Uma palavra-passe sozinha é uma fechadura fraca - pode vazar, ser adivinhada ou ser alvo de phishing. A autenticação multifator (MFA) corrige isso ao pedir mais do que uma prova de que és mesmo tu. É o passo mais eficaz que podes dar para proteger uma conta. Este guia explica o que é a MFA, que tipos de fatores existem e como difere da 2FA.
A resposta curta
A autenticação multifator significa que precisas de duas ou mais provas separadas para entrar, não apenas de uma palavra-passe. Um exemplo clássico é a tua palavra-passe mais um código de uso único do telemóvel. A ideia é simples: mesmo que um atacante roube um fator, não consegue entrar sem os outros. Só isso já trava a maioria dos ataques às contas.
Os três tipos de fatores
Um segundo fator verdadeiro tem de vir de uma categoria diferente da tua palavra-passe. Existem três:
- Algo que sabes - uma palavra-passe, um PIN ou uma pergunta de segurança.
- Algo que tens - o teu telemóvel, uma app de autenticação ou uma chave de segurança física.
- Algo que és - uma biometria, como uma impressão digital ou o reconhecimento facial.
Combinar duas categorias é o que torna a proteção forte. Duas palavras-passe não são multifator; uma palavra-passe mais um código do telemóvel são.
MFA vs 2FA
As pessoas usam estes termos como sinónimos, mas há uma pequena diferença. A autenticação de dois fatores (2FA) usa exatamente dois fatores. A autenticação multifator é o termo geral para dois ou mais. Por isso, toda a configuração de 2FA é MFA, mas a MFA também pode significar três fatores. O princípio é o mesmo: misturar categorias para que uma só prova roubada nunca chegue.
Como o código de seis dígitos é realmente calculado
É a parte que quase todos os guias saltam, e é justamente a que explica os comportamentos estranhos com que já se cruzou.
A sua aplicação de autenticação segue uma norma pública, o RFC 6238, que descreve o TOTP. O RFC define-o como a variante temporal de um algoritmo anterior, o HOTP: um valor T, derivado de uma referência de tempo e de um passo de tempo, substitui o contador C no cálculo do HOTP.
A fórmula cabe numa linha: TOTP = HOTP(K, T), em que T = (hora Unix atual - T0) / X.
Dois ingredientes, portanto. K é o segredo partilhado, aquele que o código QR entrega no momento da ativação. T não é mais do que o relógio, cortado em fatias de X segundos. O RFC recomenda um passo predefinido de 30 segundos, apresentado explicitamente como um equilíbrio entre segurança e usabilidade.
Consequência direta: o seu telemóvel nunca fala com o servidor. Os dois lados guardam o mesmo segredo e leem o mesmo relógio, por isso cada um calcula o mesmo código por sua conta. É por isso que os códigos continuam a aparecer em modo de voo, e é aí que está a diferença real face a um SMS, que tem de viajar pela rede.
Explica também a falha mais frequente. Se o relógio do telemóvel se desviar, os seus códigos passam a estar errados, sem que mais nada tenha mudado. O RFC prevê isso e recomenda que o validador admita apenas um número limitado de passos de desvio, mais no máximo um passo para o atraso da rede. Para além disso, recusa. Voltar a colocar a hora em automático resolve quase todos os casos.
Por que a MFA é importante
As palavras-passe falham a toda a hora. Vazam em fugas de dados, são reutilizadas em vários sites e são entregues em golpes de phishing todos os dias. Uma palavra-passe sozinha é um único ponto de falha. A MFA remove essa fraqueza - uma palavra-passe roubada é inútil sem o segundo fator, e é por isso que trava a esmagadora maioria dos ataques automáticos de roubo de conta. Os fatores mais fortes são as chaves de segurança físicas e as passkeys, que resistem ao phishing muito melhor do que os códigos por SMS.
Como ativar
Ativa a MFA primeiro nas tuas contas mais importantes: e-mail, banco e gestor de palavras-passe, porque esses dão acesso a tudo o resto. Nas definições de segurança de cada conta, procura a verificação "de dois fatores" ou "em duas etapas" e prefere uma app de autenticação ou uma chave física à SMS. Um gestor de palavras-passe facilita isto - guarda palavras-passe únicas para cada conta e pode manter os teus códigos de autenticação num só lugar.
