MFA combina duas ou mais categorias diferentes de fatores. A 2FA usa duas categorias; verificação em duas etapas descreve a quantidade de verificações e não implica automaticamente MFA.
A visão deste site: julgue a MFA pelo método, não por estar ativada
Em contas importantes, revise o método real, a verificação do usuário e a recuperação, além de anotar se MFA está ativada. Um login resistente a phishing pode coexistir com recuperação fraca. Esta é nossa recomendação defensiva, não uma afirmação sobre a causa da maioria das invasões de contas.
Por que você precisa de MFA
Uma senha deve ser tratada como "vai vazar uma hora" por si só. Reutilização, dumps de vazamento, adivinhação e phishing são todas formas de uma senha ser quebrada. A MFA acrescenta um segundo fator para que uma senha quebrada sozinha ainda não deixe ninguém entrar.
A conta de e-mail importa mais que tudo. Muitos serviços recuperam o "esqueci a senha" por e-mail, então no momento em que seu e-mail é tomado, outras contas são resetadas uma após a outra. Por isso o e-mail é a conta a proteger com a MFA mais forte (→ Tier 0 do checklist de baseline).
Como a força difere por método
Mesmo chamados de "dois fatores", os métodos diferem enormemente em força. À esquerda, fraco; à direita, forte. A linha divisória é "pode ser apresentado a um site falso?"
✗ SMS / e-mail
códigos podem sofrer phishing; SMS também depende do número
△ autenticador (TOTP)
mais forte que SMS, mas o código pode ser repassado a um site falso
○ passkey
assinatura vinculada ao domínio; PIN ou biometria quando a verificação é exigida
◎ chave de segurança
uma chave de hardware FIDO2; a mais forte; tenha uma reserva
Códigos por SMS / e-mail
- o código são só dígitos — pode ser colado num site falso
- SIM-swap ataca o recebimento de SMS ou chamadas em um número. E-mail depende da caixa postal e de sua recuperação; os dois tipos de código manual podem sofrer phishing.
- phishing por relay reencaminha o código ao site real, e o SMS não consegue impedir isso
- melhor que nada, mas não basta sozinho para contas importantes
Passkey / chave de segurança (FIDO2)
- a chave é vinculada ao domínio de destino — nenhuma assinatura num site falso
- resistente a phishing por design (não depende do julgamento humano)
- Para usar uma passkey ou chave sozinha como MFA, o serviço precisa exigir e conferir a verificação do usuário por PIN ou biometria. Uma chave também pode ser combinada com senha; apenas tocá-la não representa um segundo fator.
- use isto nas suas contas de e-mail, domínio e pagamento
O que "resistente a phishing" realmente significa
Este é o conceito-chave. Com SMS ou um código de autenticador, no fim um humano tem de julgar com os olhos se está digitando no site certo — mas as pessoas não conseguem diferenciar um domínio clone perfeito. Um passkey ou chave de segurança (FIDO2), por outro lado, sabe para qual domínio ele é, então não retorna assinatura alguma a um site falso. Em outras palavras, mesmo que o humano seja enganado, a chave não assina para o site falso. Essa é a "resistência a phishing", e é a diferença decisiva entre métodos fracos e fortes.
Tabela comparativa (incluindo notificações push)
Esta comparação segue o material da CISA de outubro de 2022; não avalia integralmente todos os serviços. Além de SMS, apps autenticadores e passkeys, as páginas de configuração costumam oferecer mais um método: tocar em "Sim" numa notificação enviada ao seu celular (notificação push). A agência americana de cibersegurança e segurança de infraestrutura (CISA) classifica a MFA da mais forte para a mais fraca assim:
| Método | Digitado num site falso | Pedidos repetidos até você tocar | SIM-swap | Posição (CISA) |
|---|---|---|---|---|
| Passkey / chave de segurança (FIDO2) | nenhuma assinatura é produzida | não se aplica | não se aplica | a mais forte (resistente a phishing) |
| Código de app autenticador (TOTP) | pode ser repassado | não se aplica | não se aplica | segundo nível |
| Notificação push com correspondência de números | pode ser repassada | improvável | não se aplica | segundo nível |
| Notificação push (só botão de aprovar) | pode ser repassada | possível | não se aplica | terceiro nível |
| Código por SMS ou voz | pode ser repassado | não se aplica | possível | último recurso |
O ponto fraco das notificações push é este: assim que tem a senha, o atacante envia pedidos de aprovação repetidamente até o usuário tocar em "Aprovar" por engano ou só para que parem. A CISA chama isso de "push bombing" (fadiga de MFA). A correção é a correspondência de números: você não consegue aprovar sem digitar no app o número mostrado na tela de login. Para contas corporativas e escolares da Microsoft (Microsoft Entra ID), a correspondência de números é obrigatória em toda notificação push do Microsoft Authenticator desde 8 de maio de 2023.
