Autenticação em dois fatores e gestão de acessos: como proteger as contas da empresa

Autenticação em dois fatores (2FA) é exigir, além da senha, uma segunda prova de identidade de outro tipo, como um código gerado no celular, uma chave física ou a biometria do aparelho. Com ela ativada, uma senha vazada deixa de bastar para entrar na conta. Para a empresa, é o controle de melhor custo contra invasão de e-mail, banco e redes sociais.

Só que 2FA numa conta que cinco pessoas usam, com o código chegando no celular de alguém que saiu da empresa em março, protege pouco. Por isso este guia trata os dois assuntos juntos: como escolher o segundo fator e como organizar quem tem acesso a quê.

O que são os fatores de autenticação

Existem três tipos de prova:

• algo que você sabe: senha, PIN, resposta a uma pergunta secreta;
• algo que você tem: o celular com o aplicativo autenticador, uma chave de segurança física, uma lista impressa de códigos;
• algo que você é: digital, rosto.

Dois fatores significa dois tipos diferentes. Senha mais pergunta secreta são duas coisas que você sabe, e quem descobriu uma pode descobrir a outra do mesmo jeito. Continua sendo um fator só.

A biometria tem um detalhe. As diretrizes de autenticação do NIST (SP 800-63B-4), referência técnica do governo dos Estados Unidos revisada em 2025, não aceitam a biometria como autenticador sozinha: ela vale junto com um objeto físico. Numa passkey, por exemplo, a sua digital não viaja para o site. Ela destrava uma chave guardada no celular, e é essa chave que prova quem você é.

Nas telas de configuração, 2FA, MFA (autenticação multifator, com dois ou mais fatores) e "verificação em duas etapas" aparecem como sinônimos. O último é o nome usado pelo CERT.br e por vários serviços.

Tipos de autenticação em dois fatores, do mais fraco ao mais forte

"Resistir a phishing" quer dizer o seguinte: mesmo que a pessoa caia num site falso idêntico ao verdadeiro, o segundo fator não funciona lá.

Código por SMS

O código vai para a linha telefônica, não para o aparelho. No golpe da troca de chip, o criminoso consegue transferir o número da vítima para um chip dele e passa a receber os códigos. O NIST classifica o uso da rede telefônica como autenticador "restrito", e o fascículo de autenticação do CERT.br orienta a usar SMS apenas quando não houver outra opção. Mesmo assim, é melhor do que ficar só com a senha.

Aplicativo autenticador

O aplicativo autenticador usa o padrão TOTP (senha única baseada em tempo). No cadastro, o site mostra um QR code com um segredo. A partir desse segredo e do relógio, o aplicativo e o servidor calculam o mesmo código de seis dígitos, que muda a cada 30 segundos, sem depender de sinal de celular.

O limite é o phishing em tempo real: o site falso pede a senha e o código, e repassa os dois ao site verdadeiro em segundos. O NIST diz com todas as letras que autenticador cujo código é digitado à mão não conta como resistente a phishing. Ainda assim, para a maioria das contas, o aplicativo é o padrão razoável.

Notificação no aplicativo

Em vez de digitar código, o celular exibe "É você tentando entrar?" e você aprova. É prático, e é justamente essa praticidade que abre espaço para a fadiga de MFA, tratada na próxima seção. A versão mais segura pede que você digite no celular o número que aparece na tela de login, o que prova que você está diante daquela tela.

Chave física e passkey

A chave de segurança física (padrão FIDO2, conectada por USB ou aproximação) e a passkey usam criptografia de chave pública. A passkey é a mesma ideia guardada no celular ou no gerenciador de senhas e destravada com digital, rosto ou PIN. A documentação de passkeys do Google explica por que isso resiste a phishing: o navegador e o sistema só deixam a credencial funcionar no site que a criou, e o servidor guarda apenas uma chave pública, que não serve para nada se vazar.

O CERT.br aponta a chave física como a opção mais segura de verificação. O cuidado é cadastrar sempre duas: uma no chaveiro, outra guardada no cofre da empresa.

Fadiga de MFA: quando o próprio aviso vira ataque

O cenário é conhecido. A senha de um funcionário vazou em outro site. Às onze da noite, o invasor tenta entrar vinte vezes seguidas, e o celular da pessoa recebe vinte notificações. Na vigésima, ela aprova para o aparelho parar de tocar. Uma variação é o telefonema de alguém que diz ser "da TI" e avisa que vai chegar uma notificação para aprovar.

O NIST descreve exatamente esse ataque como fadiga de autenticação. Por causa dele, a revisão de 2025 deixou de aceitar a simples aprovação no aplicativo: o usuário precisa transferir um código entre as telas, e o serviço deve impor um limite razoável à quantidade de notificações enviadas.

Regras para combinar com a equipe:

• notificação que você não pediu é negada, sempre;
• quem recebeu avisa o responsável na hora, porque a notificação significa que alguém já tem a senha;
• a senha daquela conta é trocada no mesmo dia;
• ninguém de TI legítimo pede para aprovar notificação ou ditar código por telefone.

