Uma senha vazada não precisa virar uma conta perdida. A autenticação multifator, ou MFA, adiciona uma verificação além da senha e reduz o valor de uma credencial roubada. Ela é uma camada importante, mas funciona melhor quando faz parte de uma rotina de proteção de identidade — e nem todo MFA oferece a mesma proteção.
Este artigo explica o que diferencia um método do outro, como escolher entre o que está disponível e o que fazer quando algo parece errado.
O que os fatores verificam
Em geral, os fatores combinam algo que você sabe, algo que você possui ou algo que você é. Uma senha é conhecimento; um aplicativo autenticador ou chave de segurança pode representar posse; um recurso biométrico pode apoiar a verificação em um dispositivo.
O importante não é decorar a classificação. É saber que dois fatores diminuem a chance de uma única informação comprometida ser suficiente para entrar em uma conta.
Mas há uma distinção que importa mais que a contagem de fatores: se o método resiste ou não a phishing. O NIST define resistência a phishing como a capacidade do protocolo de impedir que segredos de autenticação sejam entregues a um verificador impostor — sem depender da atenção da pessoa. É uma definição exigente de propósito: ela não aceita “o usuário vai perceber o site falso” como controle.
A consequência prática é direta. O NIST determina que autenticadores que envolvem digitação manual de um código — o que inclui OTP de aplicativo e códigos fora de banda — não podem ser considerados resistentes a phishing. Se você digita um número em uma tela, você pode digitá-lo na tela errada.
Como os métodos se comparam
Ordenados do mais forte para o mais frágil:
| Método | Resiste a phishing? | Principal limitação |
|---|---|---|
| Chave de segurança FIDO2 / passkey | Sim | Exige suporte do serviço; custo do dispositivo físico |
| Push com correspondência numérica | Não | Reduz aprovação por cansaço, mas o código ainda é digitável |
| Código de aplicativo autenticador (TOTP) | Não | Pode ser digitado em um site falso |
| Push com simples “aprovar/negar” | Não | Vulnerável a bombardeio de notificações |
| Código por SMS | Não | Sujeito a troca de chip e falhas do protocolo da operadora |
Chaves de segurança e passkeys resistem a phishing porque vinculam a credencial ao endereço real do site. Se você estiver em banco-seguro-login.com em vez do domínio legítimo, a chave simplesmente não responde — não há código para ser roubado, e a proteção não depende de você ter notado a diferença no endereço.
O SMS merece nota à parte. O NIST classifica o uso da rede telefônica para autenticação fora de banda como autenticador restrito: serviços que o aceitam devem oferecer alternativa e avisar sobre os riscos. O motivo é que o código pode ser desviado por troca de chip — quando alguém convence a operadora a transferir seu número para outro chip — ou por falhas no protocolo de sinalização entre operadoras.
Isso não significa desligar o SMS quando ele é a única opção. MFA por SMS protege muito mais do que a ausência de MFA. Significa preferir outro método quando o serviço oferecer, e não usar SMS na conta que recupera todas as outras.
Escolha o método disponível mais resistente
Avalie o que o serviço oferece, guarde códigos de recuperação em local seguro e registre mais de uma forma de recuperação quando for permitido. Registrar dois métodos evita que a perda de um dispositivo vire perda da conta.
Nunca aprove uma solicitação de MFA que você não iniciou. Notificações repetidas são uma técnica conhecida: a CISA chama de push bombing o ataque em que a pessoa é bombardeada com notificações até aprovar por engano ou por irritação com o fluxo interminável. O atacante já tem a senha — só falta a sua confirmação.
A defesa é uma regra simples e sem exceção: uma notificação que você não iniciou é sempre “negar”. Se as notificações continuarem, isso confirma que sua senha vazou; troque-a pelo endereço oficial do serviço, não por um link da notificação.
Para organizações que ainda não conseguem adotar métodos resistentes a phishing, a CISA recomenda a correspondência numérica como medida intermediária: em vez de um botão “aprovar”, o serviço mostra um número na tela do login que você precisa digitar no aplicativo. Isso não impede phishing, mas elimina a aprovação acidental — não dá para aprovar por reflexo um pedido cujo número você não está vendo.