Os códigos manuais e pushes comuns da tabela não são resistentes a phishing. FIDO não é a única tecnologia possível: o NIST também descreve TLS com autenticação do cliente. Este guia foca passkeys e chaves FIDO2 comuns em serviços pessoais; a CISA sugere códigos de app ou push com correspondência numérica como alternativas transitórias.
Por situação: qual método escolher
Você não precisa do mesmo método em todas as contas. Separe-as pelo tamanho do estrago que uma tomada de conta causaria.
| Conta ou situação | Método recomendado | Backup a configurar |
|---|---|---|
| E-mail pessoal (Gmail, Outlook.com etc.) | passkey | um passkey num segundo dispositivo, ou códigos de backup |
| Gerenciador de senhas | passkey ou chave de segurança | uma segunda chave de segurança, mais os dados de recuperação guardados em papel |
| Admin de domínio, servidor ou nuvem | chaves de segurança (duas) | a segunda chave guardada em outro lugar, códigos de recuperação |
| Banco e corretora | o passkey ou outro método que a instituição oferece | o procedimento de redefinição da própria instituição |
| Redes sociais, compras online | passkey; senão, um app autenticador | códigos de backup |
| Um familiar sem smartphone | chaves de segurança (duas); SMS se não der para usá-las | códigos de backup guardados pela família |
Na dúvida, pergunte: "esta conta é usada para recuperar outras contas?" O e-mail e o gerenciador de senhas são a porta de entrada para todo o resto, então essas duas recebem o método mais forte.
Como configurar (a ordem importa)
Comece por e-mail, domínio e pagamentos
MFA no próprio gerenciador de senhas
Sem suporte, use um autenticador (TOTP)
Guarde os códigos de recuperação com segurança
Tenha um fator de backup
Mesmo com MFA, pare de reutilizar senhas
A MFA é seguro, não desculpa para senhas fracas. Em serviços onde só há MFA não resistente a phishing (como SMS), a força e a unicidade da senha ainda são sua principal proteção. Avalie-a com o verificador de força de senha.
Onde configurar nos principais serviços
Aqui está por onde começar (conforme as páginas de ajuda oficiais em outubro de 2026; os nomes das telas podem mudar).
| Serviço | Onde encontrar | Métodos e observações |
|---|---|---|
| Conta do Google | Conta do Google → "Segurança e login" → "Verificação em duas etapas" | passkeys, chaves de segurança, solicitações do Google, app autenticador, SMS ou voz, códigos de backup |
| Conta Microsoft (pessoal) | account.microsoft.com/security → "Manage how I sign in" (gerenciar como entro) → "Additional security" (segurança adicional) → "Two-step verification" (verificação em duas etapas) | também é possível remover a senha e entrar sem ela |
| Conta Apple | Ajustes → [seu nome] → "Início de Sessão e Segurança" → "Autenticação de Dois Fatores" → "Chaves de Segurança" | é preciso adicionar pelo menos duas chaves FIDO Certified (iOS 16.3 ou posterior); depois de adicionada, a chave substitui o código de verificação de seis dígitos |
| GitHub | Settings → "Password and authentication" (senha e autenticação) | passos em como configurar a 2FA do GitHub |
Em qualquer serviço, assim que registrar o primeiro método, configure o método de backup e salve os códigos de backup no mesmo dia. Se deixar para depois, ele não estará lá quando você perder o dispositivo.
Escolhendo um app autenticador ou uma chave de segurança
O que verificar num app autenticador
- se dá para mover os códigos para um celular novo quando você troca de aparelho
- o Google Authenticator oferece sincronização opcional com a Conta do Google desde abril de 2023
- guardar os códigos no gerenciador de senhas é prático, mas, se ele for invadido, os dois fatores vazam do mesmo lugar
- para contas importantes, mantenha os códigos num app separado das suas senhas
O que verificar numa chave de segurança
- escolha um produto com suporte a FIDO2 (FIDO Certified)
- confira se ela se encaixa nas portas dos seus dispositivos (USB-A, USB-C) ou tem NFC para celulares
- compre duas desde o início e registre as duas na mesma conta
- leve uma com você e guarde a outra em outro lugar, como em casa
Como verificar a sua própria configuração
Faça a Verificação de segurança do Google
Revise os métodos de login da sua conta Microsoft
No iPhone, confira números confiáveis e chaves
Liste o método de cada conta
Entre de fato usando o backup
Erros comuns e como corrigi-los
- Adicionar um passkey mas deixar o SMS ainda capaz de entrar ou redefinir a conta: remova o SMS onde o serviço permitir; onde não permitir, confirme que o número registrado ainda é seu.
