Autenticação em dois fatores: por que SMS é o método mais fraco (e o que usar no lugar)

O NIST, órgão americano que define padrões técnicos de segurança usados como referência no mundo todo, reclassificou recentemente o código por SMS como "autenticador restrito" nas suas diretrizes de identidade digital, a SP 800-63B. Na prática, isso significa que o próprio órgão que ajudou a popularizar a autenticação em dois fatores hoje trata o SMS como a opção menos confiável entre as disponíveis.

O motivo não é o código em si, é o caminho que ele percorre até chegar no celular.

O problema não é o SMS, é a rede por trás dele

Um código por SMS depende da rede de telefonia móvel, incluindo o protocolo SS7, criado nos anos 1970 sem nenhuma preocupação de segurança porque na época só operadoras tinham acesso a ele. Hoje existem golpes de troca de chip, em que o criminoso convence a operadora a portar o número da vítima pra um chip próprio, e ataques que interceptam mensagens diretamente na rede SS7, sem precisar nem tocar no celular da vítima.

Se o único fator adicional de uma conta é o SMS, quem controla o número controla a conta.

As alternativas, da mais simples até a mais forte

Aplicativo autenticador

Google Authenticator, Microsoft Authenticator e Authy geram o código direto no aparelho, sem depender de rede de telefonia. O código muda a cada 30 segundos e não passa por lugar nenhum que dê pra interceptar remotamente. É a troca mais simples de fazer: a maioria dos serviços que hoje só oferece SMS também aceita autenticador, só não é a opção padrão na tela.

Notificação push do próprio serviço

A tela que pergunta "é você tentando entrar?", usada por Google, Microsoft e bancos, tem a vantagem de mostrar contexto, como local e dispositivo da tentativa, o que ajuda a perceber login suspeito antes de aprovar sem pensar.

Chave de segurança física

Um dispositivo USB ou NFC, padrão FIDO2/passkey, é hoje o que resiste melhor a phishing, porque a chave confirma a identidade do site antes de autorizar o login. Mesmo que a vítima caia numa página falsa idêntica ao banco de verdade, a chave simplesmente não autentica, porque o endereço não bate. É o nível de proteção que empresas de tecnologia usam internamente pra proteger conta de funcionário com acesso sensível.

Passkeys, o padrão mais recente da indústria, já suportado por Apple, Google e Microsoft, unem a ideia da chave física com a conveniência do próprio celular ou notebook: o dispositivo guarda a credencial criptografada e libera o acesso por biometria, sem senha nem código pra digitar. É a chave de segurança sem precisar comprar hardware separado, mas ainda não é aceito em todo lugar.

O que muda na prática pra pequena empresa

Trocar de SMS pra aplicativo autenticador em contas críticas, e-mail administrativo, painel de hospedagem, acesso a provedor de nuvem, conta bancária PJ, custa uma tarde de configuração e fecha a porta de entrada mais comum de golpe de engenharia social, aquele que não depende de malware nenhum pra funcionar, só de convencer a operadora ou a própria vítima a entregar o código.

Qualquer serviço que ofereça 2FA também gera uma lista de códigos de backup de uso único. Guardar essa lista impressa ou num gerenciador de senhas evita ficar trancado fora da própria conta se perder o celular com o autenticador instalado.

Não precisa trocar tudo de uma vez. Começar pelas contas que, se comprometidas, dariam acesso a mais coisas, e-mail principal quase sempre está no topo dessa lista, porque é dali que se recupera senha de tudo mais, já reduz a maior parte do risco.

Referências

• NIST: SP 800-63B: Digital Identity Guidelines, Authentication and Authenticator Management
• LoginTC: NIST No Longer Accepts SMS as a Two-Factor Authentication Method