Proteja a recuperação da conta
O processo de recuperação é tão importante quanto o login. Um MFA forte não protege nada se a redefinição de senha puder ser feita respondendo à cidade onde você nasceu.
O e-mail principal precisa de senha exclusiva e MFA, porque ele costuma receber redefinições de senha de outros serviços. Perguntas de segurança previsíveis e dados públicos enfraquecem esse caminho — quando for obrigado a usá-las, trate a resposta como mais uma senha e guarde no gerenciador em vez de responder a verdade.
Use um gerenciador de senhas para criar credenciais diferentes por serviço. Isso limita o efeito de um vazamento: uma senha usada em um site não abre automaticamente os demais. O modo de falha que o gerenciador elimina é o mais comum de todos — a mesma senha reaproveitada em doze serviços, exposta no vazamento de um deles.
Guarde os códigos de recuperação fora do gerenciador que depende da conta que eles recuperam. Impressos em papel ou em um segundo cofre resolvem a dependência circular de guardar a chave dentro da porta que ela abre.
Reaja com calma a um aviso de acesso
Ao receber uma notificação de login desconhecido, não clique diretamente no link da mensagem — avisos falsos de “acesso suspeito” são uma isca comum justamente porque provocam pressa.
Uma sequência que funciona:
- Abra o serviço pelo endereço ou aplicativo oficial, digitado por você.
- Verifique as sessões ativas e encerre as que não reconhecer.
- Troque a senha se houver qualquer indício de comprometimento.
- Confira os métodos de MFA e recuperação cadastrados — um atacante com acesso costuma adicionar o próprio. Um método que você não reconhece é sinal mais forte que a notificação original.
- Revise as regras de encaminhamento do e-mail, se for uma conta de correio.
- Em conta corporativa, comunique a equipe responsável pelo canal definido pela organização, mesmo que pareça alarme falso.
A ordem importa: trocar a senha antes de remover o acesso indevido pode apenas avisar o atacante de que foi notado.
Checklist para uma conta importante
- senha exclusiva, longa e guardada em gerenciador;
- MFA ativado com o método mais resistente que o serviço oferecer;
- códigos de recuperação guardados fora do gerenciador;
- pelo menos dois métodos de autenticação registrados;
- e-mail de recuperação também protegido com MFA;
- sessões, dispositivos e regras de encaminhamento revisados periodicamente;
- alertas de acesso ativados quando o serviço oferecer;
- nenhum código de verificação compartilhado por mensagem ou telefone — nenhum serviço legítimo pede isso.
Proteção de contas é uma prática contínua. O melhor momento para configurar recuperação e MFA é antes de precisar deles.
Priorize a conta que recupera as outras
Não trate todas as contas com o mesmo esforço. Comece pelo e-mail principal e pelos serviços que administram pagamentos, domínio, trabalho ou arquivos: eles permitem redefinir acessos a outros sistemas.
Uma forma prática de priorizar é perguntar: se alguém entrar nesta conta, quantas outras consegue abrir a partir dela? O e-mail principal costuma ser a resposta mais alarmante — e é onde a chave de segurança se paga primeiro.
Para essas contas, vale o esforço extra: método resistente a phishing, dois autenticadores registrados, códigos de recuperação em papel e revisão periódica das sessões.
Próximo passo
Escolha uma conta — provavelmente seu e-mail principal — e faça hoje: verifique qual o método de MFA mais forte que ela oferece, registre um segundo método, e confira a lista de sessões ativas e fatores cadastrados. São dez minutos que mudam o resultado de um vazamento futuro.
Depois, combine consigo mesmo um procedimento: se um alerta parecer estranho, pare, abra o serviço por um endereço conhecido e confira as sessões. Segurança de conta não é responder mais rápido a uma notificação; é ter um caminho confiável para verificar antes de aprovar qualquer ação.