Do lado da administração, ligue a confirmação por número onde o serviço oferecer e, nas contas de administrador, prefira chave física ou passkey.

Códigos de recuperação e troca de celular

Ao ativar a 2FA, boa parte dos serviços oferece uma lista de códigos de recuperação, cada um válido uma única vez, para o dia em que o celular sumir. É a peça que mais falta na hora do aperto, porque ninguém guardou.

Onde guardar:

• impressos, num envelope no cofre ou numa gaveta trancada, com o nome da conta por fora;
• ou num cofre separado do gerenciador de senhas, acessível só a dois administradores.

O CERT.br recomenda revogar e gerar novos códigos se você perder a lista ou desconfiar que alguém a viu. Além dos códigos, cadastre um segundo fator de reserva nas contas críticas: uma segunda chave física ou um segundo aparelho.

Na troca de celular, transfira o aplicativo autenticador antes de formatar o aparelho antigo. Se o celular foi perdido ou roubado, remova-o da lista de dispositivos confiáveis de cada serviço assim que possível.

Contas compartilhadas e o princípio do menor privilégio

O problema da conta compartilhada

O e-mail do financeiro, o login do Instagram, o acesso ao banco: quatro pessoas sabem a senha. As consequências aparecem juntas. Não existe registro de quem fez o quê. A 2FA fica presa ao celular de uma pessoa só. E quando alguém sai, trocar a senha significa avisar todo mundo, então na prática ninguém troca.

Como resolver

• Login próprio para cada pessoa. A caixa do financeiro vira uma caixa compartilhada ou um grupo que cada um acessa com a própria conta.
• Recursos de usuário múltiplo que os serviços já têm. Gerenciadores de negócios das redes sociais trabalham com papéis; muitos bancos oferecem usuários operadores e aprovadores, com alçada de valor; boa parte das hospedagens permite subusuários.
• Quando o serviço realmente só aceita um login, a senha vai para um cofre compartilhado do gerenciador, o segundo fator fica num aparelho da empresa (e não no celular pessoal de alguém), a conta tem um dono nomeado e a senha é trocada sempre que sai alguém que a conhecia.

Menor privilégio

Menor privilégio é dar a cada pessoa só o acesso que o trabalho dela pede, e só enquanto pede. O estagiário de marketing entra como editor da página, não como administrador. O contador tem perfil de consulta no banco, sem poder de transferir. O vendedor enxerga a própria carteira no CRM, e não a base inteira. E o sócio usa uma conta comum no dia a dia e outra, separada, para configurar sistemas.

A cada trimestre, exporte a lista de usuários de cada sistema e compare com a lista de quem trabalha na empresa hoje. Acesso sobrando também pesa quando o assunto é LGPD em sites e sistemas, porque dado de cliente aberto a quem não precisa é risco sem contrapartida.

Inventário de contas críticas

Algumas contas, se caírem, derrubam as outras. Liste-as numa planilha, com uma linha por conta:

Para cada linha, anote o dono (a pessoa que responde por ela), quem mais tem acesso, qual é o segundo fator e onde estão os códigos de recuperação. O domínio costuma ser a linha com mais surpresa, como o registro feito no CPF de um ex-funcionário ou da agência antiga. O texto sobre domínio, DNS, e-mail e hospedagem mostra o que a empresa precisa ter sob controle ali.

Entrada e saída de pessoas

A gestão de acessos se sustenta em dois momentos com roteiro escrito.

Na entrada:

1. criar as contas nominais a partir de um perfil por função (vendas, financeiro, operação);
2. configurar a 2FA no primeiro dia, antes de liberar acesso a dados;
3. incluir a pessoa só nos cofres de senha que a função pede;
4. registrar no inventário tudo o que foi liberado.

Na mudança de função, retire o que pertencia à função anterior. Sem isso, quem passou por três áreas acumula o acesso de três.

Na saída, no mesmo dia:

1. bloquear o login e encerrar as sessões abertas em todos os aparelhos;
2. retirar a pessoa dos cofres e trocar as senhas compartilhadas que ela via;
3. remover os dispositivos confiáveis e as chaves físicas cadastradas em nome dela;
4. conferir se a conta criou regras de encaminhamento automático de e-mail;
5. transferir os arquivos e a caixa de entrada para o gestor;
6. tirar os acessos em banco, redes sociais e contas de anúncio, e recolher o equipamento.

O item 4 é o que mais passa batido: uma regra de encaminhamento continua mandando e-mails da empresa para fora meses depois da saída, sem ninguém perceber.

Por onde começar esta semana

1. Monte o inventário de contas críticas, mesmo incompleto.
2. Ative a 2FA com aplicativo ou chave física no e-mail e no domínio de todos os administradores.
3. Gere os códigos de recuperação dessas contas e guarde-os fora do celular.
4. Escolha a conta compartilhada mais sensível e troque por logins individuais.

O resto do checklist de segurança da informação para pequenas empresas segue a mesma lógica de prioridade. Nos projetos de segurança digital da Locomotiva, esse inventário vem antes de qualquer configuração, porque é ele que mostra onde um único celular perdido pararia a empresa.