Palavras-passe únicas + códigos de autenticação - BitwardenGestor de palavras-passe open-source e auditado que guarda uma palavra-passe única e forte e códigos TOTP de dois fatores para cada conta - e protege o teu cofre com MFA→Os tipos de fator de MFA ordenados por segurança (e por que a SMS é fraca)
Nem todos os segundos fatores são iguais. Formam uma hierarquia clara, do mais fraco ao mais forte. Qualquer um deles supera uma palavra-passe sozinha - mas, se puderes escolher, opta pelo topo da lista.
| Segundo fator | Robustez | A ressalva honesta |
|---|---|---|
| Código de uso único por SMS | O mais fraco (mas melhor do que nada) | Vulnerável ao SIM-swap e à interceção |
| Código por e-mail | Fraco | Só tão forte quanto a segurança da tua conta de e-mail |
| Código por app (TOTP) | Bom | Sujeito a phishing se introduzires o código num site falso |
| Aprovação por notificação («autorizar este início de sessão?») | Bom | Risco de «fadiga de MFA» - aprovar por descuido |
| Chave de segurança física / passkey | O mais forte | Custa dinheiro / precisa de um dispositivo compatível |
Por que a SMS é o elo fraco: o SIM-swapping. Um atacante convence o teu operador móvel a passar o teu número para um cartão SIM que ele controla - muitas vezes com dados pessoais obtidos em fugas de dados e por engenharia social. Quando o teu número passa a ser dele, cada código SMS é entregue diretamente ao atacante, e o teu «segundo fator» protege-o a ele em vez de a ti. Os códigos SMS também podem ser intercetados na rede. É um ataque documentado e real, e por isso as recomendações de segurança têm-se afastado da SMS como segundo fator principal.
Por que as chaves físicas e as passkeys ganham. Uma chave de segurança física ou uma passkey está ligada ao endereço do site verdadeiro. Se um site de phishing tentar usá-la, a chave simplesmente recusa - não tem nada para introduzir nem nada para roubar. É essa ligação criptográfica que as torna resistentes ao phishing de uma forma que os códigos nunca conseguem. Usa a SMS só quando nada melhor for oferecido; recorre a uma app de autenticação ou a uma chave sempre que puderes.
Como ativar a MFA nas tuas contas importantes (na prática)
Não precisas de proteger tudo de uma vez. Segue uma lista de prioridades, porque algumas contas dão acesso a todas as outras.
- Começa pelo teu e-mail. É a chave-mestra da tua vida digital - as recuperações de palavra-passe de quase todas as outras contas chegam lá. Protege-o primeiro.
- Depois o gestor de palavras-passe e o banco. Guardam ou protegem os teus dados mais sensíveis, por isso um segundo fator importa mais aqui.
- A seguir, redes sociais, armazenamento na nuvem e contas de compras que guardam dados de pagamento.
Para cada conta, os passos são, em geral, os mesmos:
- Abre Definições → Segurança (por vezes «Início de sessão e segurança»).
- Procura a verificação de dois fatores, em duas etapas ou multifator e inicia a configuração.
- Escolhe o método mais forte oferecido - uma chave física ou uma passkey, se disponível, e, caso contrário, uma app de autenticação em vez da SMS.
- Se usares uma app de autenticação, lê o código QR; a app começa a gerar códigos de seis dígitos.
- Guarda os códigos de cópia de segurança ou de recuperação que o serviço te dá, num local seguro e offline. Permitem-te voltar a entrar se perderes o telemóvel ou a chave - sem eles, podes ficar bloqueado de forma permanente.
Um gestor de palavras-passe torna todo o processo mais fluido: pode guardar juntos uma palavra-passe única e os códigos TOTP de cada conta, para que iniciar sessão seja um passo em vez de dois. Pondera registar uma segunda chave física como cópia de segurança para as tuas contas mais críticas, guardada noutro local seguro.
