Cyberpediapor Brain
PTDEENESFRITNL

Proteger o correio eletrónico pessoal com a autenticação de dois fatores

Ativar a autenticação de dois fatores no correio eletrónico pessoal: métodos, códigos de recuperação, reencaminhamentos a verificar e armadilhas.

Em 30 segundos

Onde acontece
Ao iniciar sessão num correio eletrónico pessoal, e quando uma mensagem falsa, um falso assistente ou uma enxurrada de notificações leva a indicar um código ou a aprovar um pedido.
O que o atacante quer
Entrar na caixa de correio com uma palavra-passe roubada e depois contornar o segundo passo, obtendo da vítima um código ou uma aprovação3.
O reflexo
Ative a autenticação de dois fatores no correio eletrónico, prefira uma aplicação ou uma chave de segurança ao SMS, e nunca aprove nem comunique um código que não tenha sido você a desencadear.
Se já o fez
Verifique as opções de recuperação, os métodos registados e as regras de reencaminhamento da caixa de correio.

Do que se trata

Uma palavra-passe, sozinha, protege mal uma conta de correio eletrónico. A CISA, a agência norte-americana de cibersegurança, lembra que uma palavra-passe pode ser reutilizada, é mais fácil de adivinhar ou de roubar, e que os agentes maliciosos sabem contorná-la1. A autenticação de dois fatores (também chamada MFA, 2FA ou verificação em dois passos) acrescenta uma segunda prova de identidade no momento do início de sessão1.

A CISA coloca o correio eletrónico à cabeça das contas onde se deve ativar a autenticação de dois fatores1. Os serviços enviam muitas vezes um código ou uma ligação para o endereço da conta, a fim de verificar o respetivo titular2. Esta ficha explica os métodos, os gestos a fazer e as armadilhas.

Perguntas diretas

O que é a autenticação de dois fatores?

É um método que combina pelo menos duas provas, entre três famílias: algo que se sabe (palavra-passe, código PIN), algo que se possui (aplicação de autenticação, SMS de confirmação) e algo que se é (impressão digital, rosto)1. Se a palavra-passe for roubada, o atacante esbarra na segunda exigência1.

Onde é preciso ativá-la?

A CISA cita primeiro as contas de correio eletrónico, depois os serviços financeiros, as redes sociais, as lojas em linha e os serviços de jogos e de streaming1. As opções encontram-se nas definições de segurança da conta, com nomes variáveis: "Two Factor Authentication", "Multifactor Authentication" ou "Two Step Factor Authentication"1. Se o serviço não a oferecer, a CISA aconselha a pedi-la1.

Todos os métodos se equivalem?

Não. A CISA escreve que "any MFA is better than no MFA", mas que alguns métodos protegem melhor do que outros1. Apresenta o FIDO/WebAuthn como a única autenticação resistente ao phishing amplamente disponível: se o utilizador for enganado por um site falso, o protocolo bloqueia a tentativa1. As chaves de segurança do tipo U2F, como a YubiKey, são resistentes ao phishing porque a chave privada nunca sai do dispositivo2.

Deve evitar-se o SMS?

É melhor do que nada1, mas tem fragilidades conhecidas. A OWASP classifica-o entre os autenticadores restritos, por causa da interceção SS7, da troca de cartão SIM e da portabilidade do número2. Para quem só tem o SMS, a OWASP aconselha a prever a migração para uma aplicação de códigos temporários (TOTP), para notificações push ou para WebAuthn/FIDO22.

1Como funciona1 min

Uma aplicação de autenticação gera um código numérico de curta duração. O utilizador instala-a no telemóvel, lê um código QR fornecido pelo serviço, que transmite a semente inicial, e depois introduz os códigos apresentados2. A RFC 6238 recomenda por defeito um intervalo de 30 segundos2. O ponto fraco é o telemóvel: se o aparelho se perder, for roubado ou ficar sem bateria, o início de sessão torna-se impossível, e as cópias de segurança da semente podem estar mal guardadas2.

Uma chave de hardware U2F funciona de outra forma. Não há nada para copiar: o utilizador prime um botão ou aproxima a chave de um leitor NFC2.

