A ESET, empresa líder em detecção proativa de ameaças, explica o que é o duplo fator de autenticação e como configurá-lo para que a segurança das suas contas não dependa apenas de uma senha.

As senhas são a chave para as informações digitais dos usuários da Internet. Por isso, há anos já se fala sobre a importância de protegê-las, onde armazená-las e quais são as boas práticas para criar combinações fortes e seguras, evitando cometer alguns dos erros mais comuns que poderiam comprometê-las. Não importa o quão cuidadoso você seja, é possível que as suas senhas sejam expostas em uma violação de informações.

“Esse tipo de ameaça está se tornando cada vez mais frequente. Só neste ano, foram vazados mais de 1 bilhão de contas em diversos incidentes de segurança, entre os quais se destaca a recente publicação de dados de 533 milhões de usuários do Facebook”, comenta Cecilia Pastorino, pesquisadora de segurança da informação da ESET América Latina.

Para manter a segurança das contas, vale ressaltar que a senha não é a única forma de autenticação em um sistema. Na verdade, existem três maneiras diferentes de fazer isso:
Por meio de algo que conhecemos, como a senha clássica, uma palavra ou pergunta secreta, etc.
Por meio de algo que temos, como um cartão físico, um certificado digital em um pen drive, um token físico ou digital, um smartphone, etc.
Por algo que somos, ou seja, por meio de dados biométricos como impressões digitais, íris, reconhecimento facial, etc.

Apenas um desses três formulários é usado no processo de autenticação tradicional, geralmente a senha. O duplo fator de autenticação propõe a combinação de dois métodos de autenticação de forma que, se um estiver comprometido, deve-se ter ou conhecer outro para obter acesso às informações.

A maioria dos sistemas atuais aplica este princípio para fornecer uma camada extra de proteção às contas de seus usuários, combinando a senha (algo que você conhece) com um token digital ou código de acesso temporário que é recebido ou gerado no telefone. Ou seja, após inserir a combinação usual, será solicitado um código que será recebido por SMS ou por meio de um aplicativo no smartphone. Desta forma, se um invasor obtiver uma senha - seja porque foi vítima de um hoax ou porque teve a informação vazada em uma violação - ele não será capaz de concluir a autenticação se não tiver acesso ao telefone no qual pode receber o código temporário.

Dependendo do sistema ou serviço em que o duplo fator de autenticação está configurado, a maneira como o smartphone deve ser usado para gerar a senha pode variar. A maioria dos serviços pede para inserir o número de telefone, no qual um SMS será recebido para confirmar a configuração. Outra opção é associar a conta a um aplicativo de autenticação, como Google Authenticator, Authy ou ESET Secure Authentication. Esses aplicativos são vinculados ao serviço para autenticar e funcionar como tokens digitais, gerando códigos aleatórios a cada 1 minuto.

Em alguns casos, não é utilizado apenas um código de acesso, mas o usuário recebe no seu smartphone uma mensagem com um pedido de autorização, que deve escolher se aceita colocando também a sua impressão digital.

A ESET compartilha uma lista com o passo a passo de como configurar a autenticação em duas etapas para alguns dos serviços mais populares: Google, Yahoo, Microsoft (Live, Outlook, Hotmail, etc.), Facebook, Instagram, Twitter, Twitch e Tiktok. Serviços de mensagens que também podem ser configurados com essa verificação: WhatsApp, Telegram, Signal e até ferramentas para videoconferência ou jogos online incluem as mesmas, como é o caso do Zoom e do Fortnite.

“O duplo fator de autenticação mostrou ser a maneira mais eficaz de evitar o sequestro de contas; no entanto, muitos usuários - e mesmo empresas - não o implementam por desconhecimento ou falta de conhecimento sobre os riscos a que estão expostos. Portanto, embora a ativação deste mecanismo de segurança seja opcional, deve-se considerar ativá-lo sempre para ficar mais protegido e não depender apenas de uma senha”, conclui Cecilia Pastorino, da ESET.

Para saber mais sobre segurança da informação, acesse o portal de notícias da ESET: http://www.welivesecurity.com/br