Autenticação de dois fatores: como ela salva suas contas

Ao ladrão que roubou sua senha, a autenticação de dois fatores deixa um final amargo: a senha roubada serve, mas a entrada continua fechada, porque o serviço pede confirmação de um aparelho que o ladrão não tem e não terá. Essa ideia simples fecha o cenário de invasão mais comum: o login automático com um par de login e senha vazado de outro serviço. Resta escolher o segundo fator certo para suas tarefas, ativá-lo sem erros e não perdê-lo com o celular. Vamos por ordem.

O que é um fator

Fatores são provas independentes de que você é você: o que você sabe, em geral uma senha; o que você tem, um celular ou chave; o que você é, biometria. Os dois fatores começam quando dois tipos diferentes são verificados. Senha mais pergunta secreta ainda é um tipo só, dois conhecimentos, e um vazamento cobre os dois. Senha mais código do celular já são dois tipos honestos: conhecimento e posse, e o invasor precisa obter os dois ao mesmo tempo.

Comparação de segundos fatores

O app gerador é aquele TOTP: códigos de uso único que vivem meio minuto e são criados no aparelho sem nenhuma conexão. O SMS é mais vulnerável: podem arrancar o código com truques e levar o número reemitindo o SIM, por isso a proteção do banco e do e-mail deve ficar em um gerador ou chave. O push é prático, mas gerou um ataque próprio: bombardeiam a vítima com pedidos até ela confirmar por cansaço; a comparação de números resolve, em que você digita no push um número da tela de login.

Um ponto fraco comum a todos os códigos: o phishing em tempo real consegue arrancá-los, pois a página falsa repassa o código ao site real em segundos. Só as chaves físicas e as passkeys fecham totalmente esse caminho: a chave responde ao pedido de um domínio específico e não tem nada a responder a um site falso. Vimos como as passkeys funcionam no artigo sobre senhas.

Por que "não tenho nada a roubar" não funciona

Desligam o segundo fator com o argumento de "minha conta não interessa a ninguém". Interessa, só que não do jeito que parece: o e-mail de uma pessoa comum é a chave de recuperação do banco e das lojas dela, a rede social guarda a confiança dos amigos para pedidos de dinheiro e a conta de jogo é inventário comprado por anos. Os ladrões trabalham em linha de montagem sobre milhões de senhas vazadas, sem mira, e todos caem nela. O preço da proteção é irrisório: cinco segundos a mais no login de um aparelho novo, porque os serviços lembram dos aparelhos confiáveis e não pedem o código de novo.

Nas contas de trabalho isso vale em dobro: o acesso de um funcionário é uma porta para a empresa, e os serviços corporativos cada vez mais exigem o segundo fator sem perguntar. Aqui um hábito de casa poupa nervos no trabalho.

Ativar sem perder o acesso

1. Comece pelo e-mail: ele recupera todas as outras contas e sua proteção importa mais que a do banco.
2. Nas configurações de segurança escolha um app gerador: qualquer um maduro, até o embutido em um gerenciador de senhas. Deixe o SMS como método de reserva, se o serviço permitir.
3. Guarde já os códigos de backup: impressos em casa ou anotados em um gerenciador de senhas. É sua entrada se perder o celular.
4. Repita no banco, nas redes sociais principais e nos serviços de trabalho. Nos importantes, ative a passkey onde houver.
5. Gaste um minuto em uma revisão: nas mesmas configurações se vê quais aparelhos e métodos de login estão vinculados. Remova os que sobram.

Um pequeno detalhe que poupa tempo: ao mover um código de um app, muitos serviços mostram o QR do segredo uma só vez. Se tirar uma foto "para lembrar", guarde em lugar criptografado e longe da galeria com sincronização na nuvem: esse QR equivale ao próprio fator.

Perdi o celular: e agora

O cenário normal, se você se preparou: instala o gerador no celular novo, entra com os códigos de backup e revincula o fator. Muitos geradores fazem backups criptografados, e aí os códigos se mudam sozinhos. Se não se preparou, resta a recuperação pelo suporte com verificação de identidade: o processo é longo de propósito, porque os sequestradores de contas também o usam. Daí a regra principal de todo o artigo: os códigos de backup são guardados no momento de ativar a proteção, nunca "depois".

Para onde isso vai

O setor vai tirando tanto a senha quanto o segundo passo separado: a passkey combina os dois fatores em uma ação, com a biometria confirmando a posse do aparelho. Enquanto a transição acontece, um conjunto sensato é este: um gerenciador de senhas, um gerador para tudo o que importa, passkeys onde oferecerem e códigos de backup em lugar seguro. E se uma conta já se comporta de forma estranha, não espere: o plano passo a passo está no artigo sobre contas invadidas, e quanto antes o segundo fator estiver ligado, mais curto será esse plano.