Autenticação em dois fatores: por que toda conta precisa dela

Uma senha sozinha é um ponto único de falha. Se ela for adivinhada, reutilizada em um site que depois sofre um vazamento ou digitada em uma página de login falsa bem-feita, qualquer pessoa que a tenha em mãos consegue entrar como se fosse você. A autenticação em dois fatores, geralmente abreviada como 2FA, acrescenta uma segunda verificação que não depende do que você sabe: algo que você tem, como o celular ou uma chave física, ou algo que você é, como a sua impressão digital.

Na prática, uma senha roubada deixa de ser suficiente. Quem estiver com a sua senha ainda vai precisar do código do seu aplicativo autenticador, do toque na sua chave de segurança ou da aprovação no seu dispositivo de confiança. A maioria dos ataques contra contas comuns é automatizada e oportunista, então essa etapa extra tira você do grupo dos alvos fáceis e torna uma invasão bem menos provável.

A 2FA não substitui uma boa senha. Ela funciona melhor combinada com uma senha longa e exclusiva, guardada em um gerenciador de senhas. Juntas, uma cobre as fraquezas da outra: a senha exclusiva limita o estrago de vazamentos em outros sites, e o segundo fator protege você quando a senha acaba vazando mesmo assim.

Os aplicativos autenticadores geram um código curto que se renova sozinho, normalmente com seis dígitos e em geral a cada 30 segundos, a partir de um segredo que o serviço compartilha com o app quando você escaneia um QR code. Eles funcionam offline, costumam ser gratuitos e são aceitos pela maioria das grandes plataformas, o que faz deles uma escolha padrão sensata para quase todo mundo.

As chaves de segurança físicas são pequenos dispositivos USB, NFC ou Bluetooth que você encosta ou conecta na hora de entrar na conta. As passkeys, também chamadas de chaves de acesso, seguem um princípio parecido, mas ficam no seu celular ou computador e são desbloqueadas com a digital, o rosto ou o PIN do aparelho. As duas ficam vinculadas ao endereço real do site, então não respondem a uma página de phishing que apenas imita o original. Por isso, são as opções mais fortes disponíveis para usuários comuns.

As notificações push pedem que você aprove um login em um dispositivo que já está conectado. Os códigos por SMS e por chamada de voz enviam um código de uso único para o seu número de telefone. Os códigos de backup são uma lista de códigos de uso único para emergências, quando o seu método habitual não está disponível. A maioria dos serviços permite ativar mais de um método, e vale a pena fazer isso: um método principal e pelo menos um de reserva.

Códigos por SMS são muito melhores do que nenhum segundo fator, mas dependem do seu número de telefone, e esse número não está totalmente sob o seu controle. No golpe da troca de chip, conhecido como SIM swap, um criminoso convence ou suborna alguém da operadora para transferir o seu número para um chip que está com ele. A partir desse momento, todos os códigos destinados a você chegam no celular do golpista.

Os códigos por SMS também podem ser capturados por phishing, exatamente como as senhas: uma página de login falsa pede o código, e o atacante o repassa ao site verdadeiro em questão de segundos. Você também pode perder o acesso de formas bem mais banais, por exemplo ao viajar sem roaming, trocar de operadora ou deixar um chip pré-pago expirar e ver o número ser repassado depois para outra pessoa.

Se o serviço oferecer aplicativo autenticador, chave de segurança ou passkey, mude para uma dessas opções e mantenha o SMS apenas como reserva, ou remova-o de vez, se o serviço permitir. Quando o SMS for a única opção, proteja o próprio número: muitas operadoras permitem cadastrar uma senha de atendimento ou ativar proteções extras que dificultam a troca de chip e a portabilidade sem a sua autorização.

Comece pelas contas que dão acesso a todo o resto. O seu e-mail principal vem primeiro, porque é ele que recebe os links de redefinição de senha; depois vêm a sua conta Apple, Google ou Microsoft, o seu gerenciador de senhas e qualquer conta que guarde dinheiro ou dados valiosos. Com essas protegidas, passe para as redes sociais, para mensageiros como WhatsApp, Telegram e Discord e para o restante.

