Autenticação de dois fatores (2FA) explicada: o que é e por que uma senha não basta

Uma senha é um segredo que fica em mais lugares do que a maioria das pessoas imagina. Ela é digitada em sites, reutilizada em várias contas e, às vezes, exposta em uma violação de dados de terceiros. Por isso, uma senha sozinha é uma forma frágil de proteger qualquer coisa valiosa.

A autenticação de dois fatores acrescenta uma segunda prova, de um tipo diferente, para que uma senha roubada não seja suficiente por si só. Veja o que é, quais são os tipos mais comuns de segundo fator, por que isso ajuda e quais são suas limitações.

O que é autenticação de dois fatores

Autenticação de dois fatores, geralmente abreviada como 2FA, significa comprovar sua identidade usando dois tipos diferentes de evidência. As diretrizes de identidade digital do NIST descrevem três tipos de fator de autenticação: algo que você sabe, como uma senha; algo que você possui, como um celular ou uma chave de segurança; e algo que você é, como uma impressão digital.

Os dois fatores precisam ser de tipos diferentes. O NIST ressalta que uma senha e um PIN não contam como dois fatores, porque ambos são algo que você sabe. Você também pode encontrar os termos autenticação multifator, MFA, ou verificação em duas etapas. No uso cotidiano, a CISA considera que esses nomes significam a mesma coisa: uma etapa extra para confirmar que você é realmente quem diz ser.

Os tipos mais comuns de segundo fator

O segundo fator mais conhecido é um código de uso único, enviado por mensagem de texto ou gerado por um aplicativo autenticador no celular. Outra opção é uma chave de segurança física ou uma passkey, que usa criptografia integrada a um dispositivo. Uma impressão digital ou leitura facial também pode ser usada, e o NIST afirma que a biometria só conta como parte da autenticação multifator quando combinada com um dispositivo físico.

Esses métodos não oferecem o mesmo nível de segurança. Segundo a CISA, a autenticação baseada nos padrões FIDO, como chaves de segurança e passkeys, é a forma mais forte e resiste a ataques de phishing. Os códigos de um aplicativo autenticador são melhores do que as mensagens de texto, mas ainda podem ser alvo de phishing; as mensagens de texto são a opção mais fraca entre as alternativas comuns. Comparar cada tipo em detalhes é um assunto à parte.

Por que uma senha não basta

A CISA explica que uma senha — aquilo que você sabe — pode ser reutilizada, descoberta com mais facilidade ou roubada. Se a mesma senha for usada em várias contas, um único vazamento pode dar acesso a todas elas. Com um segundo fator, um invasor que tenha a senha ainda precisa da outra informação. Segundo a CISA, isso torna significativamente menos provável que sua conta seja invadida.

A CISA recomenda ativar a autenticação multifator em todos os serviços que a oferecem e começar pelas contas mais importantes: primeiro o e-mail, depois os serviços financeiros e, em seguida, as redes sociais e lojas online. A organização também recomenda usar senhas fortes e exclusivas e um gerenciador de senhas, pois as duas proteções funcionam em conjunto.

O que a autenticação de dois fatores não faz

Um segundo fator dificulta a tomada de controle de uma conta, mas não a torna inviolável. Uma página falsa de login convincente pode capturar um código e usá-lo imediatamente, e uma mensagem de texto pode ser interceptada ou redirecionada, por exemplo, por meio de uma troca de SIM. Por isso, o método escolhido importa, assim como verificar se você está no site verdadeiro antes de inserir qualquer código.

A autenticação de dois fatores também não protege tudo. A 2FA protege uma conta acessada por meio de um serviço, mas não pode proteger a chave privada ou a frase-semente de uma carteira de criptomoedas, pois elas não são contas. Ela também não substitui uma senha forte e exclusiva nem uma forma segura de recuperar o acesso caso você perca o celular.

Lembrete da WEEX: ative a autenticação e proteja os códigos

A WEEX lembra os usuários de ativar a autenticação de dois fatores sempre que ela estiver disponível, começando pelas contas de e-mail e financeiras. Guarde todos os códigos de backup ou recuperação em um local seguro e offline e confira o endereço do site antes de inserir um código. Nunca compartilhe um código de uso único ou uma frase-semente com ninguém, inclusive com pessoas que dizem trabalhar no suporte, pois um serviço legítimo nunca precisa de nenhum deles.

Conclusão

A autenticação de dois fatores exige dois tipos diferentes de prova, para que uma senha roubada não seja suficiente para entrar. Os tipos de segundo fator têm níveis diferentes de segurança: as chaves de segurança e as passkeys estão entre as opções mais fortes, e as mensagens de texto, entre as mais fracas. Nenhum deles substitui boas senhas, hábitos cuidadosos ou a proteção das chaves privadas de uma carteira. Ativar a autenticação é uma das formas mais simples de dificultar a tomada de controle de uma conta.

Perguntas frequentes

1. O que é autenticação de dois fatores?
É uma forma de fazer login que exige dois tipos diferentes de prova, como uma senha e um código enviado ao celular, em vez de apenas uma senha.

2. 2FA é o mesmo que MFA e verificação em duas etapas?
No uso cotidiano, os nomes significam mais ou menos a mesma coisa. Tecnicamente, MFA significa usar mais de um tipo distinto de fator, enquanto 2FA significa usar exatamente dois.

3. A autenticação de dois fatores torna uma conta impossível de invadir?
Não. Ela dificulta a tomada de controle da conta, mas uma página falsa de login pode capturar um código e as mensagens de texto podem ser interceptadas. Por isso, tanto o método quanto seus hábitos são importantes.

4. Uma senha e um PIN são autenticação de dois fatores?
Não. Ambos são algo que você sabe e, por isso, de acordo com as diretrizes do NIST, contam como um único fator.

5. Em quais contas devo ativar primeiro a autenticação de dois fatores?
A CISA sugere começar pelo e-mail, depois pelos serviços financeiros e, em seguida, pelas redes sociais e lojas online. O e-mail vem primeiro porque costuma ser usado para redefinir o acesso a outras contas.