- Tocar num pedido de aprovação que você não esperava: sempre negue pedidos que chegam quando você não está fazendo login e depois troque a senha dessa conta.
- Guardar os códigos de backup como foto ou captura de tela no celular: perca o celular e você os perde junto. Guarde-os no gerenciador de senhas ou em papel em outro lugar.
- Pode ser necessária uma chave reserva ou outra recuperação aceita.
- Apagar o celular antigo primeiro ao trocar de aparelho: confirme que o app autenticador e os passkeys funcionam no celular novo antes de apagar o antigo.
- Ler um código em voz alta quando alguém pede por telefone ou mensagem: mesmo que digam ser o serviço ou o suporte da sua própria empresa, nunca passe o código a ninguém.
Um caso real: um código entregue
A DentaQuest, que administra benefícios odontológicos e oftalmológicos nos EUA, enviou notificações aos procuradores-gerais estaduais sobre um acesso não autorizado em maio de 2026. Segundo a notificação, a porta de entrada foi um funcionário enganado por engenharia social a fornecer credenciais e um código de autenticação multifator. Na notificação atualizada de 3 de agosto, a empresa disse ter identificado mais de 27,4 milhões de pessoas em todo o país. A notificação não diz que tipo de MFA estava em uso.
O que este caso mostra é que um código que uma pessoa pode ler em voz alta ou digitar pode ser entregue quando essa pessoa é enganada. Para quem administra contas, a resposta tem duas partes:
- migrar as contas importantes para métodos que não podem ser entregues, como passkeys e chaves de segurança
- fazer o suporte confirmar a identidade de quem liga antes de redefinir os métodos de autenticação de alguém
A linha do tempo completa e o que os beneficiários devem fazer estão em o vazamento de dados da DentaQuest (em inglês).
O que este site faz
Este site blinda suas contas importantes (especialmente e-mail, domínios, admin de servidor e pagamentos) com MFA resistente a phishing sempre que possível. A razão é simples: se uma delas for tomada, as outras contas podem ser tomadas junto. Logins diários vivem num gerenciador de senhas, e o próprio gerenciador carrega MFA.
E não paramos em "a MFA está ativada" — revisamos periodicamente qual método está no lugar. Quando encontramos uma conta importante com só SMS, tratamos isso como um ponto fraco e priorizamos elevá-la a um passkey/chave de segurança. Gerenciar por força, não por presença — essa é nossa política.
Fontes
-
NIST SP 800-63-4 / SP 800-63B-4 — NIST: authentication factors / NIST: phishing resistance
-
FIDO Alliance — Passkeys FAQ: user verification
-
CISA, "Implementing Phishing-Resistant MFA" (outubro de 2022) — cisa.gov (PDF) (formas de MFA da mais forte à mais fraca, push bombing, SIM-swap)
-
CISA, "Implementing Number Matching in MFA Applications" (outubro de 2022) — cisa.gov (PDF)
-
Microsoft Learn, "How number matching works in MFA push notifications for Authenticator" — learn.microsoft.com
-
Ajuda da Conta do Google, "Turn on 2-Step Verification" — support.google.com
-
Suporte da Microsoft, "How to use two-step verification with your Microsoft account" — support.microsoft.com
-
Suporte da Apple, "About Security Keys for Apple Account" — support.apple.com
-
Google Security Blog, "Google Authenticator now supports Google Account synchronization" (24 de abril de 2023) — security.googleblog.com
-
Notificações da DentaQuest ao procurador-geral do estado de Washington (16 de julho de 2026, atualizada em 3 de agosto) — atg.wa.gov
Leia a seguir
- Configurações do GitHub: Como configurar a autenticação de dois fatores no GitHub
- Verificar uma invasão: Como verificar se alguém acessou sua conta (histórico de login, aparelhos conectados)
- Um caso real: DentaQuest — um funcionário enganado a entregar um código de MFA (em inglês)
- Fundamentos: o checklist de baseline de segurança (e-mail, domínio e pagamentos primeiro)
- Armazenamento: como armazenar senhas com segurança
- Glossário: SPF/DKIM/DMARC (autenticação de e-mail anti-spoofing)
- Glossário: o que é phishing (a ameaça para a qual a MFA resistente a phishing foi feita)
- Glossário: o que é 2FA / o que é uma senha de uso único (OTP) (os termos dos métodos, organizados)
- Sem senha: O que é passkey? Chave pública, resistência a phishing e sincronização
- Ferramenta: verificador de força de senha