Senhas & Dois fatores

Em resumo

• Dois hábitos evitam a grande maioria dos comprometimentos de contas pessoais: uma senha única e forte para cada conta (algo que só um gestor de senhas torna realista), e um segundo fator de autenticação.
• Uma senha é algo que você sabe. Um segundo fator é algo que você tem (um telefone, uma chave) ou algo que você é (uma impressão digital, um rosto). O atacante que rouba um desses ainda precisa dos outros.
• Use um aplicativo de autenticação, não códigos por SMS, quando tiver escolha — as mensagens de texto podem ser interceptadas por ataques de troca de SIM.
• As passkeys são a nova direção. Elas substituem senhas por algo mais seguro que também é mais fácil de usar. Adote-as em contas que as oferecem.
• A conta mais importante da sua vida é o seu e-mail. Proteja-o como um passaporte. Tudo o mais pode ser redefinido a partir dele.

O que é isso

Quando você acessa quase qualquer coisa online, o sistema precisa saber que você é realmente quem diz ser. A forma tradicional é uma senha — um segredo que só você deveria conhecer. O problema com senhas é bem conhecido: as pessoas as reutilizam, as anotam de forma insegura e escolhem senhas fracas. Os atacantes contam com isso.

A autenticação de dois fatores (2FA, às vezes chamada de multifator ou MFA) adiciona uma segunda prova: algo que só o verdadeiro você deveria ter. Mais comumente:

• Um código de seis dígitos de um aplicativo de autenticação no seu telefone (Google Authenticator, Microsoft Authenticator, Authy, Aegis no Android, FreeOTP).
• Um código enviado por SMS — conveniente, mas a mais fraca das opções comuns porque números de telefone podem ser sequestrados.
• Uma notificação push em um aplicativo em que você já confia ("Era você tentando entrar?").
• Uma chave de segurança — um pequeno dispositivo físico que se conecta a uma porta USB ou toca o seu telefone (YubiKey, Google Titan, Nitrokey).
• Uma passkey — uma credencial criptográfica mais recente armazenada no seu telefone ou computador que substitui a senha completamente. Você a desbloqueia com sua impressão digital ou rosto, e o dispositivo prova sua identidade ao site. Nenhuma senha para roubar.

Mesmo um atacante que de alguma forma obtém sua senha não consegue entrar sem o segundo fator. Esse único passo bloqueia a maioria dos comprometimentos de contas.

Como escolher uma senha forte

As regras mudaram, e o antigo conselho estava em grande parte errado.

• Longa supera complicada. Uma frase-senha de 16 caracteres composta por quatro palavras aleatórias é mais forte do que uma mistura de 8 caracteres com símbolos. Os atacantes usam enormes máquinas de adivinhação de senhas; o comprimento importa mais do que a pontuação.
• Única por conta, sempre. Se o banco de dados de um site for roubado e sua senha vazar, cada outra conta em que você usou a mesma senha agora é acessível. É assim que a maioria dos comprometimentos de contas não direcionados acontece de verdade.
• Não inclua informações pessoais que um atacante possa encontrar ou adivinhar: o nome do seu cachorro, seu ano de nascimento, seu time favorito, o nome do seu filho mais o ano de nascimento.
• Não siga padrões previsíveis. "Primavera2025!" estava em um dicionário de quebra de senhas antes de estar no seu monitor.
• Não reutilize, nem com pequenas variações. MinhaSenha1 e MinhaSenha2 são tratadas como a mesma senha pelos atacantes.

A única forma realista de manter dezenas de senhas fortes e únicas é um gestor de senhas. Consulte Gestores de Senhas Explicados para saber como escolher um.

Como escolher um segundo fator

Em ordem de força, para pessoas comuns:

1. Passkey. Onde oferecida, é a melhor. Sem senha alguma. Resistente a phishing por design.
2. Chave de segurança de hardware. Um pequeno dispositivo físico. Resistente a phishing. Melhor para contas de e-mail e bancárias. O custo (25–60 € cada, idealmente duas para ter uma de reserva) é justificado pela proteção que oferece ao seu e-mail e dinheiro.
3. Aplicativo de autenticação. Um aplicativo gratuito no seu telefone que gera um novo código de seis dígitos a cada 30 segundos. Forte, fácil, amplamente suportado.
4. Código SMS. Melhor do que nada. Vulnerável a ataques de troca de SIM. Use-o apenas quando nenhuma outra opção for oferecida; mude para algo melhor assim que a plataforma suportar.
5. Push "Aprovar este login". Conveniente, mas cuidado com os ataques de fadiga MFA — solicitações push repetidas que você não pediu, esperando que você toque em "aprovar" por hábito. Nunca aprove um login que você não iniciou.

Configure isso — nesta ordem

Se você não fizer mais nada esta semana, faça isso. Em uma hora tranquila com um café.

1. Sua conta de e-mail principal primeiro. Esta é a chave mestra. Defina uma senha forte e única. Ative o 2FA mais forte disponível. Adicione um método de recuperação que não seja apenas o seu número de telefone.
2. Seu banco e qualquer conta de pagamento (PayPal, Wise, Revolut, Stripe).
3. A conta que contém seu gestor de senhas em si, com o 2FA mais forte que você puder usar.
4. Contas governamentais e fiscais.
5. Suas contas de redes sociais, porque se comprometidas costumam ser usadas para fazer phishing aos seus amigos e familiares.
6. Sua conta na operadora de telefonia, com um PIN de portabilidade se a sua operadora oferecer um — para tornar a troca de SIM mais difícil.
7. Principais contas de compras online, especialmente as que armazenam endereços de entrega ou métodos de pagamento padrão.

Feito isso, o restante das suas contas pode ser migrado gradualmente conforme você fizer login nelas.

