O que é autenticação de dois fatores (2FA)?

Por que uma senha não é mais suficiente

Senhas vazam em massa — de sites que você usou anos atrás, em violações das quais você nunca fica sabendo — e as pessoas as reutilizam. Para uma conta de e-mail isso é chato; para uma corretora de cripto é todo o saldo. O 2FA fecha esse buraco: entrar exige a senha e um código de tempo limitado de algo fisicamente seu. Um atacante com sua senha, mas sem seu celular, simplesmente não consegue completar o login.

A matemática por trás do app autenticador padrão é simples e testada em batalha: seu celular e a corretora compartilham um segredo na configuração, e cada um gera o mesmo código novo de 6 dígitos a cada 30 segundos a partir dele. Um código roubado ou vislumbrado hoje não vale nada amanhã — normalmente inútil em meio minuto — e um milhão de códigos possíveis por janela significa que a interceptação sozinha não coloca um atacante para dentro.

Que tipo você deveria usar?

Em ordem decrescente de força:

1. Chave de segurança de hardware (YubiKey e similares). Resistente a phishing — a chave verifica criptograficamente o site real e simplesmente não responderá a um domínio imitador. O padrão ouro se você guarda fundos sérios em uma corretora.
2. App autenticador. Um código rotativo de 30 segundos gerado no seu celular. O padrão prático: grande ganho de segurança, pequeno custo de conveniência. Ative durante o registro de conta — leva dois minutos.
3. Códigos SMS. Melhor que nada, mas os códigos viajam na rede telefônica e números de telefone são roubados por trocas de SIM — onde um atacante convence sua operadora a ativar seu número no SIM dele. Várias perdas de cripto de alto perfil começaram exatamente assim.

A lacuna entre o nível 1 e o nível 3 é a lacuna entre “atacar o cripto” e “atacar sua companhia telefônica” — e os atacantes escolhem o alvo mais fácil toda vez.

No que as pessoas erram com o 2FA?

Dois erros em direções opostas. Primeiro, pular porque “tenho uma senha forte” — veja acima; a senha já pode estar na lista de alguém, e você nunca saberia. Segundo, ativar e depois perder o segundo fator: celular perdido, sem códigos de backup guardados, conta inacessível por semanas. Quando você configura o 2FA, o serviço mostra códigos de backup de uso único — guarde-os offline, com tanto cuidado quanto uma frase semente, porque eles são exatamente tão poderosos.

E uma regra comportamental para fechar: trate qualquer página de login que peça sua senha e seu código 2FA atual no mesmo momento suspeito como uma tentativa de phishing. Sessões reais pedem o código para verificar você; golpistas o pedem para verificar a si mesmos — e o ataque de retransmissão que eles rodam em uma página falsa queima seu código contra o site real em segundos.

Uma lista de configuração de 2FA para uma conta de corretora nova

Cinco minutos no registro que se pagam sozinhos para sempre depois:

1. Escolha o app autenticador, não SMS, quando a opção aparecer.
2. Escaneie o QR code com o app — ou digite a chave de configuração manualmente se for trocar de celular em breve.
3. Escreva os códigos de backup em papel, com a mesma disciplina de local físico de uma frase semente. Essas são as chaves reserva da conta.
4. Faça um login de teste: saia, entre de novo com senha + código, confirme que o fluxo funciona antes de depositar qualquer coisa.
5. Anote onde o segredo vive. Se seu app autenticador sincroniza com uma conta (Authy, backup de conta do Google), a senha dessa conta agora é parte da sua segurança de corretora — proteja-a de acordo, e saiba como restaurar em um celular novo.

Um limite que vale a pena conhecer: o 2FA protege contas, não carteiras. Uma carteira de autocustódia não tem login para proteger — sua segurança é a frase semente e o dispositivo. Por isso corretoras conseguem restaurar seu acesso e a autocustódia não, e por que os dois modelos precisam de disciplinas distintas.