--- id: CP-559 slug: autenticacao-dois-fatores-correio-eletronico-pessoal lang: pt title: Proteger o correio eletrónico pessoal com a autenticação de dois fatores description: "Ativar a autenticação de dois fatores no correio eletrónico pessoal: métodos, códigos de recuperação, reencaminhamentos a verificar e armadilhas." canonical_url: https://startbrain.io/cyberpedia/pt/articles/autenticacao-dois-fatores-correio-eletronico-pessoal/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/autenticacao-dois-fatores-correio-eletronico-pessoal.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Proteger o correio eletrónico pessoal com a autenticação de dois fatores», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/autenticacao-dois-fatores-correio-eletronico-pessoal/ (CC BY 4.0) wing: 5 theme: outsmart_social_engineering reflex: cr-064 schema: G5 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/autenticacao-dois-fatores-correio-eletronico-pessoal/ fr: https://startbrain.io/cyberpedia/fr/articles/double-authentification-boite-mail-personnelle/ en: https://startbrain.io/cyberpedia/en/articles/two-factor-authentication-personal-email/ de: https://startbrain.io/cyberpedia/de/articles/doppelte-authentifizierung-privates-e-mail-postfach/ es: https://startbrain.io/cyberpedia/es/articles/doble-autenticacion-correo-personal/ it: https://startbrain.io/cyberpedia/it/articles/autenticazione-a-due-fattori-posta-personale/ nl: https://startbrain.io/cyberpedia/nl/articles/tweestapsverificatie-persoonlijke-mailbox/ sources: - "n": 1 title: More than a Password | CISA publisher: CISA url: https://www.cisa.gov/MFA accessed: "2026-11-03" - "n": 2 title: Multifactor Authentication - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Multifactor_Authentication_Cheat_Sheet.html accessed: "2026-11-03" - "n": 3 title: Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1621/ accessed: "2026-11-03" - "n": 4 title: Require Strong Passwords | CISA publisher: CISA url: https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-strong-passwords accessed: "2026-11-03" - "n": 5 title: "Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1114/003/ accessed: "2026-11-03" - "n": 6 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" - "n": 7 title: Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1111/ accessed: "2026-11-03" - "n": 8 title: "Modify Authentication Process: Multi-Factor Authentication, Sub-technique T1556.006 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1556/006/ accessed: "2026-11-03" --- # Proteger o correio eletrónico pessoal com a autenticação de dois fatores Uma palavra-passe, sozinha, protege mal uma conta de correio eletrónico. A CISA, a agência norte-americana de cibersegurança, lembra que uma palavra-passe pode ser reutilizada, é mais fácil de adivinhar ou de roubar, e que os agentes maliciosos sabem contorná-la [1]. A autenticação de dois fatores (também chamada MFA, 2FA ou verificação em dois passos) acrescenta uma segunda prova de identidade no momento do início de sessão [1]. A CISA coloca o correio eletrónico à cabeça das contas onde se deve ativar a autenticação de dois fatores [1]. Os serviços enviam muitas vezes um código ou uma ligação para o endereço da conta, a fim de verificar o respetivo titular [2]. Esta ficha explica os métodos, os gestos a fazer e as armadilhas. ## Em 30 segundos - Onde acontece: ao iniciar sessão num correio eletrónico pessoal, e quando uma mensagem falsa, um falso assistente ou uma enxurrada de notificações leva a indicar um código ou a aprovar um pedido. - O que o atacante quer: entrar na caixa de correio com uma palavra-passe roubada e depois contornar o segundo passo, obtendo da vítima um código ou uma aprovação [3]. - O reflexo: ative a autenticação de dois fatores no correio eletrónico, prefira uma aplicação ou uma chave de segurança ao SMS, e nunca aprove nem comunique um código que não tenha sido você a desencadear. - Se já o fez: verifique as opções de recuperação, os métodos registados e as regras de reencaminhamento da caixa de correio. ## Perguntas diretas ### O que é a autenticação de dois fatores? É um método que combina pelo menos duas provas, entre três famílias: algo que se sabe (palavra-passe, código PIN), algo que se possui (aplicação de autenticação, SMS de confirmação) e algo que se é (impressão digital, rosto) [1]. Se a palavra-passe for roubada, o atacante esbarra na segunda exigência [1]. ### Onde é preciso ativá-la? A CISA cita primeiro as contas de correio eletrónico, depois os serviços financeiros, as redes sociais, as lojas em linha e os serviços de jogos e de streaming [1]. As opções encontram-se nas definições de segurança da conta, com nomes variáveis: "Two Factor Authentication", "Multifactor Authentication" ou "Two Step Factor Authentication" [1]. Se o serviço não a oferecer, a CISA aconselha a pedi-la [1]. ### Todos os métodos se equivalem? Não. A CISA escreve que "any MFA is better than no MFA", mas que alguns métodos protegem melhor do que outros [1]. Apresenta o FIDO/WebAuthn como a única autenticação resistente ao phishing amplamente disponível: se o utilizador for enganado por um site falso, o protocolo bloqueia a tentativa [1]. As chaves de segurança do tipo U2F, como a YubiKey, são resistentes ao phishing porque a chave privada nunca sai do dispositivo [2]. ### Deve evitar-se o SMS? É melhor do que nada [1], mas tem fragilidades conhecidas. A OWASP classifica-o entre os autenticadores