Autenticação de dois fatores explicada: qual método de 2FA é o mais seguro?

O que é autenticação de dois fatores?

A autenticação de dois fatores (2FA) é uma segunda verificação, depois da senha, que comprova que é mesmo você quem está entrando ^[4]. O National Cyber Security Centre (NCSC) do Reino Unido observa que ela também é chamada de verificação em duas etapas (2SV) ou autenticação multifator (MFA) ^[4]. A segunda etapa usa algo a que só você tem acesso, como seu celular ou uma chave de segurança ^[4].

O MFA combina dois ou mais tipos diferentes de fator: algo que você sabe (uma senha ou PIN), algo que você tem (um celular ou uma chave) ou algo que você é (uma digital ou o rosto) ^[1]. Se um criminoso roubar sua senha, ainda assim não conseguirá entrar sem o segundo fator ^[1].

O 2FA funciona de verdade?

Sim. Um estudo de 2023 da Microsoft Research com contas do Azure Active Directory que apresentavam atividade suspeita constatou que o MFA reduziu o risco de comprometimento em 99,22% no conjunto da população. Nas contas cujas credenciais já haviam vazado, a redução foi de 98,56% ^[8]. Mais de 99,99% das contas com MFA ativado permaneceram seguras durante o período do estudo ^[8]. O NCSC diz que qualquer 2SV é melhor que nenhum, até mensagens de texto ^[4].

A escala dos ataques a senhas explica o motivo. A Microsoft informou ter registrado cerca de 7.000 ataques a senhas por segundo em 2024, mais que o dobro da taxa de 2023 ^[11].

Qual método de 2FA é o mais seguro?

Nem todo 2FA tem a mesma força. A CISA, agência de cibersegurança dos EUA, classifica os métodos do mais forte ao mais fraco, conforme resistem a ataques comuns ^[1]:

1. MFA resistente a phishing: FIDO/WebAuthn (chaves de segurança e passkeys) e cartões inteligentes baseados em PKI. A CISA considera isso o padrão-ouro ^[1].
2. Códigos de app ou push com correspondência de números: códigos únicos de um app autenticador ou token físico, ou notificações push em que você digita um número exibido na tela de login ^[1].
3. Push sem correspondência de números: uma simples pergunta “Aprovar?”, vulnerável ao bombardeio de notificações ^[1].
4. Códigos por SMS ou voz: a CISA diz que devem ser usados apenas como último recurso ^[1].

A CISA afirma que o FIDO/WebAuthn é a única autenticação resistente a phishing amplamente disponível ^[1]. Suas orientações móveis de 2025 repetem o ponto: códigos de autenticador são melhores que SMS, mas ainda vulneráveis a phishing, e só a autenticação FIDO resiste ao phishing ^[2]. O NCSC chegou à mesma conclusão em abril de 2026. Avaliou todos os métodos tradicionais de MFA, incluindo códigos por SMS, códigos por e-mail, códigos de app e aprovações por push, como intrinsecamente vulneráveis ao phishing ^[5].

O que torna um método resistente a phishing?

O NIST define a resistência a phishing como a capacidade do protocolo de login de impedir que segredos sejam revelados a um site impostor sem depender da atenção do usuário ^[3]. Nenhum método em que você lê um código e o digita pode se qualificar, porque você poderia digitá-lo em um site falso ^[3]. Os métodos FIDO ficam vinculados ao site verdadeiro, então um site parecido não consegue usá-los ^[5].

Como os principais métodos de 2FA se comparam?

A tabela abaixo resume a proteção de cada método contra os principais ataques, com base na classificação da CISA e nas diretrizes do NIST. A CISA agrupa os ataques em quatro tipos ^[1]:

• Phishing: uma página de login falsa coleta sua senha e seu código único ^[1].
• Bombardeio de push: um atacante inunda você com pedidos de aprovação até que você aceite um ^[1].
• Exploração do SS7: falhas no sistema de sinalização da rede telefônica permitem que atacantes obtenham códigos enviados por SMS ou chamada de voz ^[1].
• Troca de SIM: criminosos convencem uma operadora de celular a transferir seu número para o chip deles ^[1].

Por que os códigos por SMS são considerados fracos?

Os códigos por mensagem de texto são a forma mais comum de 2FA, e o NCSC observa que são o padrão na maioria dos serviços ^[4]. Também são os mais fáceis de roubar.

• As mensagens não são criptografadas. A CISA observa que qualquer pessoa com acesso à rede de uma operadora que intercepte mensagens SMS pode lê-las ^[2].
• Números podem ser sequestrados. Na troca de SIM, criminosos se passam pela vítima, subornam um funcionário da operadora ou invadem os sistemas da operadora para transferir o número para o chip deles ^[6]. Assim passam a receber as mensagens da vítima, incluindo códigos de 2FA e mensagens de redefinição de senha ^[6].
• Podem ser roubados por phishing. Como qualquer código digitado, um código por SMS pode ser inserido em um site falso ^[3].

Os prejuízos são reais. O Internet Crime Complaint Center do FBI recebeu 320 denúncias de troca de SIM entre janeiro de 2018 e dezembro de 2020, com prejuízos ajustados de cerca de US$ 12 milhões. Só em 2021, recebeu 1.611 denúncias, com mais de US$ 68 milhões em prejuízos ^[6].

As diretrizes de 2025 do NIST classificam os códigos por SMS e voz como autenticador restrito. Os serviços que os usam precisam oferecer pelo menos uma alternativa não restrita e devem verificar sinais de risco, como uma troca recente de chip ou portabilidade de número ^[3]. O NIST também diz que o e-mail não deve ser usado para autenticação fora de banda ^[3]. O NCSC é mais flexível para pessoas físicas: lista o e-mail como possível segunda etapa, desde que seja uma conta diferente da usada para redefinir sua senha ^[4].

