Autenticação em dois fatores: aplicativo, SMS ou chave física?

Uma senha forte continua importante, mas já não é suficiente para proteger contas críticas. Vazamentos, páginas falsas e reutilização de credenciais permitem que criminosos consigam uma senha sem atacar diretamente a empresa. A autenticação em dois fatores, conhecida como 2FA ou MFA, adiciona uma segunda prova antes de liberar o acesso.

O ponto que costuma gerar dúvida é a escolha do método. Receber um código por SMS, gerar códigos em um aplicativo ou usar uma chave física não oferece exatamente o mesmo nível de proteção.

SMS: melhor do que apenas a senha

O SMS é fácil de ativar e funciona em praticamente qualquer celular. Para muitas contas, já representa um avanço importante. A fragilidade está na dependência da linha telefônica. Golpes de troca de chip, falhas de atendimento da operadora e engenharia social podem permitir que outra pessoa receba o código.

Se o SMS for a única opção disponível, use-o. Apenas evite tratá-lo como a proteção máxima para e-mail administrativo, banco, hospedagem e gerenciador de anúncios.

Aplicativo autenticador: bom equilíbrio

Aplicativos autenticadores geram códigos temporários no próprio aparelho e não dependem do sinal da operadora. Isso reduz o risco de interceptação por troca de chip. Eles são uma escolha prática para equipes pequenas, desde que a recuperação seja planejada.

Ao ativar, guarde os códigos de recuperação em local seguro e separado do celular. Se a empresa troca aparelhos ou demite um colaborador, os acessos devem ser revisados imediatamente.

Chave física e passkeys: proteção mais forte

Uma chave de segurança confirma o acesso por meio de um dispositivo físico. Passkeys usam criptografia e podem ficar protegidas pelo aparelho ou por um gerenciador. Esses métodos resistem melhor a páginas falsas, porque a autenticação é vinculada ao serviço correto.

Para contas que controlam domínio, e-mail, pagamentos e infraestrutura, uma chave física ou passkey é a opção mais robusta. O ideal é registrar pelo menos duas chaves, mantendo uma reserva guardada.

Qual método usar em cada situação

• E-mail principal e administrador do domínio: chave física ou passkey.
• Hospedagem, nuvem e banco: chave física, passkey ou aplicativo autenticador.
• Redes sociais e ferramentas de marketing: aplicativo autenticador, preferindo passkey quando houver.
• Serviços que só oferecem SMS: ative o SMS e proteja a conta da operadora.

Evite um novo ponto único de falha

Não adianta ativar 2FA e deixar todos os códigos de recuperação em uma nota aberta no mesmo celular. Documente quais contas usam cada método, quem é o responsável e como recuperar o acesso. Contas compartilhadas devem ser substituídas por usuários individuais sempre que possível.

A melhor proteção é a que combina método forte com processo simples. Comece pelas contas que poderiam parar a operação ou causar prejuízo financeiro. Em seguida, amplie para o restante da equipe.

Fonte: CISA