App autenticador, SMS ou chaves-senha: qual método de 2FA usar?

A autenticação de dois fatores não é uma coisa só. Uma mensagem de texto com seis dígitos, um código em um app autenticador, um aviso de "Foi você?" e uma chave-senha contam como segundo fator, mas protegem você contra ataques bem diferentes. Veja como os métodos mais comuns se comparam e qual faz sentido para cada tipo de conta.

Os ataques que importam

A maioria das invasões de conta começa de um destes três jeitos:

• Reutilização de senha. Uma senha vazada de um site é testada em todos os outros. Qualquer segundo fator, sozinho, já impede isso.
• Phishing. Uma página de login falsa captura a sua senha e, cada vez mais, o seu código de uso único também, e repassa os dois ao site verdadeiro em questão de segundos.
• SIM swap (golpe do chip). O golpista convence a sua operadora a transferir o seu número para um chip que está com ele. A partir daí, as suas mensagens e ligações vão para ele.

Um bom segundo fator também precisa resistir aos dois últimos. É aí que os métodos começam a se diferenciar.

Códigos por SMS

O serviço envia um código por mensagem e você digita.

• Prós: funciona em qualquer celular, não exige instalar nada e é fácil de manter quando você troca de aparelho com o mesmo número.
• Contras: fica exposto ao golpe do chip e à portabilidade do número, os códigos podem aparecer na pré-visualização da tela bloqueada e são tão fáceis de roubar com phishing quanto uma senha. A entrega também pode falhar no exterior ou sem sinal.

As diretrizes de identidade digital do NIST classificam SMS e ligação de voz como autenticadores restritos por causa desses riscos (SP 800-63B). Ainda assim, o SMS é muito melhor do que só a senha, e em alguns bancos é a única opção. Se você depende dele, pergunte à sua operadora se é possível adicionar um PIN ou uma proteção contra portabilidade à sua linha.

Códigos por e-mail

Um código ou um link mágico enviado para a sua caixa de entrada.

• Prós: universal e familiar.
• Contras: é tão forte quanto a sua conta de e-mail, e não serve como segundo fator para a própria conta de e-mail. Quem entra na sua caixa de entrada recebe os códigos de todos os sites que dependem dela.

As mesmas diretrizes do NIST dizem que o e-mail não deve ser usado para autenticação fora de banda, porque ele não prova que você tem um aparelho específico em mãos. Trate os códigos por e-mail como um canal de recuperação, e não como 2FA de verdade.

Apps autenticadores (TOTP)

Um app no seu celular gera um código novo a cada 30 segundos a partir de um segredo compartilhado com o serviço, normalmente entregue como um QR code. O algoritmo é o padrão aberto TOTP, então um único app funciona com milhares de serviços. Se você ainda não configurou um, o nosso guia passo a passo para ativar a 2FA mostra como fazer.

• Prós: não é afetado pelo golpe do chip, funciona offline, é gratuito e tem suporte em quase todo lugar que oferece 2FA.
• Contras: um site falso convincente ainda pode pedir o código e repassá-lo em tempo real, e se os segredos ficam em um único celular, perdê-lo significa passar pela recuperação de conta.

Um app como o Ring mantém os segredos criptografados no seu iPhone e gera os códigos sem conexão com a internet, então não há nada para interceptar no caminho e nada vinculado ao seu número de telefone. Mas isso não deixa você imune ao phishing: confira a barra de endereço antes de digitar um código.

Aprovação por notificação push

Em vez de um código, o serviço envia um aviso para um app ou para um aparelho conectado, e você toca em Aprovar.

• Prós: muito prático, e as boas implementações mostram de onde vem a tentativa de login.
• Contras: cada sistema de push costuma funcionar só com as contas do próprio fornecedor, e os golpistas abusam dele com a "fadiga de MFA": disparam um aviso atrás do outro até a pessoa tocar em Aprovar só para que eles parem.

A correspondência de números, em que você digita no aviso um número exibido na tela de login, torna as aprovações às cegas muito mais difíceis. De qualquer forma, a regra é simples: nunca aprove um aviso que não foi você que iniciou.

Chaves de segurança físicas

Uma pequena chave USB ou NFC que você conecta ao aparelho ou encosta no celular. As chaves modernas usam os padrões FIDO2 e WebAuthn.

• Prós: resistente a phishing. A chave assina um desafio vinculado ao domínio do site verdadeiro, então um site falso não recebe nada que possa reutilizar. Nada para digitar, sem bateria, sem internet.
• Contras: custa dinheiro, você precisa de pelo menos duas para ter uma reserva, e nem todo serviço oferece suporte. Se perder as duas, volta para a recuperação de conta.

As orientações da CISA apontam o FIDO/WebAuthn como a forma amplamente disponível de MFA resistente a phishing e recomendam que as organizações migrem para ele (ficha técnica da CISA).

Chaves-senha (passkeys)

As chaves-senha usam os mesmos padrões FIDO das chaves de segurança, mas a credencial fica no seu celular ou no seu gerenciador de senhas e é desbloqueada com Face ID, Touch ID ou o código do aparelho. Em muitos sites, elas substituem a senha por completo, em vez de acrescentar uma segunda etapa (FIDO Alliance).

• Prós: resistentes a phishing como uma chave física, nada para lembrar ou digitar, e as chaves-senha sincronizadas acompanham você para um aparelho novo pelo seu gerenciador de credenciais.
• Contras: o suporte ainda é irregular entre os serviços, a sua segurança depende da conta que faz a sincronização, e usá-las entre plataformas e navegadores diferentes pode ser confuso.

Quando um site oferece chaves-senha e você usa um gerenciador de credenciais em que confia, elas são a opção prática mais forte disponível hoje.

Qual método usar em cada conta

Use o método mais forte que cada serviço oferece, mas não deixe o perfeito virar inimigo do bom:

• E-mail principal, gerenciador de senhas, Conta Apple ou Conta do Google. Essas contas conseguem redefinir todas as outras. Use chaves-senha ou chaves de segurança onde houver suporte e mantenha códigos de recuperação ou um segundo método como reserva.
• Contas de trabalho. Siga a política da empresa. Muitas organizações já exigem chaves de segurança ou chaves-senha.
• Corretoras de criptomoedas e de investimentos. Um app autenticador ou uma chave de segurança. Evite SMS sempre que tiver escolha.
• Bancos. Muitos oferecem só SMS ou o próprio app. Use o app do banco, se houver, e proteja o seu número de telefone junto à operadora.
• Redes sociais, ferramentas de desenvolvimento, armazenamento na nuvem, compras. Um app autenticador é o ponto ideal.
• Qualquer serviço que só oferece SMS. Ative mesmo assim. Ele ainda impede ataques de reutilização de senha.

Por que o app autenticador é o padrão mais prático

Chaves-senha e chaves físicas resistem melhor ao phishing, e você deve usá-las nas suas contas mais importantes sempre que estiverem disponíveis. Mas o método que dá para ativar em quase todo lugar, de graça, sem comprar hardware nem se prender a uma plataforma, continua sendo o TOTP. Ele elimina o risco do golpe do chip que existe no SMS, não depende da sua caixa de entrada e funciona offline.

O ponto que exige planejamento é a perda do aparelho. Guarde os códigos de recuperação de todas as contas, adicione um segundo método nas mais importantes e leia o que fazer se perder o celular com os seus códigos de 2FA antes de precisar. Nenhum método torna uma conta invulnerável, mas um segundo fator bem escolhido faz da sua um alvo muito mais difícil do que a conta do vizinho.