS e chamada de voz como um autenticador "restrito" para o qual os serviços devem oferecer uma alternativa ^[10].

Uma passkey funciona de outro jeito. É um par de chaves criptográficas guardado no seu celular, computador ou chave de segurança, desbloqueado com seu rosto, sua digital ou o PIN da tela, e a FIDO Alliance o descreve como resistente a phishing ^[8]. Não há código para ler em voz alta ou repassar, e o Google diz que as passkeys são "mais seguras contra phishing" do que as senhas ^[2]. Para comparar todos os métodos lado a lado, veja Two-Factor Authentication Explained: Which 2FA Method Is Safest?

Como passo qualquer conta da 2FA por SMS para uma passkey?

A ordem segura é a mesma em toda conta: verifique se há suporte a passkeys, crie uma passkey, adicione uma segunda forma de login, salve os códigos de backup e então remova o número de telefone como segunda etapa e teste ^[2][3][12]. Pular a etapa do backup é o motivo mais comum de as pessoas ficarem trancadas fora da conta.

1. Verifique o suporte. Abra as configurações de segurança ou de login da conta e procure "Passkeys". O diretório comunitário passkeys.directory, mantido pelo 1Password, lista os sites que oferecem passkeys para login ou como segundo fator ^[12].
2. Crie a passkey no aparelho que você mais usa, confirmando com o rosto, a digital ou o bloqueio de tela ^[2][4].
3. Adicione um backup. Crie uma segunda passkey em outro aparelho ou numa chave de segurança física, ou configure um app autenticador. Passkeys podem ser sincronizadas com segurança entre seus aparelhos ou ficar presas a um único aparelho ^[8].
4. Salve os códigos de recuperação se o serviço oferecer e guarde-os offline. O Google, por exemplo, oferece códigos de backup para imprimir e usar se você perder o celular ^[3].
5. Remova o SMS como segunda etapa. A CISA recomenda desativar o SMS depois de registrar um método mais forte, porque uma rota alternativa fraca anula o ganho ^[9].
6. Teste: saia da conta e entre de novo com a passkey antes de fechar a página de configurações.

Alguns serviços mantêm seu número de telefone para recuperação da conta mesmo depois que os códigos de login por SMS são desativados ^[9]. Isso não é motivo para adiar a troca, mas é motivo para proteger sua linha móvel com um PIN da operadora ou um bloqueio de portabilidade, quando possível. Para entender como as passkeys funcionam, veja What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer.

Como mudo minha conta Google para uma passkey?

Crie uma passkey nas configurações de segurança da sua conta Google, depois abra a 2-Step Verification e remova o número de telefone você mesmo, porque adicionar uma passkey não altera nem remove nenhum método de login ou recuperação existente ^[2]. O Google diz que, em contas com 2-Step Verification, entrar com uma passkey pula a segunda etapa, já que a passkey confirma que você controla o aparelho ^[2].

1. Vá à sua conta Google, toque em Security & sign-in e, em How you sign in to Google, abra Passkeys and security keys para criar uma passkey ^[2].
2. Confirme com a digital, o reconhecimento facial ou o bloqueio de tela. O Google suporta passkeys no Windows 10, macOS Ventura e ChromeOS 109 ou posterior, Android 9 e iOS 16 ou posterior, e em chaves de segurança físicas FIDO2 ^[2].
3. Crie uma segunda passkey em outro aparelho ou adicione uma chave de segurança para não depender de um único celular.
4. Abra a 2-Step Verification em Security. Baixe ou imprima seus códigos de backup; o Google os descreve como códigos de 8 dígitos para usar se você perder o celular ^[3].
5. Remova o número de telefone cadastrado como método da 2-Step Verification, ou troque-o pela solicitação do Google ou por um app autenticador.

Dois detalhes importam. Primeiro, o Google pode levar até sete dias para confiar em um número de telefone novo adicionado à 2-Step Verification; uma passkey ou chave de segurança confiável pode acelerar isso ^[3]. O Google também lembra de criar passkeys só em aparelhos que sejam seus, porque qualquer pessoa que consiga desbloquear o aparelho pode entrar ^[2]. Segundo, numa conta Google Workspace de trabalho ou escola, é o administrador quem decide se você pode entrar só com passkey; ainda assim, você pode criar passkeys como segundo fator e opção de recuperação ^[2].

