Um aplicativo autenticador é, em geral, mais seguro do que o SMS para a autenticação de dois fatores comum. Os códigos TOTP são gerados localmente e não dependem da segurança de um número de telefone. O SMS continua sendo útil quando não há métodos mais seguros disponíveis, mas apresenta riscos relacionados à rede móvel e ao processo de recuperação de conta.

A melhor opção disponível costuma ser uma chave de acesso ou uma chave de segurança FIDO, pois elas são resistentes a ataques de phishing. Esta comparação se concentra na escolha entre códigos gerados por aplicativos e mensagens de texto.

Comparação rápida

  • Aplicativo autenticador: funciona offline, evita o risco de troca de SIM, requer backup seguro e migração do dispositivo.
  • SMS: fácil de começar a usar, funciona sem um autenticador separado, depende do serviço de telefonia e do controle do número.
  • Ambos: são melhores do que o login apenas com senha, mas ainda podem ser contornados por phishing em tempo real.

Como funciona a autenticação de dois fatores (2FA) com aplicativo autenticador

Durante a configuração, o serviço compartilha um segredo privado com o aplicativo. O aplicativo combina esse segredo com a hora atual para gerar um código temporário, geralmente a cada 30 segundos. Saiba mais em nossa explicação sobre o TOTP.

O código é gerado no dispositivo. O funcionamento normal do TOTP não exige que o provedor envie uma mensagem nem que o celular tenha sinal de celular.

Como funciona a autenticação de dois fatores (2FA) por SMS

Após a etapa da senha, o provedor envia um código temporário para um número de telefone registrado. Você recebe a mensagem e digita o código. A segurança desse fluxo depende, em parte, do provedor, da operadora de celular, da conta telefônica, do dispositivo e dos procedimentos de recuperação.

Security comparison progressing from SMS to authenticator code to hardware key
Quando disponíveis, dê preferência a métodos resistentes a phishing; o TOTP é geralmente uma alternativa mais segura do que o SMS.

Comparação de segurança

Troca de SIM e ataques a números de telefone

O SMS pode ser comprometido se um invasor convencer uma operadora a transferir seu número para outro SIM ou explorar vulnerabilidades nos sistemas da operadora e de recuperação. O TOTP não está vinculado ao número de telefone, portanto, uma troca de SIM por si só não transfere o segredo do autenticador.

Phishing

Tanto o SMS quanto os códigos de autenticação padrão podem ser inseridos em uma página falsa e retransmitidos imediatamente para o serviço real. Sempre verifique o domínio. Chaves de acesso e chaves de segurança são uma opção mais segura contra esse tipo de ataque, pois a autenticação está vinculada ao site legítimo.

Interceptação e entrega

O SMS trafega pela infraestrutura de telecomunicações e pode sofrer atrasos ou ser exposto por visualizações antecipadas no dispositivo, aplicativos vinculados, malware ou violação da rede. A geração do código TOTP permanece local, embora malware ou um segredo de configuração exposto ainda possam comprometê-la.

Risco de backup de segredos

Aplicativos autenticadores exigem um plano para o caso de perda ou substituição de um dispositivo. A sincronização na nuvem pode melhorar a recuperação, mas altera o local onde as credenciais são armazenadas. Analise o modelo de segurança do provedor do aplicativo e proteja sua conta.

Conveniência e confiabilidade

O SMS é familiar e requer pouca configuração, mas as mensagens podem sofrer atrasos em roaming ou em áreas com sinal fraco. O TOTP funciona offline e é rápido após a configuração, mas a migração pode ser mais complexa se o aplicativo não oferecer um método seguro de transferência.

Para qualquer um dos métodos, salve os códigos de recuperação emitidos pelo provedor. Esses códigos de emergência devem ser armazenados fora do dispositivo usado para autenticação rotineira.

Qual método você deve escolher?

  1. Escolha uma chave de acesso ou uma chave de segurança de hardware quando o serviço oferecer suporte a elas.
  2. Caso contrário, escolha um aplicativo autenticador confiável, de preferência com proteção para o dispositivo e um plano de recuperação.
  3. Use SMS quando for o único segundo fator prático, em vez de deixar a autenticação de dois fatores (2FA) desativada.
  4. Evite deixar o SMS como um recurso de reserva desnecessário em uma conta de alto valor, caso o provedor permita que você o remova.

Quando o SMS ainda pode ser apropriado

O SMS pode ser a única opção suportada, mais acessível para um usuário específico ou uma medida temporária durante a migração para um método mais robusto. As decisões de segurança devem levar em conta o valor da conta, as ameaças prováveis, os requisitos de recuperação e a usabilidade.

Como migrar do SMS para um aplicativo autenticador

  1. Faça login pelo serviço oficial e abra as configurações de segurança.
  2. Adicione um aplicativo autenticador antes de remover um método de recuperação existente.
  3. Escaneie o código QR ou insira a chave de configuração em um dispositivo confiável.
  4. Verifique um novo código TOTP.
  5. Baixe os novos códigos de recuperação e guarde-os em um local seguro.
  6. Teste o novo método em uma sessão separada.
  7. Remova o SMS somente quando tiver certeza de que a recuperação ainda será possível.

Nossa lista de verificação completa para a configuração da autenticação de duas etapas (2FA) abrange cada etapa e os erros mais comuns.

Perguntas frequentes

Um aplicativo autenticador é totalmente seguro?

Não. Malware no dispositivo, phishing, backups inseguros e chaves de configuração expostas continuam sendo riscos. Ela é mais segura do que o SMS contra a apropriação do número de telefone, mas não é tão resistente ao phishing quanto uma senha de acesso ou chave de segurança implementada corretamente.

Um aplicativo autenticador pode funcionar sem um cartão SIM?

Sim. O TOTP precisa do segredo armazenado e da hora exata do dispositivo, não de um cartão SIM ou de um serviço de telefonia móvel.

A autenticação de duas etapas (2FA) via SMS é melhor do que nenhuma 2FA?

Em muitas situações comuns de ameaça, sim. Uma senha combinada com SMS cria uma barreira adicional. Use uma opção mais segura quando houver uma disponível e adequada.

Posso testar uma chave de configuração do TOTP?

Para uma conta de sua propriedade ou que você gerencia, você pode usar o gerador de autenticação de duas etapas (2FA) baseado no navegador. Proteja a chave com o mesmo cuidado que uma senha e consulte primeiro nossas informações de privacidade.