Senha sozinha já não protege ninguém: o que os dados dizem sobre a verificação em duas etapas

A senha deixou de ser uma barreira confiável há bastante tempo. Ela vaza em ataques a empresas, é repetida em vários serviços, aparece em listas vendidas por criminosos e, com frequência, é entregue pela própria vítima em um site falso. O que separa uma credencial roubada de uma conta invadida, hoje, quase sempre é a existência de um segundo fator de verificação.

Os números brasileiros ajudam a dimensionar a pressão. Segundo o Mapa da Fraude da Serasa Experian, o país registrou 2,8 milhões de tentativas de fraude de identidade no primeiro semestre de 2026, alta de 32,9% sobre o mesmo período de 2025, o equivalente a uma tentativa a cada 5,5 segundos. As tecnologias antifraude evitaram um prejuízo potencial de R$ 3,77 bilhões no período. Meios de pagamento concentraram 42,6% das ocorrências e telefonia respondeu por 22,1%, com crescimento de 51,4% no setor.

Não por acaso, os segmentos que lidam com dinheiro e identidade foram os primeiros a tornar a verificação obrigatória. No setor de apostas regulamentado pela Lei nº 14.790/2023, por exemplo, as plataformas que aparecem nas listas de sites de cassino com licença federal no Brasil só podem movimentar recursos entre contas de titularidade do próprio usuário, previamente cadastradas, o que exige checagem de identidade antes de qualquer depósito ou saque. O mesmo princípio já vale para bancos, carteiras digitais e boa parte do comércio eletrônico.

O que a pesquisa mostra sobre a eficácia

A discussão sobre autenticação em dois fatores costuma ficar no campo da opinião, mas existe medição. Um estudo de um ano conduzido pelo Google em parceria com pesquisadores da Universidade de Nova York e da Universidade da Califórnia em San Diego comparou o desempenho de diferentes métodos contra três tipos de ataque.

Método de verificação	Ataques automatizados	Phishing em massa	Ataques direcionados
Código enviado por SMS	100% bloqueados	96% bloqueados	76% bloqueados
Aviso no próprio aparelho	100% bloqueados	99% bloqueados	90% bloqueados
Chave física de segurança	100% bloqueados	100% bloqueados	100% bloqueados

A leitura prática é direta. Contra robôs que testam senhas vazadas em massa, qualquer segundo fator resolve. Contra phishing em escala, o aviso no aparelho supera o SMS. E contra um ataque desenhado para uma pessoa específica, apenas a chave física fecha completamente a porta.

Do outro lado, dados divulgados pela Microsoft em 2020, com base no monitoramento de 30 bilhões de logins diários, apontaram que 99,9% das contas comprometidas não tinham autenticação em duas etapas ativada. O problema, portanto, raramente é a tecnologia. É a adesão.

Por que o celular virou o alvo preferido

O aparelho concentra hoje o acesso ao banco, ao aplicativo de mensagens, ao e-mail e às redes sociais. Isso o transforma no ponto de entrada mais valioso para quem aplica golpes, e explica por que tantas fraudes começam com uma tentativa de obter um código de seis dígitos.

O roteiro mais comum na Paraíba e no restante do país é conhecido: alguém se passa por atendimento de uma loja, de um banco ou de um contato próximo e pede o código que acabou de chegar por SMS. Com esse número em mãos, o criminoso conclui o cadastro do aplicativo de mensagens em outro aparelho, assume a conta e passa a pedir dinheiro aos contatos da vítima, quase sempre com uma história de urgência.

Vale registrar um ponto que costuma passar despercebido: nenhuma empresa legítima pede o código de verificação por telefone, por mensagem ou por e-mail. O código existe justamente para provar que o aparelho está com o dono. Quem o repassa desmonta a proteção com as próprias mãos.

Como ativar e o que escolher

Ativar a verificação em duas etapas costuma levar menos de dois minutos por serviço, e a ordem de prioridade importa. Comece pelo e-mail, porque ele é a chave de recuperação de quase todas as outras contas. Em seguida, aplicativos de mensagem, banco e carteiras digitais. Só depois redes sociais e compras.

Quando o serviço oferecer mais de uma opção, o aplicativo autenticador tende a ser mais seguro do que o SMS, já que não depende da linha telefônica e resiste à troca fraudulenta de chip. Guardar os códigos de recuperação em local seguro evita o transtorno de perder o acesso ao trocar de aparelho. Para quem administra contas com movimentação financeira relevante, a chave física é a única opção que se mostrou completamente eficaz no estudo citado acima.

Cuidados com o dispositivo completam a proteção: bloqueio de tela com biometria ou senha, atualização do sistema em dia e revisão periódica das sessões abertas em cada aplicativo. Vale também a leitura sobre outros pontos de vulnerabilidade do cotidiano financeiro, como o código de segurança do cartão, tema que o Portal Correio já abordou.

O que fazer se a conta já foi invadida

Nesse caso, velocidade é tudo. Tente recuperar o acesso pelos canais oficiais do serviço, avise contatos próximos de que sua conta pode estar sendo usada para pedir dinheiro, troque as senhas dos demais serviços que usavam a mesma combinação e registre boletim de ocorrência, que pode ser feito pela delegacia eletrônica da Polícia Civil da Paraíba. Se houver movimentação financeira, comunique imediatamente o banco, porque existem mecanismos de bloqueio e devolução de valores com prazo curto para acionamento.

A Serasa Experian também aponta um dado que explica a escala do problema: o levantamento identificou quase 2 mil grupos dedicados à circulação de conteúdo fraudulento e uma média de 152 mensagens trocadas por minuto entre golpistas no primeiro trimestre de 2026. Do outro lado da tela existe uma estrutura organizada, com divisão de tarefas e troca constante de métodos, e é contra ela que uma senha isolada tenta resistir. Ativar o segundo fator não elimina o risco, mas muda a ordem de grandeza. Como mostram os dados de prevenção a fraudes da Serasa Experian, a maior parte das tentativas é barrada antes de virar prejuízo justamente nas camadas de validação de identidade. No nível do usuário, essa camada tem nome simples e custo zero: verificação em duas etapas.

O post Senha sozinha já não protege ninguém: o que os dados dizem sobre a verificação em duas etapas apareceu primeiro em Portal Correio - Notícias da Paraíba e do Brasil.