Com a autenticação de dois fatores (2FA), uma senha vazada sozinha não basta para ninguém entrar. Veja como ela difere da verificação em duas etapas, frequentemente confundida com ela, e como os métodos se comparam (sem passos de ataque).
A diferença entre "dois fatores" e "duas etapas"
As palavras se parecem, mas fica simples quando você tem o objetivo em mente. Os fatores de autenticação caem em três categorias:
A autenticação de dois fatores (2FA) mistura duas categorias diferentes (por exemplo, senha = conhecimento + um aplicativo autenticador = posse). O ponto: se uma é quebrada, uma categoria diferente ainda resiste, então um invasor não consegue entrar.
A verificação em duas etapas (2SV), por outro lado, significa apenas "verificar duas vezes", e ambas as etapas podem ser da mesma categoria (senha + pergunta de segurança são duas etapas, mas não dois fatores). Então, se você realmente quer força, a chave é misturar categorias diferentes.
Força do método: depende de um site falso conseguir roubar o que você digita
Mesmo com o 2FA ligado, a força varia muito conforme o método. O fator decisivo é se você poderia entregar acidentalmente a "prova" a um site falso.
Forte ── Passkey / chave de segurança (FIDO2)
Assinatura vinculada ao domínio — estruturalmente não pode ser apresentada a um site falso (resistente a phishing)
Médio ── Aplicativo autenticador (TOTP)
Mais forte que SMS, mas um humano lê o código — então ele pode ser entregue a um site falso
Fraco ── Códigos por SMS / e-mail
códigos podem sofrer phishing; SMS também depende do número
Fraco: códigos por SMS / e-mail
- um humano lê e digita o código — então ele pode ser entregue direto a um site falso
- SIM-swap ataca o recebimento de SMS ou chamadas em um número. E-mail depende da caixa postal e de sua recuperação; os dois tipos de código manual podem sofrer phishing.
- ainda assim claramente mais forte que só uma senha (muito melhor que nada)
Forte: passkey / chave de segurança (FIDO2)
- a assinatura é vinculada ao domínio do site — impossível de apresentar a um site falso
- Para usar uma passkey ou chave sozinha como MFA, o serviço precisa exigir e conferir a verificação do usuário por PIN ou biometria. Uma chave também pode ser combinada com senha; apenas tocá-la não representa um segundo fator.
- um aplicativo autenticador (TOTP) fica no meio — mais forte que SMS, mas ainda apresentável a um site falso
2FA vs verificação em duas etapas vs MFA vs OTP vs passkey
Há muitos termos parecidos porque palavras para uma ideia e palavras para um método acabam se misturando.
| Termo | O que significa | Exemplo |
|---|---|---|
| Autenticação de dois fatores (2FA) | A ideia de combinar dois tipos diferentes de prova | Senha + código do aplicativo autenticador |
| Autenticação multifator (MFA) | A ideia de combinar dois ou mais tipos diferentes de prova (inclui o 2FA) | assinatura vinculada ao domínio; PIN ou biometria quando a verificação é exigida |
| Verificação em duas etapas (2SV) | Verificar duas vezes (as duas podem ser do mesmo tipo) | Senha + pergunta de segurança |
| Senha de uso único (OTP) | Um código de uso único muito usado como segunda prova | Códigos de um aplicativo autenticador, SMS ou e-mail |
| Passkey | Um método de login que assina com uma chave privada no seu dispositivo | Desbloquear com impressão digital ou rosto para entrar |
2FA e MFA descrevem o que precisa ser atendido; OTP e passkeys descrevem como isso é atendido. Os códigos estão explicados em o que é uma senha de uso único (OTP), e as assinaturas em o que é uma passkey. Mesmo quando a tela de um serviço diz "verificação em duas etapas", o que está por trás muitas vezes é 2FA, como senha mais aplicativo autenticador, então julgue pelo método real.
Quanto o 2FA impede
Um estudo de 2023 de pesquisadores da Microsoft, que analisou usuários da nuvem da empresa, concluiu que contas com MFA ativado tinham um risco de comprometimento 99,22% menor no geral, e 98,56% menor mesmo quando credenciais vazadas eram usadas. A maioria dos sequestros por reuso ou vazamento de senha é barrada só por ligar o 2FA, qualquer que seja o método.
Ainda há coisas que o 2FA não impede.
