Existem três formas de fazer autenticação em dois fatores e elas não valem a mesma coisa: o código que chega por SMS, o código gerado por aplicativo e a chave física. A maioria das pessoas ativa o SMS porque é o que o serviço oferece primeiro, e fica com a sensação de estar resolvida. Está mais protegida do que sem nada, isso é verdade. Só que o SMS é o único dos três que pode ser interceptado sem que ninguém encoste no seu celular.
A troca leva cinco minutos por conta e não custa nada. O que segue é a diferença real entre os métodos, a ordem em que ativar e a parte que quase todo mundo pula e depois se arrepende.
O que muda entre os três métodos
Todos servem ao mesmo propósito: exigir uma segunda prova além da senha. A diferença está em onde cada um quebra.
| Método | Onde ele falha | Esforço para ativar |
|---|---|---|
| Código por SMS | Transferência fraudulenta do seu número para outro chip | Nenhum, já vem sugerido |
| Aplicativo autenticador | Perda do aparelho sem códigos de recuperação guardados | Cinco minutos por conta |
| Chave física | Perda da chave sem uma segunda cadastrada | Compra do dispositivo e cadastro |
Para a maior parte das pessoas que trabalha em casa, o aplicativo autenticador é o ponto de equilíbrio. Ele resolve a falha grave do SMS sem exigir compra nenhuma.
Por que o código por SMS é o elo fraco
O problema não é o SMS em si, é o fato de o código estar amarrado a um número de telefone, e número de telefone é transferível. Existe um golpe conhecido no qual o criminoso reúne dados seus que circulam em vazamentos antigos, procura a operadora se passando por você e solicita a transferência da linha para um chip novo. A partir do momento em que a portabilidade acontece, o seu celular perde o sinal e os códigos passam a chegar no aparelho dele.
Repare no encadeamento: a senha ele já tem, porque veio de vazamento ou de página falsa. O segundo fator ele acabou de receber. E o primeiro alvo costuma ser o e-mail, que redefine a senha de quase todo o resto.
Existe ainda um detalhe estrutural: a rede móvel entrega a mensagem para quem controla aquele número, não para quem tem o aparelho na mão. É uma diferença sutil e é exatamente onde o ataque mora.
Uma ressalva importante, porque muita gente exagera na conclusão: SMS ativado continua sendo melhor do que nada. Ele barra o ataque mais comum de todos, que é alguém tentando entrar só com a senha vazada. Não desative o SMS antes de colocar outro método no lugar.
Como ativar o aplicativo autenticador em 4 passos
O aplicativo gera um código de seis dígitos que muda a cada trinta segundos. Ele não depende de sinal de operadora nem de internet, porque o cálculo acontece dentro do próprio aparelho a partir de uma chave secreta e do relógio.
- Passo 1. Instale um aplicativo autenticador. Qualquer um que siga o padrão aberto funciona com praticamente todos os serviços. Se você troca de celular com frequência, prefira um que ofereça sincronização ou exportação.
- Passo 2. Na conta que você quer proteger, procure as configurações de segurança. O nome varia entre verificação em duas etapas, autenticação em dois fatores e login em duas etapas. É tudo a mesma coisa.
- Passo 3. Escolha a opção de aplicativo e leia o código QR que aparece na tela. A conta é adicionada na hora.
- Passo 4. Digite o primeiro código para confirmar. Só depois de o serviço aceitar é que você deve remover o SMS, se quiser remover.
Um cuidado prático: se os códigos gerados começarem a ser recusados, quase sempre é o relógio do aparelho desregulado. Ativar a hora automática resolve.
Os códigos de recuperação: a parte que todo mundo pula
Ao ativar o segundo fator, o serviço mostra uma lista de oito a dez códigos de uso único. Eles existem para um cenário específico: você perdeu, quebrou ou trocou o celular e não consegue mais gerar o código normal.
A maioria das pessoas fecha essa tela sem salvar nada, e o prejuízo só aparece meses depois, no pior momento possível. Sem esses códigos, recuperar a conta passa a depender do suporte do serviço, o que pode levar dias ou simplesmente não acontecer.
Guarde de duas formas ao mesmo tempo: dentro do seu gerenciador de senhas, num campo de anotação, e uma cópia impressa em local físico seguro. E atenção ao erro clássico: não guarde o código de recuperação do seu e-mail dentro do próprio e-mail. Se você perder o acesso, perde os dois juntos.
