Autenticação em dois fatores: por que sua conta ainda é fácil de roubar

Sem autenticação em dois fatores, um vazamento de senha ou um golpe de engenharia social basta para alguém assumir o controle da sua conta do Instagram, WhatsApp ou Google. Eu já vi isso acontecer de perto — e a diferença entre quem ativa e quem não ativa é gritante.

Eu ainda me lembro da mensagem que recebi no WhatsApp de um conhecido, há uns meses. “Bruno, alguém postou no meu Instagram pedindo Pix para um falso concurso. Eu não tinha ativado a autenticação em dois fatores.” Em menos de 40 minutos a conta estava nas mãos de outro. A senha tinha vazado num daqueles dumps que circulam o tempo todo. Sem o segundo fator, o criminoso entrou, mudou o e-mail de recuperação e começou a pedir dinheiro para os seguidores.

Desta maneira que a história se repete todos os dias. E o pior: a maioria das pessoas só descobre a importância da autenticação em dois fatores depois que a conta já foi levada.

O que é autenticação em dois fatores (e por que a senha sozinha não basta mais)

A autenticação em dois fatores — ou 2FA, ou verificação em duas etapas — exige duas provas diferentes de que você é você. A primeira costuma ser a senha (algo que você sabe). A segunda é algo que você tem: um código gerado no celular, um aplicativo autenticador, uma chave física ou até uma notificação de aprovação.

Entretanto lógica é simples. Mesmo que o criminoso tenha a senha, ele precisa do segundo fator. Sem ele, a porta fica trancada. Dados da Microsoft mostram que a autenticação multifator bloqueia mais de 99,9% dos ataques automatizados de comprometimento de contas. Não é propaganda: é o que os relatórios de segurança repetem há anos.

Hoje, bilhões de senhas já vazaram. Credential stuffing (testar automaticamente e-mail e senha em dezenas de sites) é barato e eficiente. Sem 2FA, a conta cai.

Como é fácil roubar uma conta sem autenticação em dois fatores

Sem o segundo fator, o caminho é curto:

• Senha vazada em algum serviço antigo → o invasor testa no Instagram, Facebook, Google e bancos.
• Phishing bem feito: a pessoa digita a senha numa página falsa e o criminoso entra na hora.
• Golpe do WhatsApp clonado: a vítima entrega o código de seis dígitos que chega por SMS e o número é registrado em outro aparelho.
• SIM swap: o criminoso convence a operadora a transferir o número para um chip dele e recebe todos os códigos por SMS.

Neste sentido, um levantamento recente da Check Point mostrou que Microsoft, LinkedIn, Google, Apple e Amazon são as marcas mais usadas em tentativas de golpe. A própria empresa recomenda ativar a autenticação de dois fatores como proteção básica.

E tem o sequestro de sessão: malware ou cookies roubados mantêm o invasor logado mesmo depois que você muda a senha. Nesses casos o 2FA sozinho não resolve, mas ainda é a primeira linha de defesa.

Exemplos reais de golpes que só funcionam (ou ficam muito mais fáceis) sem 2FA

1. Instagram e Facebook hackeados por senha vazada O criminoso entra, muda o e-mail e o telefone de recuperação e começa a pedir dinheiro ou espalhar golpes. Contas com muitos seguidores viram máquina de Pix falso em minutos. Casos recentes de perfis grandes sendo invadidos quase sempre envolvem ausência de 2FA ou 2FA só por SMS (mais frágil).
2. WhatsApp clonado A pessoa recebe mensagem dizendo que o número vai ser desativado ou que precisa confirmar um código. Entrega o SMS e perde a conta. Depois o golpista usa a foto e os contatos para pedir dinheiro a familiares. A verificação em duas etapas do próprio WhatsApp (o PIN de seis dígitos) impede que o número seja registrado em outro aparelho sem esse código.
3. E-mail principal comprometido Quem controla o e-mail controla a recuperação de quase tudo. Sem 2FA no Gmail ou Outlook, o resto das contas cai em cascata.
4. Deepfake e engenharia social Com áudio ou vídeo falso de um “chefe” ou familiar pedindo urgência, a vítima ainda precisa entregar senha ou código. Quem tem 2FA ativo pelo menos tem uma chance a mais de perceber que algo está errado.

A importância real da autenticação em dois fatores

Eu ativo 2FA em tudo. E-mail, redes, bancos, até em serviços menos importantes. Não porque sou paranóico — é porque já vi o estrago de perto. Uma conta de Instagram de uma pequena empresa local foi usada para vender “curso de investimento” falso. O prejuízo financeiro e de reputação foi grande. Tudo porque a senha era a mesma de um site antigo e não havia segundo fator.

O 2FA não é perfeito. Existe phishing em tempo real (o criminoso pede o código enquanto você digita), MFA fatigue (bombardeio de notificações até a pessoa aceitar) e roubo de sessão. Mas ainda é a medida com melhor relação esforço/benefício que existe hoje. Prefira sempre aplicativo autenticador (Google Authenticator, Microsoft Authenticator, Authy ou 2FAS) em vez de SMS. SMS é vulnerável a SIM swap.

Passo a passo: como ativar nas principais redes sociais

WhatsApp

1. Abra o app → Configurações (ou os três pontinhos) → Conta.
2. Confirmação em duas etapas → Ativar.
3. Crie um PIN de seis dígitos (não use data de nascimento).
4. Adicione um e-mail de recuperação. Pronto. Sem esse PIN ninguém registra seu número em outro aparelho.

Instagram e Facebook (Central de Contas da Meta)

1. No Instagram: menu (três linhas) → Configurações e privacidade → Central de Contas.
2. Senha e segurança → Autenticação de dois fatores.
3. Escolha a conta e o método. Recomendo “Aplicativo de autenticação”.
4. Escaneie o QR Code com o app autenticador e salve os códigos de recuperação. O mesmo caminho serve para o Facebook.

Google (Gmail, YouTube, Drive etc.)

1. Acesse myaccount.google.com → Segurança.
2. Verificação em duas etapas → Começar.
3. Prefira o Google Authenticator ou chave de segurança. Evite só SMS se possível.
4. Guarde os códigos de backup em local seguro (impresso ou cofre de senhas).

TikTok

1. Perfil → menu (três linhas) → Configurações e privacidade → Segurança.
2. Verificação em duas etapas.
3. Ative pelo menos dois métodos (app autenticador + e-mail ou SMS).

Em todos os casos: anote ou imprima os códigos de recuperação. Se você perder o celular, eles são a única forma de recuperar o acesso sem dor de cabeça.

Conclusão

A autenticação em dois fatores não é luxo. É o mínimo que separa uma conta protegida de uma conta que qualquer um com a senha pode assumir. Eu já perdi tempo demais ajudando gente a recuperar perfil depois do estrago. Muito mais simples prevenir.

Ative hoje. Comece pelo e-mail principal e pelo WhatsApp. Depois vá nas redes. Demora menos de dez minutos e pode poupar semanas de transtorno.

Bruno Bastos Nunes Especialista em cibersegurança e fundador do Escudo Digital.

Links internos:

• https://escudodigital.net/phishing-o-golpe-do-pescador-digital/
• https://escudodigital.net/roubo-de-senha-de-e-mail-como-se-proteger-do-golpe-das-falsas-vagas/
• https://escudodigital.net/a-evolucao-das-fraudes-digitais-no-brasil-e-as-respostas-institucionais-em-2026/
• https://escudodigital.net/o-que-e-quishing/