Como adiciono uma passkey a uma conta Microsoft?

Entre em Advanced Security Options em account.live.com/proofs/manage, escolha Add a new way to sign in or verify e depois Face, Fingerprint, PIN ou Security Key ^[4]. Esta página cobre contas pessoais da Microsoft ^[4].

1. Abra account.live.com/proofs/manage no aparelho onde você quer a passkey e entre na conta ^[4].
2. Escolha Add a new way to sign in or verify ^[4].
3. Escolha Face, Fingerprint, PIN ou Security Key e siga as instruções ^[4].
4. Escolha Continue ou Create para salvar a passkey no local sugerido, ou Save another way para escolher um celular ou uma chave de segurança ^[4].
5. Configure um app autenticador, no qual se apoiam as etapas sem senha da Microsoft, antes de remover qualquer coisa ^[5].

A Microsoft permite que contas pessoais vão além e removam a senha. Em Additional security options, escolha Turn on ao lado de Passwordless account e aprove a solicitação no app autenticador ^[5]. A Microsoft observa que você deve ter acesso a dois métodos de recuperação quando a verificação em duas etapas está ativada ^[5].

Para parar os códigos SMS, revise na mesma seção de segurança a lista de formas de comprovar sua identidade e remova o número de telefone como método de login quando a passkey e o app estiverem funcionando. A Microsoft diz para remover os métodos ligados ao aparelho antigo se você trocar de celular ^[5].

A Microsoft vai acabar com os códigos SMS nas contas de trabalho?

Sim, para os códigos que a própria Microsoft envia: a partir de 1 de fevereiro de 2027, a autenticação por SMS e voz fornecida pela Microsoft será removida do Microsoft Entra ID, o serviço de login da Microsoft para organizações, para todos os usuários exceto Global Administrators e usuários externos ^[1]. Esses dois grupos seguem em 1 de julho de 2027 ^[1].

A mudança já começou. A partir de 1 de setembro de 2026, as passkeys passaram a ser a experiência de autenticação padrão no Entra ID e foram ativadas automaticamente para usuários com SMS ou chamada de voz habilitados, que são solicitados a registrar uma passkey ao entrar ^[1]. A página da Microsoft diz que SMS e chamada de voz "não são mais posicionados como métodos de autenticação seguros" ^[1].

O que isso significa para você:

• Se sua conta de trabalho pedir para configurar uma passkey, aceite: o plano da Microsoft incentiva os usuários a registrar uma passkey ao entrar e concluir a MFA ^[1]. Só aja diante de um aviso que apareça dentro da página de login normal da Microsoft.
• Dependendo das configurações da sua organização, uma passkey pode ser armazenada no Microsoft Authenticator, em uma chave de segurança FIDO2, no Windows ou em um gerenciador de credenciais sincronizado ^[1].
• Usuários convidados internos seguem a data de 1 de fevereiro de 2027, não a posterior ^[1].
• Dúvidas sobre quais métodos são permitidos vão para o seu departamento de TI, que administra a política.

Nunca aprove uma solicitação de login ou de passkey que você não iniciou, e nunca configure uma passkey a partir de um link num e-mail ou mensagem inesperada.

Posso usar uma passkey na minha conta Apple?

Não como segundo fator: contas Apple usam um código de verificação de seis dígitos na autenticação de dois fatores, e a melhoria resistente a phishing que a Apple oferece são chaves de segurança FIDO físicas, não passkeys ^[7]. A página da Apple sobre esse recurso não menciona passkeys ^[7].

Os requisitos da Apple para Security Keys for Apple Account são claros ^[7]:

• Pelo menos duas chaves de segurança FIDO Certified; você pode adicionar até seis ^[7].
• iOS 16.3, iPadOS 16.3 ou macOS Ventura 13.2 ou posterior em todo aparelho conectado à sua conta Apple ^[7].
• A autenticação de dois fatores já precisa estar ativada ^[7].
• Contas infantis e Managed Apple Accounts não são suportadas ^[7].

