Autenticação em duas etapas: porque é que os SMS já não chegam e o que usar hoje

O problema silencioso da autenticação por SMS

Durante anos, receber um código por SMS foi sinónimo de segurança extra. Hoje, essa perceção está desatualizada. Ataques de SIM swapping — em que criminosos convencem a operadora a transferir o teu número para outro cartão — continuam a crescer em Portugal, e a Polícia Judiciária tem alertado repetidamente para o aumento de casos ligados a acessos indevidos a contas bancárias e carteiras de criptomoedas. O SMS, por natureza, viaja em redes que nunca foram desenhadas para transportar segredos.

Como funciona um ataque de SIM swap

O esquema é mais simples do que parece. O atacante recolhe dados pessoais teus (muitas vezes obtidos em fugas de dados ou por phishing), contacta a operadora fingindo ser tu, alega perda do telemóvel e pede a portabilidade do número para um novo cartão SIM. A partir do momento em que o teu número deixa de estar ativo no teu equipamento, todos os códigos de verificação enviados por SMS chegam ao criminoso — incluindo os do banco, do e-mail e das redes sociais.

Aplicações autenticadoras: o mínimo aceitável

A alternativa mais acessível chama-se TOTP (Time-based One-Time Password). Apps como o Google Authenticator, Microsoft Authenticator, Aegis (Android) ou Raivo (iOS) geram códigos de seis dígitos que mudam a cada 30 segundos, diretamente no teu dispositivo, sem depender da rede móvel. Basta ativares a autenticação em duas etapas na conta que queres proteger, escolheres a opção "app autenticadora" e leres o código QR.

Dica prática: guarda os códigos de recuperação num gestor de palavras-passe ou impressos em local seguro. Se perderes o telemóvel sem ter cópia, podes ficar de fora da tua própria conta.

Chaves de segurança físicas: o padrão-ouro

Se queres o nível mais alto de proteção, o caminho são as chaves FIDO2/WebAuthn — pequenos dispositivos USB, NFC ou USB-C como as YubiKey, as Google Titan ou as Token2. Funcionam como uma chave de casa: sem o objeto físico, ninguém entra, nem mesmo com a tua palavra-passe. São imunes a phishing, porque o navegador só liberta a autenticação para o domínio correto.

Custam entre 25 e 60 euros, e a recomendação clássica é comprar duas: uma para uso diário, outra guardada num sítio seguro como cópia de segurança.

Passkeys: adeus palavras-passe?

A grande novidade dos últimos meses é a adoção massiva das passkeys. Google, Apple, Microsoft, Amazon, PayPal e cada vez mais serviços portugueses (incluindo alguns bancos) já permitem entrar apenas com o Face ID, a impressão digital ou o PIN do dispositivo. Por trás, é a mesma tecnologia FIDO2 das chaves físicas, mas integrada no telemóvel ou computador.

Vantagens: nada para memorizar, resistente a phishing, sincronização entre dispositivos via iCloud Keychain, Google Password Manager ou gestores como o 1Password e o Bitwarden. Desvantagem: se dependes de um único ecossistema e perdes acesso à conta principal, a recuperação pode ser dolorosa.

Guia prático: por onde começar hoje

1. Faz a lista das tuas contas críticas: e-mail principal, banco, Segurança Social, Finanças, redes sociais, cloud.

2. Começa pelo e-mail. É a porta que abre todas as outras — se comprometerem o teu Gmail ou Outlook, podem redefinir palavras-passe em cascata.

3. Substitui o SMS por uma app autenticadora sempre que possível. No banco, se só oferecerem SMS, pergunta se têm app própria com aprovação por notificação (a maioria dos bancos portugueses já tem).

4. Ativa passkeys nas contas Google, Apple e Microsoft. Demora dois minutos e reduz drasticamente o risco.

5. Considera uma chave física para o e-mail principal e para o gestor de palavras-passe. É o investimento com melhor retorno em segurança pessoal.

O que pedir à tua operadora

MEO, NOS, Vodafone e Digi permitem definir um PIN adicional ou palavra-chave para pedidos de portabilidade e substituição de cartão. Liga ao apoio ao cliente e pede explicitamente para ativar essa proteção. É gratuito, demora cinco minutos e é a forma mais eficaz de travar um SIM swap antes de ele acontecer.

Conclusão

A autenticação em duas etapas continua a ser a medida individual com maior impacto na tua segurança digital. Mas nem todas as "duas etapas" são iguais: o SMS já pertence ao passado, as apps autenticadoras são o mínimo recomendável, e as passkeys combinadas com chaves físicas representam o presente. Trata as tuas contas críticas como tratas a porta de casa — não deixavas a chave debaixo do tapete, não deixes o segundo fator num canal que qualquer atacante determinado consegue intercetar.

Siga o NetThings no Google News

Fique a par de todas as novidades tecnológicas em tempo real.

⭐ SEGUIR NO GOOGLE NEWS

Acompanhe-nos também em:

FACEBOOK INSTAGRAM X