A opção costuma ficar nas configurações de segurança da conta, com nomes como verificação em duas etapas, autenticação de dois fatores ou verificação de login. Escolha a opção de aplicativo autenticador ou de chave de segurança, escaneie o QR code com o app e digite o código exibido para confirmar que está tudo funcionando. Se o serviço aceitar passkeys, cadastrar uma no celular e outra no computador dá a você um jeito de entrar que é ao mesmo tempo prático e resistente a phishing.

Antes de fechar a página de configurações, salve os códigos de backup, adicione um segundo método se for possível e confira se o e-mail e o telefone de recuperação estão atualizados e são mesmo seus. Depois, saia da conta e entre de novo uma vez, para conhecer a tela de verificação antes de realmente depender dela.

Os códigos de backup são a sua forma de voltar a entrar quando o celular é perdido, quebra ou é formatado. Cada código funciona uma única vez e, em muitos serviços, gerar uma nova lista cancela a anterior. Trate esses códigos como a chave reserva de casa: essencial quando você precisa, inútil se você não consegue encontrá-la e perigosa se cair na mão de um estranho.

Boas opções para guardá-los são uma cópia impressa junto com os seus documentos importantes ou uma nota criptografada em um gerenciador de senhas que você consiga abrir sem o celular onde está o autenticador. Já os lugares ruins são a caixa de entrada do e-mail, um app de notas sem bloqueio, um print na galeria de fotos ou um arquivo no mesmo aparelho que gera os seus códigos, porque perder esse único aparelho deixaria você totalmente sem acesso.

Risque cada código conforme for usando e gere uma nova lista quando estiver acabando. Se desconfiar que alguém viu os seus códigos, gere outros imediatamente para que a lista antiga pare de funcionar.

Se você recebeu uma conta de outra pessoa, seja um colega passando a conta de um projeto, seja uma compra em um marketplace de produtos digitais, parta do princípio de que quem usava a conta antes ainda pode ter acesso. O objetivo é que você seja a única pessoa capaz de entrar. Use a conta sempre de acordo com os termos de uso da marca.

Siga esta ordem: troque a senha por uma nova e exclusiva, atualize o e-mail e o telefone de recuperação para contatos que você controla, remova qualquer autenticador, chave de segurança ou dispositivo de confiança que não tenha sido adicionado por você e, então, ative a 2FA com o seu próprio app e gere novos códigos de backup. Por fim, revise as sessões ativas e desconecte todos os dispositivos, menos o seu.

No rStock, o conteúdo entregue aparece na página do pedido como um registro de entrega vinculado ao pedido, então você pode copiar os dados de lá direto para o seu gerenciador de senhas. O seu dinheiro fica retido em vez de ser liberado para a loja imediatamente e, se a conta entregue não funcionar como descrito, você pode abrir uma disputa dentro de um prazo limitado após a entrega. A loja responde primeiro, e um moderador pode ser chamado se vocês não chegarem a um acordo. Proteger e testar a conta logo de cara ajuda você a perceber qualquer problema enquanto esse prazo ainda está aberto.

Aprovar uma notificação push que você não iniciou é uma das formas mais comuns de a 2FA falhar. Se aparecer um pedido de aprovação quando você não está tentando entrar, recuse e troque a senha, porque alguém já está com ela. O mesmo vale para qualquer pessoa que ligue ou mande mensagem pedindo que você informe um código, como no conhecido golpe do código do WhatsApp: serviços legítimos não precisam que você compartilhe um código de uso único com ninguém.

Outro erro é proteger a conta com 2FA, mas deixar aberto um caminho de recuperação antigo e fraco, como um e-mail abandonado ou um número de telefone que você não usa mais. Os atacantes contornam a porta mais forte quando existe uma mais fraca destrancada, então revise as suas opções de recuperação sempre que trocar de celular ou de provedor de e-mail.

Por fim, não espere o celular novo chegar para planejar a migração. Antes de trocar ou formatar um aparelho, transfira os códigos do autenticador, confirme que eles funcionam no aparelho novo e só então apague o antigo. Alguns minutos de preparação podem poupar horas de recuperação de conta.