A ordem certa de ativar nas suas contas
Fazer tudo num dia só leva ao abandono no meio do caminho. Ative nesta sequência, que segue o valor real de cada conta e não a facilidade:
- 1. E-mail principal. Quem controla o e-mail redefine a senha de quase todo o resto. É a conta mais valiosa que você tem, mesmo que não pareça.
- 2. Gerenciador de senhas. Ele guarda o acesso a todas as outras. Deixá-lo protegido só por senha anula boa parte do ganho de usá-lo.
- 3. Banco e meios de pagamento. Aqui o prejuízo é imediato e mensurável.
- 4. Contas de trabalho. Se você acessa sistema de cliente, a exposição deixa de ser sua e passa a ser de terceiro, com as obrigações que isso traz na proteção de dados no home office.
- 5. Redes sociais e o resto. Conforme você for usando cada serviço, sem mutirão.
Encaixar essa revisão na rotina de manutenção do home office, junto das checagens semestrais, evita que ela vire projeto eterno.
Autodiagnóstico em 5 perguntas
Responda de cabeça. Cada "não" é uma tarefa concreta para esta semana:
- O seu e-mail principal tem segundo fator por aplicativo, e não por SMS?
- Você sabe onde estão os códigos de recuperação desse e-mail?
- Se o seu celular sumisse agora, você conseguiria entrar na sua conta principal em menos de uma hora?
- O seu gerenciador de senhas tem segundo fator ativo?
- Existe algum serviço em que você desativou o SMS e não colocou nada no lugar?
A terceira pergunta é a que mais expõe gente que se considera organizada. Ter o método mais forte ativo e não ter plano de recuperação é trocar um risco por outro.
Quando o segundo fator não resolve
Existem três situações em que ativar o dois fatores não é suficiente, e reconhecê-las evita falsa sensação de segurança:
Página falsa em tempo real. O golpe moderno não rouba só a senha. A página falsa repassa o que você digita para o site verdadeiro no mesmo instante, pede o código e usa antes de ele expirar. Contra isso, o que funciona de fato é a chave física ou a chave de acesso, porque elas verificam o endereço do site e simplesmente não respondem a um domínio falso.
Aprovação por cansaço. Quando o método é aquele aviso de "foi você?", o atacante dispara dezenas de solicitações até a pessoa tocar em aprovar para o celular parar de vibrar. Se você receber uma aprovação que não pediu, recuse e troque a senha na hora, porque significa que ela já está na mão de alguém.
Aparelho comprometido. Se o celular ou o computador está infectado, o segundo fator vira detalhe. Isso conecta com a higiene básica do ambiente, incluindo a segurança da sua rede doméstica e a desconfiança com aplicativo instalado fora das lojas oficiais.
E uma regra que não tem exceção: nenhuma empresa séria liga pedindo o código. Quem pede o código por telefone, mensagem ou e-mail está aplicando golpe, sem nenhuma dúvida possível.
Leia também
- Gerenciador de senhas gratuito: como escolher e usar
- Senha do roteador: como descobrir, trocar e blindar a rede
Perguntas frequentes
Autenticação em dois fatores e verificação em duas etapas são a mesma coisa?
Na prática, sim. São nomes diferentes para o mesmo conceito de exigir uma segunda prova além da senha. Cada empresa batizou do seu jeito, e você vai encontrar também login em duas etapas e verificação em dois fatores. O que muda de verdade não é o nome, é o método escolhido dentro dele: SMS, aplicativo ou chave física.
Perdi o celular com o aplicativo autenticador. E agora?
Se você guardou os códigos de recuperação, use um deles para entrar e cadastre o autenticador no aparelho novo. Se não guardou, resta o processo de recuperação do próprio serviço, que costuma pedir comprovações e pode levar dias. É exatamente por esse cenário que salvar os códigos no momento da ativação importa tanto.
Preciso ativar em todas as minhas contas?
Não, e tentar fazer isso de uma vez costuma travar o processo. Comece pelo e-mail principal, pelo gerenciador de senhas, pelo banco e pelas contas de trabalho. Serviços que não guardam dado seu nem meio de pagamento podem esperar e ir sendo ativados conforme você usa cada um.
O aplicativo autenticador funciona sem internet?
Funciona. O código é calculado dentro do próprio aparelho a partir de uma chave secreta e do horário atual, sem consultar servidor nenhum. Essa é uma vantagem prática sobre o SMS, que depende de sinal de operadora. Em compensação, o relógio do aparelho precisa estar certo.
Fontes
Conteúdo informativo, produzido com base em fontes oficiais e revisado antes da publicação. Não substitui a orientação de um profissional habilitado. Confirme os dados nas fontes citadas antes de tomar decisões.