Autenticação de dois fatores: por que ativar em todas as contas importantes

O que é autenticação de dois fatores

É uma camada extra de segurança que exige, além da senha, uma segunda confirmação, um código enviado por SMS, um aplicativo autenticador ou a biometria do aparelho. Mesmo que alguém descubra sua senha, não consegue entrar na conta sem esse segundo passo.

Leia também: IA generativa: o que é e como usar com segurança e Como proteger seus dados ao usar Wi-Fi público.

Por que só a senha não basta mais

Vazamentos de dados em grande escala tornaram comum que senhas antigas circulem em listas usadas por golpistas. Com a autenticação em duas etapas ativa, uma senha vazada sozinha não é suficiente para um invasor acessar a conta.

Como ativar nas principais contas

Em geral, o caminho é: Configurações → Segurança → Verificação em duas etapas (o nome exato varia por serviço). Priorize ativar em e-mail, banco e redes sociais, o e-mail principal é o mais crítico, porque costuma ser usado para recuperar acesso às outras contas.

Quais contas priorizar primeiro

E-mail principal, aplicativos de banco e redes sociais mais usadas devem ser os primeiros a receber essa camada extra de segurança, já que costumam ser usados para recuperar acesso a outras contas em caso de invasão. Optar por aplicativos autenticadores em vez de receber o código por SMS oferece proteção maior, porque mensagens de texto podem ser interceptadas por golpistas em ataques de clonagem de chip. Guardar os códigos de backup fornecidos no momento da ativação em um local seguro evita ficar sem acesso à própria conta caso o celular seja perdido ou trocado.

Quanto a verificação em duas etapas protege, em números

O Google publicou, com pesquisadores da Universidade de Nova York e da Universidade da Califórnia em San Diego, um levantamento sobre a eficácia das proteções de conta. O resultado dá uma ideia clara do tamanho do ganho.

Um código enviado por SMS para o telefone de recuperação bloqueou 100% dos ataques automatizados, 96% das tentativas de phishing em massa e 76% dos ataques direcionados. O aviso no próprio aparelho, que o estudo aponta como substituto mais seguro do SMS, bloqueou 100% dos ataques automatizados, 99% do phishing em massa e 90% dos ataques direcionados.

Fonte: Google Security Blog, New research: How effective is basic account hygiene at preventing hijacking, 2019.

Nem todo segundo fator é igual

Do mais frágil para o mais forte:

• SMS: melhor que nada, mas vulnerável a clonagem de chip e a golpes que pedem o código.
• Aplicativo autenticador, que gera um código que muda a cada 30 segundos: bem mais seguro e funciona sem sinal de celular.
• Aviso no aparelho e chave de acesso (passkey): o login é confirmado pelo aparelho, com biometria ou senha do aparelho.
• Chave física de segurança: a proteção mais forte contra phishing, indicada para quem tem risco maior.

As diretrizes de identidade digital do NIST, órgão de padrões dos Estados Unidos, tratam o envio de código por SMS como método restrito, justamente porque a mensagem pode ser desviada.

Fonte: NIST, Special Publication 800-63B, Digital Identity Guidelines.

Regra de ouro: nenhum código de verificação deve ser repassado a alguém, nem por telefone, nem por mensagem. Empresas de verdade não pedem esse número. Veja o que fazer se o WhatsApp for clonado.

Guarde os códigos de recuperação

Ao ativar a verificação em duas etapas, os serviços oferecem códigos de recuperação de uso único. Salve-os em um lugar seguro fora do celular, como um papel guardado em casa ou um gerenciador de senhas. Eles são a saída quando o aparelho é perdido, roubado ou trocado. Vale também cadastrar um segundo método, como um e-mail ou um segundo aparelho.