- Digitar em um site falso: códigos por SMS e de aplicativo autenticador digitados em um site falso são retransmitidos ao verdadeiro. Passkeys e chaves físicas impedem isso
- Recuperação fraca: se uma conta pode ser restaurada só com um SMS ou com o e-mail cadastrado, esse vira o caminho de entrada
- Contas sem 2FA: se os atacantes entram por um e-mail de trabalho ou pela conta de um serviço de terceiros sem 2FA, suas outras defesas não ajudam
Um incidente divulgado: separar causas e medidas recomendadas
No comunicado de 1º de agosto de 2019, o grupo operador considerou provável um ataque usando listas de IDs e senhas obtidos ilicitamente. Esta é a avaliação da empresa naquele momento, não a afirmação de que todas as rotas estavam estabelecidas. O mesmo comunicado afirmou que não havia encontrado casos em que integração com IDs externos, lembretes ou redefinições por chat fossem a causa direta. 808 pessoas e 38,615,473 ienes em 31 de julho de 2019, às 17h, incluindo recargas e usos indevidos. São os números datados do comunicado de 1º de agosto, não um total final declarado. fraude no 7pay (2019).
Desde então, mais serviços tornam o 2FA obrigatório em vez de deixá-lo a critério dos usuários. A partir de março de 2023, o GitHub vem exigindo o 2FA de forma progressiva para usuários que contribuem com código (configuração em configurando o 2FA no GitHub). Quando classificamos os principais incidentes divulgados no Japão em agosto de 2026, mais deles começaram por credenciais legítimas — o Microsoft 365 de um terceirizado, e-mail de trabalho, credenciais do GitHub — do que por vulnerabilidades exploradas (como os vazamentos de 2026 no Japão começaram, em inglês).
Como verificar suas próprias contas
Defina a ordem
Comece pelo e-mail e pelo gerenciador de senhas, porque ambos são usados para redefinir ou gerenciar suas outras contas. Depois o seu domínio, a nuvem e o GitHub, e então banco, corretora e pagamentos.
Verifique o método de 2FA de cada conta
Nas configurações de segurança, veja se o 2FA está ligado e qual método ele usa. Se for um código por SMS ou e-mail, adicione um aplicativo autenticador ou uma passkey e torne-o o preferido. Os métodos estão comparados em escolhendo MFA do jeito certo.
Prepare códigos de recuperação e um segundo método
Salve os códigos de recuperação em um lugar que não seja o celular, como o seu gerenciador de senhas. Registre também um segundo método, como uma passkey reserva ou uma chave física.
Revise seu e-mail e telefone de recuperação
Confirme que o e-mail e o número de telefone de recuperação cadastrados ainda são seus, e que a própria conta de e-mail de recuperação tem 2FA. Para verificar se a sua senha já vazou, veja como verificar se sua senha vazou.
Se você administra outras pessoas, torne o 2FA obrigatório
Para e-mail corporativo, organizações do GitHub e consoles de administração de nuvem, não deixe o 2FA opcional; exija-o nas configurações da organização. Peça que contas de administrador usem passkeys ou chaves físicas.
A visão deste site: ligue primeiro, depois migre para métodos que você 'não consegue entregar'
A falha de 2FA mais comum é pensar demais em "qual é o mais forte" e acabar sem nenhum. A prioridade é clara: primeiro ligue algum 2FA em todas as contas, depois migre suas contas mais importantes (e-mail, domínio, pagamentos) para um método que você não consegue entregar a um site de phishing (passkeys).
Este site não conta "identificar o site falso prestando atenção" como estratégia de defesa. Em vez de vigilância humana, apoie-se em métodos onde a prova estruturalmente não pode ser entregue a um site falso.
Fontes (primárias)
- NIST SP 800-63B-4, "Digital Identity Guidelines: Authentication and Authenticator Management" (julho de 2025) — pages.nist.gov (fatores de autenticação, resistência a phishing, métodos pela rede telefônica restritos)
- Meyer et al., "How effective is multifactor authentication at deterring cyberattacks?" (Microsoft, 2023) — arxiv.org (o MFA reduziu o risco de comprometimento em 99,22%, e em 98,56% com credenciais vazadas)
- CISA, "Implementing Phishing-Resistant MFA" (outubro de 2022) — cisa.gov (PDF) (formas de MFA da mais forte à mais fraca, SIM-swap mirando o SMS)
- GitHub Docs, "About mandatory two-factor authentication" — docs.github.com (exigência progressiva desde março de 2023)
- Comunicado do grupo operador sobre encerramento, investigação e resposta (2019-08-01) — 7andi.com
Leia a seguir
- Configurações do GitHub: Como configurar a autenticação de dois fatores no GitHub
- Glossário: o que é uma senha de uso único (OTP) (como funcionam os códigos do aplicativo autenticador: TOTP/HOTP/SMS) · o que é uma passkey (o método mais forte, que não pode ser entregue a um site falso)
- Glossário: o que é phishing (entenda os ataques AiTM que miram o 2FA)
- Aprenda: escolhendo MFA do jeito certo (seleção de método na prática)
- Caso: fraude no 7pay (2019)