Autenticação de dois fatores (2FA) é o login que pede duas provas de identidade de tipos diferentes: algo que você sabe, como a senha, e algo que você tem, como um código no celular. Com ela, uma senha vazada deixa de bastar para entrar no e-mail da empresa.
Pontos-chave
- A senha sozinha cai por vazamento, reaproveitamento ou phishing. O segundo fator barra a maior parte desses acessos.
- Os métodos não protegem igual: SMS é o mais fraco, aplicativo autenticador é o mínimo para empresas e chave de segurança é o mais forte.
- No e-mail, o segundo fator só funciona de verdade se os protocolos antigos, que pedem apenas a senha, também forem controlados.
- A ativação precisa de política, comunicação com a equipe e um plano para quem perde o celular.
Neste artigo
- O que é autenticação de dois fatores
- 2FA, verificação em duas etapas e MFA: qual a diferença
- Os métodos de 2FA, do mais fraco ao mais forte
- Por que o e-mail é a conta que mais precisa de 2FA
- Os limites do 2FA
- Como ativar 2FA no e-mail da empresa
- Perguntas frequentes
O que é autenticação de dois fatores
Os sistemas de login trabalham com três categorias de fator:
- Algo que você sabe: senha, PIN ou resposta secreta.
- Algo que você tem: celular, token ou chave de segurança.
- Algo que você é: digital, rosto ou voz.
A autenticação de dois fatores combina duas categorias diferentes. Senha e pergunta secreta, por exemplo, são dois itens da mesma categoria e não contam como 2FA.
O ganho é grande porque os ataques mais comuns roubam só a senha. Segundo a Microsoft, o uso de autenticação multifator reduz em mais de 99,9% o risco de uma conta ser tomada em ataques automatizados.
2FA, verificação em duas etapas e MFA: qual a diferença
Os termos aparecem misturados, inclusive nas telas dos próprios serviços:
- Autenticação de dois fatores (2FA): exige dois fatores de categorias diferentes.
- Verificação em duas etapas: nome que Google, WhatsApp e gov.br dão ao recurso. Tecnicamente, são duas etapas de login, que podem ou não usar categorias diferentes.
- Autenticação multifator (MFA): dois ou mais fatores. Todo 2FA é uma forma de MFA.
Para a empresa, o que importa é o resultado: quem tiver só a senha não entra.
Os métodos de 2FA, do mais fraco ao mais forte
| Método | Como funciona | Ponto fraco |
|---|---|---|
| Código por SMS | Mensagem com código a cada login | Clonagem de chip e interceptação |
| Código por e-mail | Código enviado a outro endereço | Se esse e-mail cair, o fator cai junto |
| Aplicativo autenticador | Código de 6 dígitos que muda a cada 30 segundos (TOTP) | Pode ser capturado por página falsa em tempo real |
| Notificação no celular | Aprovar ou negar um aviso de login | Usuário aprova por cansaço depois de muitos pedidos |
| Chave de segurança ou passkey | Chave física ou do aparelho, no padrão FIDO2 | Custo e logística de distribuição |
Em um estudo de 2019, feito com pesquisadores da NYU e da UC San Diego, o Google mediu a diferença entre os métodos. O código por SMS barrou 96% do phishing em massa e 76% dos ataques direcionados. A chave de segurança barrou 100% dos dois.
O SMS é melhor que nada, mas a clonagem de chip é golpe frequente no Brasil. Para contas corporativas, o aplicativo autenticador, como Google Authenticator, Microsoft Authenticator ou Authy, é o ponto de partida razoável.
A chave de segurança resiste a phishing porque confere o endereço do site antes de responder e não funciona em página falsa. Vale para diretoria, financeiro e administradores de TI.
Por que o e-mail é a conta que mais precisa de 2FA
O e-mail é a chave das outras contas. É por ele que chegam os links de troca de senha do banco, do ERP, do domínio e das redes sociais da empresa. Quem toma o e-mail consegue redefinir a senha de quase todo o resto.
Também é a conta que mais rende para golpes:
- Fraude de pagamento. O invasor lê as conversas com fornecedores e envia um boleto ou dados bancários alterados no meio de uma negociação real.
- Phishing interno. Mensagens que saem de um endereço verdadeiro da empresa enganam colegas e clientes com muito mais facilidade. Veja como funciona o phishing.
- Vazamento de dados. Contratos, folha de pagamento e cadastros de clientes ficam na caixa postal, com reflexo direto na LGPD.
O artigo da Meile sobre força das senhas mostra por que a senha, sozinha, não segura esse risco, mesmo quando é longa e única.
Os limites do 2FA
O segundo fator reduz muito o risco, mas tem brechas conhecidas:
- Phishing em tempo real. Alguns kits de golpe ficam entre a vítima e o site verdadeiro. A vítima digita senha e código, e o criminoso captura a sessão já autenticada. Só chave de segurança e passkey resistem a esse ataque.
- Fadiga de notificação. O atacante dispara dezenas de pedidos de aprovação até alguém tocar em "aprovar". Pedir que o usuário digite um número mostrado na tela resolve boa parte do problema.
- Protocolos antigos. IMAP, POP3 e SMTP configurados em programas antigos podem aceitar só usuário e senha. Se continuarem liberados, o invasor contorna o segundo fator por eles.
- Recuperação fraca. Se a conta pode ser recuperada por SMS ou por pergunta secreta, o segundo fator vira só mais uma etapa para o criminoso.
Por isso o 2FA funciona melhor junto com as outras práticas de segurança de e-mail: filtro contra phishing, alerta de login suspeito e restrição de acesso.
Como ativar 2FA no e-mail da empresa
Um roteiro de implantação que evita travar a equipe:
- Comece pelas contas críticas. Administradores, diretoria, financeiro e quem aprova pagamentos.
- Defina o método mínimo. Aplicativo autenticador para todos e chave de segurança para as contas mais expostas.
- Avise antes. Explique o que muda, quando e por quê. Um tutorial curto evita fila no suporte.
- Torne obrigatório. Ative a política no painel de administração, com prazo para cada usuário cadastrar o segundo fator.
- Feche as brechas. Desative os protocolos que não são usados e revise os programas que ainda acessam só com senha.
- Prepare a recuperação. Códigos de backup guardados em local seguro e um procedimento para quem troca ou perde o celular.
A LGPD pede medidas técnicas e administrativas para proteger dados pessoais de acesso não autorizado (art. 46). A página de conformidade com a LGPD da Meile lista o 2FA entre os requisitos de segurança do e-mail corporativo.
No e-mail corporativo seguro da Meile, o administrador torna o 2FA obrigatório pelo painel, com aplicativo autenticador e pode desativar protocolos como o POP3.
O Meile Mail tem 2FA para todas as contas, com política obrigatória definida pelo administrador, bloqueio automático depois de cinco tentativas de login erradas e alerta de acesso a partir de um local novo.
Se a sua empresa quer ativar o segundo fator sem travar a equipe, fale com a nossa equipe para planejar a implantação.