No iPhone, abra Settings, toque no seu nome e depois em Sign-in & Security, Two-Factor Authentication e Security Keys, e siga os passos ^[7]. A Apple avisa que aparelhos inativos (sem uso há mais de 90 dias) serão desconectados durante a configuração e que você pode perder para sempre o acesso à conta se perder todos os aparelhos confiáveis e chaves de segurança ^[7]. Se você remover todas as chaves, a conta volta aos códigos de seis dígitos ^[7].

A Apple descreve as chaves de segurança como pensadas para quem quer proteção extra contra ataques direcionados, como phishing ou golpes de engenharia social ^[7].

Como configuro uma passkey no WhatsApp?

No WhatsApp, abra Settings, toque em Account e depois em Passkeys, Create passkey e Continue, e confirme com o bloqueio de tela ^[6]. O WhatsApp diz que, ao contrário de senhas ou códigos de verificação por SMS, as passkeys são protegidas criptograficamente e só podem ser acessadas com o seu aparelho físico e seus dados biométricos ou o bloqueio de tela ^[6].

1. No Android, você precisa do Android 9 ou posterior, de um bloqueio de tela e de uma conta de gerenciador de senhas vinculada ao celular, como Google Password Manager ou Samsung Password Manager ^[6].
2. Abra o WhatsApp, toque no menu e depois em Settings ^[6].
3. Toque em Account, Passkeys, Create passkey e depois Continue ^[6].
4. Confirme com a digital, o rosto ou o bloqueio de tela quando solicitado ^[6].

O WhatsApp observa que, depois de criar uma passkey, se você reinstalar o app, poderá ser solicitado a usá-la no cadastro ^[6]. Para trocar a passkey, apague-a e crie uma nova no mesmo menu ^[6].

A página do WhatsApp não diz que uma passkey substitui o código SMS no cadastro, então trate-a como uma camada adicional. Mantenha também o PIN da confirmação em duas etapas, para que alguém que sequestre seu número ainda precise de algo que só você sabe.

Quais contas aceitam passkeys no lugar do SMS?

Google, Microsoft e WhatsApp oferecem passkeys como uma opção mais forte que os códigos SMS, as contas Apple usam chaves de segurança no lugar, e muitos serviços menores ainda só oferecem SMS ou um app autenticador ^[2][4][6][7]. A tabela abaixo resume onde fica a configuração em cada um em 15 de novembro de 2026.

O suporte muda com frequência; confira a página de segurança de cada serviço antes de começar. O diretório passkeys.directory lista serviços que aceitam passkeys para login ou como segundo fator ^[12].

Priorize as contas que abrem todas as outras: seu e-mail principal, a conta na nuvem do celular (Google ou Apple), o gerenciador de senhas e as contas do banco e do trabalho. Se o seu e-mail cair, um invasor consegue redefinir a maioria das suas outras senhas.

O que fazer se uma conta não aceitar passkeys?

Use um app autenticador no lugar do SMS e desative o SMS como alternativa quando o app estiver funcionando ^[9]. A CISA coloca os apps autenticadores abaixo das chaves FIDO e das passkeys, porque seus códigos ainda podem ser roubados por phishing, mas diz que são melhores que o SMS, que não é criptografado e pode ser lido se for interceptado na rede de uma operadora ^[9]. A interceptação por sinalização de telecomunicações, o método que a Enea descreve para o SilentAir ^[11], visa mensagens enviadas pela rede telefônica, o que não é o caso dos códigos gerados dentro de um app.

• Escolha um app autenticador que faça backup dos códigos ou os transfira para um celular novo, para que perder o aparelho não tranque você fora.
• Guarde no papel os códigos de recuperação do serviço.
• Nunca leia um código para alguém que ligue ou mande mensagem para você, mesmo que diga ser do suporte do serviço.
• Confira de novo daqui a alguns meses: o suporte a passkeys está se espalhando rápido, e o afastamento da Microsoft do SMS nas contas de trabalho mostra a direção ^[1].

Se um banco ou serviço público só oferecer SMS, você não pode mudar isso sozinho, mas pode reduzir o risco: proteja sua linha móvel com um PIN da operadora, mantenha em segredo o PIN da caixa postal e fique atento a uma perda repentina de sinal, que pode indicar troca de SIM (SIM swap). Esta é uma orientação geral de segurança; as páginas de ajuda de cada serviço são a palavra final sobre as configurações dele.