2FA: do SMS à passkey
Aula 5 de 16 do curso “Cibersegurança do zero”. Grátis, com animações e teste.
Uma segunda fechadura
A autenticação em dois fatores (2FA) é quando, além da senha, é preciso algo mais: um código, uma confirmação no celular ou uma chave. Vazou a senha, a porta continua fechada. No estudo do Google de 2019, até o código por SMS barrou todos os ataques de robôs e 96% do phishing em massa. Mas contra ataques direcionados a diferença é enorme: SMS 76%, confirmação no celular 90%, chave física 100%.
O ponto fraco do SMS
Em janeiro de 2024 sequestraram a conta no X da SEC, o regulador financeiro dos EUA. Os golpistas convenceram a operadora a passar o número da SEC para o chip deles. Isso é SIM swap. A 2FA estava desligada, redefiniram a senha pelo número e publicaram um post falso sobre a aprovação de ETFs de bitcoin. Nem códigos por SMS ajudariam: iriam para os golpistas. Protege um app autenticador ou uma chave.
A escada, do pior ao melhor
Sem 2FA: basta uma senha. SMS: melhor que nada, mas o código pode ser interceptado com SIM swap ou arrancado por phishing. Um app autenticador (Google Authenticator, Microsoft Authenticator e parecidos) gera um código no celular a cada 30 segundos; a operadora não intercepta. Mas ainda dá para digitá-lo num site falso. Cuidado com notificações push: em 2022 o invasor da Uber bombardeou um funcionário com pedidos até ele tocar em “Sim”.
Passkey: uma senha que não dá para pescar
Passkey é uma chave de acesso no lugar da senha. O celular ou notebook guarda a parte secreta e confirma o login com digital ou rosto. A chave fica presa ao endereço exato do site, então no binance-verify.com não funciona, mesmo que você tenha acreditado no visual. Uma chave física, um pequeno dispositivo USB como a YubiKey, funciona igual. Google, Apple, Microsoft e muitas corretoras, Binance incluída, aceitam passkey. Sempre que puder, escolha.
O que o Dan ativa hoje
E-mail: passkey e, como reserva, um app autenticador. Corretora: passkey em vez de SMS. Gerenciador de senhas: app autenticador. O Dan tira o número de telefone como forma de login onde há algo melhor. E já guarda os códigos de reserva em papel em casa: se o celular cair na água, sem eles pode perder o acesso para sempre. No treino, ordene os métodos de 2FA por força.
Teste-se
- Por que o código SMS é a 2FA mais fraca?
Resposta certa: O número pode ser roubado com SIM swap, e os códigos vão para o golpista. O código está ligado ao número, e o número a uma operadora que pode ser enganada. Assim roubaram a conta da SEC em 2024. - À noite o Dan recebe o décimo pedido “É você entrando?” e está deitado. O que fazer?
Resposta certa: Tocar “Não” e trocar a senha na hora: alguém sabe dela. Os pedidos significam que alguém já tem a senha. O segundo fator segura a porta, mas não para sempre: troque a senha. - Por que a passkey protege até de uma cópia perfeita do site?
Resposta certa: A chave é presa ao endereço exato e não funciona em outro. Você pode acreditar numa falsificação, a chave não: ela confere o endereço, não o visual.
← Gerenciador de senhas: lembrar só uma E-mail e número: as chaves-mestras →