restritos, por causa da interceção SS7, da troca de cartão SIM e da portabilidade do número [2]. Para quem só tem o SMS, a OWASP aconselha a prever a migração para uma aplicação de códigos temporários (TOTP), para notificações push ou para WebAuthn/FIDO2 [2]. ## Como funciona Uma aplicação de autenticação gera um código numérico de curta duração. O utilizador instala-a no telemóvel, lê um código QR fornecido pelo serviço, que transmite a semente inicial, e depois introduz os códigos apresentados [2]. A RFC 6238 recomenda por defeito um intervalo de 30 segundos [2]. O ponto fraco é o telemóvel: se o aparelho se perder, for roubado ou ficar sem bateria, o início de sessão torna-se impossível, e as cópias de segurança da semente podem estar mal guardadas [2]. Uma chave de hardware U2F funciona de outra forma. Não há nada para copiar: o utilizador prime um botão ou aproxima a chave de um leitor NFC [2]. ## O que fazer - Ative hoje mesmo a autenticação de dois fatores no correio eletrónico [1]. - Escolha uma aplicação de autenticação ou uma chave de segurança em vez do SMS [2]. Se só o SMS for proposto, use-o em vez de nada [1]. - Guarde os códigos de recuperação. A OWASP cita, entre os métodos de recuperação habituais, os códigos de utilização única entregues no registo [2]. - Proteja a palavra-passe. A CISA pede palavras-passe longas (pelo menos 16 caracteres), aleatórias e únicas, guardadas num gestor de palavras-passe [4]. - Controle as opções de recuperação: número de telefone, endereço de recurso, dispositivos registados. A OWASP observa que a alteração de um fator de autenticação é uma operação que os atacantes exploram para tomar uma conta, e que o serviço deve avisar o utilizador por outro canal a cada alteração [2]. Um aviso deste tipo que não provocou é um sinal de alerta. - Procure reencaminhamentos. Um atacante pode criar uma regra que transfere as mensagens para outro endereço, e essa regra mantém-lhe o acesso ao correio mesmo depois de os administradores repostos as credenciais [5]. No correio eletrónico, abra as definições de regras e de reencaminhamento e elimine tudo o que não tenha criado. ## As armadilhas ### As notificações em rajada Um atacante que conheça a palavra-passe pode desencadear o início de sessão em ciclo e inundar a vítima de notificações, SMS e chamadas, na esperança de que ela acabe por aceitar por cansaço: é a "MFA fatigue" [3]. A MITRE cita grupos que usaram este método, entre os quais o LAPSUS$ e o Scattered Spider [3]. A regra: aprove apenas os inícios de sessão que acabou de iniciar. Na falta de MFA resistente ao phishing, a CISA convida a considerar a correspondência de números para travar estes assaltos [1]. ### O código pedido por um falso assistente Uma mensagem de phishing pode pedir que se ligue para um número, onde o interlocutor encaminha a vítima para um endereço malicioso ou a leva a instalar uma ferramenta de acesso remoto [6]. Um código recebido por SMS ou por correio eletrónico não se comunica a ninguém: serve para provar que é você o titular da conta. A MITRE lembra que os códigos enviados por SMS ou por correio eletrónico podem ser intercetados se o aparelho ou o serviço não estiverem protegidos [7]. ### As falsas mensagens de segurança O phishing é engenharia social transmitida por via eletrónica: o atacante faz-se passar por uma fonte de confiança [6]. Uma falsa mensagem de alerta pode reencaminhar para uma cópia do site de início de sessão. Ferramentas como o evilginx2 intercetam então os tokens de autenticação e contornam as formas de autenticação que não resistem ao phishing [7]. Uma chave FIDO bloqueia este cenário [1]. Em caso de dúvida, não clique: abra o serviço escrevendo você mesmo o endereço. ### O número de telefone desviado Na troca de cartão SIM, o atacante convence o operador a transferir o número da vítima, o que lhe permite receber os códigos por SMS ou por chamada [2]. A OWASP recomenda vigiar as alterações de número ou as substituições de cartão SIM inesperadas [2]. ### O segundo passo desativado Depois de entrar numa conta, um atacante pode desativar a autenticação de dois fatores ou registar o seu próprio método [8]. De tempos a tempos, reveja a lista de métodos e de dispositivos registados no correio eletrónico. ## Fontes 1. CISA, «More than a Password | CISA». https://www.cisa.gov/MFA (consultado em 3 de novembro de 2026) 2. OWASP, «Multifactor Authentication - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/Multifactor_Authentication_Cheat_Sheet.html (consultado em 3 de novembro de 2026) 3. MITRE ATT&CK, «Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1621/ (consultado em 3 de novembro de 2026) 4. CISA, «Require Strong Passwords | CISA». https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-strong-passwords (consultado em 3 de novembro de 2026) 5. MITRE ATT&CK, «Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1114/003/ (consultado em 3 de novembro de 2026) 6. MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultado em 3 de novembro de 2026) 7. MITRE ATT&CK, «Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1111/ (consultado em 3 de novembro de 2026) 8. MITRE ATT&CK, «Modify Authentication Process: Multi-Factor Authentication, Sub-technique T1556.006 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1556/006/ (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/autenticacao-dois-fatores-correio-eletronico-pessoal/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.