E os códigos de backup?

Quando você ativa o 2FA, a plataforma quase sempre oferece um conjunto de códigos de backup — strings curtas que você pode usar se o seu telefone for perdido. Imprima-os. Coloque-os em um lugar seguro — uma gaveta, um cofre, uma pasta nos documentos da família. Não os guarde como captura de tela no seu telefone ou como nota no seu e-mail, pois ambos podem ser comprometidos junto com a conta.

Se uma plataforma permitir que você registre duas chaves de segurança, registre duas: uma que você usa todos os dias, uma guardada em casa. Perder sua única chave te bloqueia fora da sua conta tão efetivamente quanto perder sua senha.

Configure "Caso eu perca meu telefone"

Planeje para perder o telefone, porque eventualmente vai acontecer.

• Anote (no papel) quais contas usam códigos de aplicativo de autenticação e onde os códigos de backup de cada uma estão guardados.
• Certifique-se de poder recuperar seu e-mail a partir de um e-mail de recuperação ou telefone de recuperação, sem que nenhum dos dois seja apenas o seu telefone atual.
• Diga a uma pessoa de confiança onde os códigos de backup estão guardados — não o que são, apenas onde.
• Considere usar um aplicativo de autenticação que suporte backup criptografado na nuvem, para que ao obter um novo telefone seus códigos sejam restaurados sem perder o acesso. (Authy, Microsoft Authenticator, Google Authenticator agora suportam isso; muitas pessoas preferem alternativas auto-hospedadas como Aegis pela mesma razão.)

O que NÃO fazer

• Não reutilize senhas entre sites. Esta é de longe a causa mais comum de comprometimentos em cascata.
• Não armazene senhas em texto simples — em um aplicativo de notas, em um rascunho de e-mail, em um post-it no monitor. Um gestor de senhas é o lugar seguro.
• Não compartilhe sua senha com a família para contas compartilhadas — use o recurso de compartilhamento familiar da plataforma, ou compartilhe através do compartilhamento seguro do gestor de senhas.
• Não se envie um código de backup por SMS nem armazene códigos de backup em um aplicativo de notas na nuvem na mesma conta que eles protegem.
• Não descarte o 2FA por SMS como inútil — é muito melhor do que nada, e para a maioria dos ataques oportunistas. Mude para um método mais forte quando puder; não recuse o 2FA porque a única opção é SMS.
• Não aprove uma notificação push que você não iniciou. Se os avisos não pararem, mude sua senha imediatamente — alguém a tem.
• Não insira um código em nenhum lugar exceto na página em que você começou a fazer login. Códigos também são roubados via phishing. Uma pessoa educada ao telefone pedindo que você "confirme o código que acabou de receber" é quase sempre um atacante.

Use a IA para te ajudar

Alguns prompts que funcionam bem:

Audite seus hábitos:

"Gostaria de avaliar minha configuração atual de senhas e 2FA. Vou descrever meus hábitos: [onde guardo senhas, se as reutilizo, qual 2FA tenho no meu e-mail, banco, contas sociais]. Por favor me diga (a) meu maior risco, em linguagem simples, (b) as três mudanças que me dariam mais proteção com menos esforço, e (c) a ordem para fazê-las."

Escolher um método:

"Estou configurando a autenticação de dois fatores em [nome da conta]. As opções que me são oferecidas são [liste-as]. Qual é a mais forte, qual é a mais conveniente, e qual tem o melhor equilíbrio? Explique em linguagem simples; assuma que não sou técnico."

Um lembrete: a IA não pode ver suas contas. As respostas que ela fornece são gerais — verifique os passos na página de ajuda oficial da plataforma antes de alterar as configurações de segurança.

A quem ligar

Esta ficha é preventiva, não reativa — não há ninguém para ligar quando você configura as coisas bem. Mas se algo der errado ao configurar o 2FA:

• O processo de recuperação de conta da plataforma é sempre o primeiro passo. Pesquise "[plataforma] recuperação de conta."
• Sua operadora de telefonia se você suspeitar de qualquer interferência relacionada ao SIM durante a configuração.
• Os centros nacionais de cibersegurança publicam guias gratuitos sobre configuração de 2FA — úteis quando você quer uma segunda opinião. UK NCSC (ncsc.gov.uk), BSI für Bürger alemão (bsi.bund.de), BACS suíço (ncsc.admin.ch), CNIL na França, INCIBE na Espanha, Escritório de Segurança Cibernética e da Informação em muitos outros países.

Quando escalar além do chat

• Você não consegue mais acessar seu e-mail — vá direto ao processo de recuperação da plataforma; isso pode levar dias. Se a recuperação falhar, registre um boletim de ocorrência (ajuda a desbloquear a revisão manual pela plataforma) e, enquanto aguarda, mude as senhas em todas as outras contas que usam esse e-mail como recuperação.
• Você configurou o 2FA e agora está bloqueado, sem códigos de backup, sem segundo dispositivo — a maioria das plataformas tem um processo de recuperação mais lento de "verificação de identidade" que envolve enviar um documento de identificação. Tenha paciência e siga-o; não compre serviços que afirmam "desbloquear" contas por uma taxa.
• Você suspeita que alguém está realizando um ataque de fadiga MFA contra você — solicitações indesejadas repetidas no seu telefone — mude a senha imediatamente e desative o SMS/push 2FA em favor de um aplicativo de autenticação ou uma chave de segurança.

Fontes e leitura adicional

• NIST SP 800-63B — orientação atual dos EUA sobre senhas e autenticação
• UK NCSC — orientação sobre três palavras aleatórias
• FIDO Alliance — especificação de passkeys e implementação
• Blogs de segurança da Microsoft / Google — estatísticas publicadas sobre eficácia do 2FA