Ainda devo usar SMS se for a única opção?

Sim. O NCSC diz que as mensagens de texto não são o tipo mais seguro de 2SV, mas ainda representam uma grande melhoria em relação a usar só a senha ^[4]. A CISA considera o SMS um último recurso, mas que pode servir como medida temporária ^[1].

Como funcionam os apps autenticadores e as notificações push?

A maioria dos apps autenticadores gera senhas únicas baseadas em tempo (TOTP), definidas no padrão da internet RFC 6238 ^[7]. Quando você configura o app, ele e o serviço compartilham uma chave secreta. O app então combina essa chave com a hora atual para gerar um código curto que muda a cada intervalo de tempo, 30 segundos por padrão ^[7]. Como o código é calculado no próprio celular, os apps autenticadores não precisam de sinal de celular ^[4]. Isso os torna úteis onde a cobertura móvel ou a entrega de SMS não é confiável.

Os apps autenticadores resistem à troca de SIM e a ataques ao SS7 ^[1], e o estudo da Microsoft constatou que apps dedicados, como o Microsoft Authenticator, tiveram desempenho melhor que o SMS ^[8]. Seu ponto fraco é o phishing: um site falso pode pedir o código e repassá-lo na hora ^[1][2].

O que é correspondência de números?

O 2FA por push envia um pedido de aprovação ao seu celular. Sem correspondência de números, você só toca em Aceitar, o que torna possível o bombardeio de push. Com correspondência de números, você precisa digitar no app um número exibido na tela de login, o que acrescenta uma barreira contra aprovações às cegas ^[1]. A CISA recomenda a correspondência de números para organizações que ainda não conseguem usar MFA resistente a phishing ^[1].

Onde entram as chaves de segurança e as passkeys?

As chaves de segurança e as passkeys usam padrões FIDO e criptografia de chave pública ^[10]. Uma chave de segurança é um pequeno dispositivo físico que se conecta por USB ou NFC. Uma passkey pode ficar no seu celular ou computador, desbloqueada pela digital, pelo rosto ou por um PIN ^[10].

Para pessoas com alto risco de ataques direcionados, a CISA diz que as chaves de segurança FIDO físicas são a opção mais eficaz quando viáveis, e as passkeys FIDO são uma alternativa aceitável ^[2]. O NCSC diz que as passkeys são tão seguras quanto o MFA tradicional, ou mais, contra todos os ataques comuns a credenciais observados na prática ^[5]. Ele as recomenda como primeira opção sempre que os serviços as oferecem ^[12].

Uma passkey também pode tornar desnecessária uma segunda etapa separada. Em uma Conta do Google, o login com passkey dispensa a etapa de Verificação em 2 etapas ^[9]. O NCSC diz que, quando o dispositivo verifica o usuário, uma credencial FIDO2 já é multifator por si só ^[5].

Como configurar o 2FA com segurança?

1. Comece pelo e-mail. O NCSC recomenda ativar o 2SV nas contas importantes, sobretudo no e-mail, porque o acesso à sua caixa de entrada pode permitir que criminosos redefinam suas outras senhas ^[4].
2. Escolha o método mais forte oferecido. Prefira uma passkey ou chave de segurança, depois um app autenticador, e use SMS apenas quando não houver mais nada ^[1][2].
3. Remova a alternativa mais fraca. A CISA observa que registrar um app autenticador não remove automaticamente o SMS da conta, o que deixa uma alternativa fraca. Desative o SMS quando um método mais forte estiver funcionando ^[2].
4. Guarde códigos de backup. Armazene os códigos de backup de uso único em lugar seguro e gere novos depois de usá-los ^[4].
5. Adicione um segundo método. O NCSC recomenda uma opção de reserva para o caso de sua segunda etapa principal ficar indisponível ^[4].
6. Proteja seu número de telefone. A CISA sugere cadastrar um PIN junto à sua operadora de celular ^[2]. O FBI recomenda nunca informar seu PIN ou senha a quem ligar sem ter sido solicitado ^[6].
7. Nunca aprove um pedido que você não iniciou. Pedidos de push inesperados podem ser uma tentativa de bombardeio de push ^[1].

Fique atento aos sinais de alerta. O FBI diz que uma perda repentina de sinal ou de serviço de SMS pode indicar uma troca de SIM. Se isso acontecer, entre em contato com sua operadora imediatamente e troque as senhas das suas contas ^[6].

O que está mudando no 2FA?

As orientações oficiais estão se afastando dos códigos e indo em direção a métodos resistentes a phishing. As diretrizes de 2025 do NIST exigem que serviços no nível de garantia AAL2 ofereçam pelo menos uma opção resistente a phishing ^[3]. O NIST também observa que pode ajustar o status restrito dos códigos pela rede telefônica à medida que as ameaças mudarem ^[3]. Em abril de 2026, o NCSC disse que recomendaria passkeys sempre que um serviço as suportasse, e 2SV quando não suportasse ^[5].

Para a maioria das pessoas, o caminho prático em 3 de novembro de 2026 tem três passos. Ative o 2FA em todos os lugares em que ele for oferecido. Substitua o SMS por um app autenticador sempre que puder. Depois, migre suas contas mais importantes para passkeys ou uma chave de segurança. Cada passo fecha uma classe de ataque que o método mais fraco deixa aberta ^[1][5].