Perdeu o Google Authenticator? Como funcionam o backup, a sincronização e a recuperação

Quando o celular que armazenava seus códigos do Google Authenticator desaparece, o que acontece em seguida depende das escolhas que você fez antes de perdê-lo. Os códigos estavam sincronizados? Você salvou códigos de backup? O serviço oferece outra forma de recuperar o acesso?

Veja como funcionam essas três camadas, o que você pode fazer se nenhuma delas tiver sido configurada e como se preparar. As etapas exatas variam de um serviço para outro. Por isso, este artigo explica os princípios, e o processo de cada site pode ser consultado na central de ajuda do próprio site.

O que o app armazena e por que perder o celular é um problema

O Google Authenticator mantém os segredos que suas contas usam para calcular os códigos e os gera no próprio celular. O Google informa que isso pode ser feito sem conexão à internet ou serviço de telefonia móvel. Isso é conveniente, mas também significa que a geração dos códigos depende do dispositivo. Portanto, perdê-lo é um problema, a menos que esses segredos estejam salvos em outro lugar.

Primeira camada: sincronização com uma Conta do Google

Segundo o Google, você pode sincronizar seus códigos em todos os seus dispositivos fazendo login na sua Conta do Google. Ao fazer login em um novo dispositivo, eles são sincronizados automaticamente. O Google afirma que os códigos são criptografados durante a transmissão e quando estão armazenados. Se você usar o app sem uma Conta do Google, os códigos ficarão armazenados apenas nesse dispositivo e não estarão disponíveis em nenhum outro lugar.

Essa é a principal diferença quando um celular é perdido. Os códigos sincronizados voltam quando você faz login em um novo dispositivo. Não é possível recuperar pelo app códigos que nunca foram sincronizados ou transferidos. A página de ajuda do Google informa que você precisaria acessar todos os sites em que configurou o app, remover os códigos antigos e vincular novamente o novo dispositivo. A transferência manual é possível, mas, segundo o Google, exige o dispositivo antigo. Portanto, ela só ajuda enquanto você ainda tem acesso a ele.

A sincronização tem uma desvantagem. Sua Conta do Google passa a ser a porta de acesso aos seus códigos, então é ainda mais importante protegê-la. O Google recomenda cadastrar outras formas de Verificação em duas etapas e considerar o uso de chaves de acesso. Se seus códigos parecerem estar faltando depois do login, o Google sugere verificar se você entrou na Conta do Google correta.

Segunda camada: códigos de backup salvos com antecedência

Muitos serviços fornecem códigos de backup de uso único ou uma chave de recuperação quando você ativa a verificação por autenticador. Os códigos de backup de uma Conta do Google têm oito dígitos, cada um fica inativo depois de usado e, ao criar um novo conjunto, os códigos antigos são desativados. O Google também recomenda nunca compartilhá-los e informa que nunca solicita um código de backup fora do momento do login.

As diretrizes de identidade digital do NIST descrevem esses códigos de recuperação como segredos de uso único que você guarda para o caso de perder outro autenticador. Eles não são resistentes a phishing, então mantenha-os offline, e não em uma captura de tela ou anotação na nuvem. A chave de configuração exibida durante o cadastro também é um segredo, pois qualquer pessoa que a tenha pode gerar seus códigos. Portanto, se você a salvou, trate-a como uma senha.

Terceira camada: o processo de recuperação do próprio serviço

Se não houver sincronização nem código de backup, somente o próprio serviço poderá restaurar seu acesso. Esteja preparado para passar por verificações de identidade e, possivelmente, por um período de espera. As orientações do Google dizem que a recuperação funciona melhor em um dispositivo e local que você costuma usar, com um endereço de e-mail de recuperação ao qual tenha acesso. Para contas com Verificação em duas etapas, o Google observa que a verificação pode levar vários dias.

Outras opções de verificação também ajudam nesse caso. O Google informa que, se você perder seu celular principal, poderá confirmar sua identidade usando outro celular conectado à sua conta, outro número de telefone que tenha adicionado ou uma chave de segurança física. Quanto mais formas independentes de acesso você cadastrar com antecedência, menos dependerá do processo de recuperação. O NCSC ressalta que os processos de recuperação costumam ser menos seguros do que o login e que invasores os têm como alvo. Por isso, comece sempre pelos canais oficiais do serviço.

Se o celular foi roubado, e não apenas perdido

Um celular roubado traz um segundo problema, pois outra pessoa pode conseguir acessar os códigos nele. O Google recomenda garantir que outras pessoas não consigam acessar os códigos e usar a opção de apagamento remoto do celular, se disponível. Se seus códigos estiverem sincronizados, você também poderá removê-los retirando o dispositivo da sua Conta do Google. O Google sugere ainda sair da conta no celular perdido. Configurar um bloqueio que precisa ser desbloqueado antes de abrir o app, chamado pelo Google de Tela de privacidade, ajuda a se prevenir.

Lembrete da WEEX: somente o serviço oficial pode restaurar o acesso

A WEEX lembra aos usuários que qualquer pessoa que ofereça “recuperar seu Google Authenticator” e peça um código de verificação, código de backup, código QR, chave de configuração, frase-semente ou acesso remoto ao seu dispositivo é golpista. Use somente os canais de ajuda do site ou app oficial e mantenha os códigos de backup offline. O próprio Google afirma que nunca solicita senhas ou códigos de verificação por e-mail, ligação telefônica ou mensagem. Este conteúdo não é aconselhamento financeiro.

Conclusão

A recuperação após perder um autenticador depende de três camadas: se os códigos estavam sincronizados com uma conta, se você salvou códigos de backup e o que o processo de recuperação do próprio serviço exige. Configurar pelo menos duas dessas opções antes de precisar delas transforma a perda do celular em um contratempo, em vez de impedir seu acesso. Nenhuma pessoa que realmente queira ajudar pedirá os segredos que protegem suas contas.

Perguntas frequentes

1. O que acontece com meus códigos se eu perder o celular com o Google Authenticator?
Se eles estavam sincronizados com uma Conta do Google, voltarão quando você fizer login em um novo dispositivo. Se nunca foram sincronizados ou transferidos, não será possível recuperá-los pelo app. Você precisará de códigos de backup ou do processo de recuperação do serviço.

2. Posso recuperar meus códigos sem o celular antigo?
Somente se eles estavam sincronizados com uma Conta do Google. O Google informa que a transferência manual exige o dispositivo antigo.

3. Os códigos de backup são iguais aos códigos do Google Authenticator?
Não. Os códigos de backup são códigos de uso único fornecidos pelo serviço para quando você não consegue usar sua segunda etapa de verificação habitual. O Google informa que cada código fica inativo depois de ser usado.

4. Quanto tempo leva para recuperar uma conta?
O prazo varia conforme o serviço. Para contas com Verificação em duas etapas, o Google observa que o processo pode levar vários dias.

5. Um serviço oficial pedirá um código ou código QR para recuperar meu autenticador?
Não. O Google afirma que nunca solicita códigos de backup fora do momento do login e que nunca pede senhas ou códigos de verificação por e-mail, ligação telefônica ou mensagem.