Perguntas frequentes
A MFA é o mesmo que a 2FA?
Quase. A autenticação de dois fatores usa exatamente dois fatores; a autenticação multifator significa dois ou mais. Toda a 2FA é MFA, mas a MFA também pode envolver três fatores. Na fala do dia a dia, os termos usam-se como sinónimos.
Por que a MFA por SMS é considerada fraca?
Por causa do SIM-swapping: um atacante pode enganar o teu operador para transferir o teu número para um SIM que ele controla, ficando depois os teus códigos por SMS entregues a ele. A SMS também pode ser intercetada. Continua a ser melhor do que nenhum segundo fator, mas uma app de autenticação ou uma chave física é muito mais segura.
O que acontece se eu perder o telemóvel ou a chave de segurança?
É exatamente para isto que servem os códigos de recuperação de reserva. Quando ativas a MFA, o serviço dá-te códigos de uso único - guarda-os em segurança e offline. Registar uma segunda chave física, ou manter os teus códigos num gestor de palavras-passe, também te protege. Sem qualquer cópia de segurança, podes ficar bloqueado.
Preciso de MFA se já tenho uma palavra-passe forte e única?
Sim. Uma palavra-passe forte é a tua primeira linha de defesa, mas uma palavra-passe pode na mesma ser alvo de phishing, vazar numa fuga de dados ou ser capturada por malware. A MFA acrescenta uma segunda barreira independente, para que uma palavra-passe comprometida sozinha não chegue para entrar.
Em resumo
A autenticação multifator significa provares quem és com dois ou mais fatores de categorias diferentes, para que uma palavra-passe roubada sozinha não consiga abrir a tua conta. É o hábito de segurança com maior impacto que existe. Os fatores formam uma classificação clara - a SMS é a mais fraca por causa do SIM-swapping, enquanto as chaves físicas e as passkeys são as mais fortes porque resistem por completo ao phishing. Ativa-a em todo o lado onde for oferecida, dá preferência a uma app de autenticação, a uma chave de segurança física ou a uma passkey em vez da SMS, guarda os teus códigos de cópia de segurança, e começa pelas contas que protegem todas as outras.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Proteja as suas contas → NordPassPalavras-passe fortes e únicas · scanner de fugas · plano gratuito→Perguntas frequentes
O que é a autenticação multifator em termos simples?
A autenticação multifator, ou MFA, significa que precisas de duas ou mais provas separadas para entrar, não apenas de uma palavra-passe. Um exemplo típico é introduzir a tua palavra-passe e depois um código de uso único do telemóvel. Mesmo que alguém roube a tua palavra-passe, não consegue entrar sem a segunda prova. É por isso que a MFA bloqueia a grande maioria das tentativas de roubo de conta.
Quais são os três fatores de autenticação?
São algo que sabes, algo que tens e algo que és. Algo que sabes é uma palavra-passe ou um PIN. Algo que tens é um dispositivo como o teu telemóvel, uma app de autenticação ou uma chave de segurança física. Algo que és é uma biometria, como uma impressão digital ou o reconhecimento facial. A verdadeira autenticação multifator combina fatores de pelo menos duas destas categorias diferentes.
Qual é a diferença entre MFA e 2FA?
A autenticação de dois fatores (2FA) usa exatamente dois fatores. A autenticação multifator (MFA) é o termo mais amplo para usar dois ou mais. Por isso, a 2FA é um tipo de MFA. No dia a dia, as palavras trocam-se muitas vezes, mas o princípio é o mesmo: combinar fatores de categorias diferentes para que uma só credencial roubada não chegue para entrar.
A MFA é mesmo necessária?
Para qualquer conta que importe, sim. As palavras-passe vazam em fugas de dados, são adivinhadas e são alvo de phishing a toda a hora. Uma palavra-passe sozinha é um único ponto de falha. Acrescentar um segundo fator fecha essa brecha e trava a maioria dos ataques automáticos. Dá prioridade ao teu e-mail, ao banco e ao gestor de palavras-passe primeiro, porque esses dão acesso a tudo o resto.