2O que fazer1 min
  • Ative hoje mesmo a autenticação de dois fatores no correio eletrónico1.
  • Escolha uma aplicação de autenticação ou uma chave de segurança em vez do SMS2. Se só o SMS for proposto, use-o em vez de nada1.
  • Guarde os códigos de recuperação. A OWASP cita, entre os métodos de recuperação habituais, os códigos de utilização única entregues no registo2.
  • Proteja a palavra-passe. A CISA pede palavras-passe longas (pelo menos 16 caracteres), aleatórias e únicas, guardadas num gestor de palavras-passe4.
  • Controle as opções de recuperação: número de telefone, endereço de recurso, dispositivos registados. A OWASP observa que a alteração de um fator de autenticação é uma operação que os atacantes exploram para tomar uma conta, e que o serviço deve avisar o utilizador por outro canal a cada alteração2. Um aviso deste tipo que não provocou é um sinal de alerta.
  • Procure reencaminhamentos. Um atacante pode criar uma regra que transfere as mensagens para outro endereço, e essa regra mantém-lhe o acesso ao correio mesmo depois de os administradores repostos as credenciais5. No correio eletrónico, abra as definições de regras e de reencaminhamento e elimine tudo o que não tenha criado.
3As armadilhas2 min

As notificações em rajada

Um atacante que conheça a palavra-passe pode desencadear o início de sessão em ciclo e inundar a vítima de notificações, SMS e chamadas, na esperança de que ela acabe por aceitar por cansaço: é a "MFA fatigue"3. A MITRE cita grupos que usaram este método, entre os quais o LAPSUS$ e o Scattered Spider3. A regra: aprove apenas os inícios de sessão que acabou de iniciar. Na falta de MFA resistente ao phishing, a CISA convida a considerar a correspondência de números para travar estes assaltos1.

O código pedido por um falso assistente

Uma mensagem de phishing pode pedir que se ligue para um número, onde o interlocutor encaminha a vítima para um endereço malicioso ou a leva a instalar uma ferramenta de acesso remoto6. Um código recebido por SMS ou por correio eletrónico não se comunica a ninguém: serve para provar que é você o titular da conta. A MITRE lembra que os códigos enviados por SMS ou por correio eletrónico podem ser intercetados se o aparelho ou o serviço não estiverem protegidos7.

As falsas mensagens de segurança

O phishing é engenharia social transmitida por via eletrónica: o atacante faz-se passar por uma fonte de confiança6. Uma falsa mensagem de alerta pode reencaminhar para uma cópia do site de início de sessão. Ferramentas como o evilginx2 intercetam então os tokens de autenticação e contornam as formas de autenticação que não resistem ao phishing7. Uma chave FIDO bloqueia este cenário1. Em caso de dúvida, não clique: abra o serviço escrevendo você mesmo o endereço.

O número de telefone desviado

Na troca de cartão SIM, o atacante convence o operador a transferir o número da vítima, o que lhe permite receber os códigos por SMS ou por chamada2. A OWASP recomenda vigiar as alterações de número ou as substituições de cartão SIM inesperadas2.

O segundo passo desativado

Depois de entrar numa conta, um atacante pode desativar a autenticação de dois fatores ou registar o seu próprio método8. De tempos a tempos, reveja a lista de métodos e de dispositivos registados no correio eletrónico.

Ficha

Identificador
CP-559
Ala
5. Vida no escritório e reflexos
Competência Brain
Travar a engenharia social (outsmart_social_engineering)
Reflexo Brain
cr-064
Esquema
G5 · Árvore de decisão do reflexo
Idiomas
de, en, es, fr, it, nl, pt
Fontes
8 fontes verificadas em 3 de novembro de 2026
Fontes8 fontes
  1. CISA, «More than a Password | CISA». https://www.cisa.gov/MFA (consultado em 3 de novembro de 2026)
  2. OWASP, «Multifactor Authentication - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/Multifactor_Authentication_Cheat_Sheet.html (consultado em 3 de novembro de 2026)
  3. MITRE ATT&CK, «Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1621/ (consultado em 3 de novembro de 2026)
  4. CISA, «Require Strong Passwords | CISA». https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-strong-passwords (consultado em 3 de novembro de 2026)
  5. MITRE ATT&CK, «Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1114/003/ (consultado em 3 de novembro de 2026)
  6. MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultado em 3 de novembro de 2026)
  7. MITRE ATT&CK, «Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1111/ (consultado em 3 de novembro de 2026)
  8. MITRE ATT&CK, «Modify Authentication Process: Multi-Factor Authentication, Sub-technique T1556.006 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1556/006/ (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «Proteger o correio eletrónico pessoal com a autenticação de dois fatores», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/autenticacao-dois-fatores-correio-eletronico-pessoal/

BibTeX 
@misc{brain_cp559_pt_2026,
  author = {Brain},
  title = {Proteger o correio eletrónico pessoal com a autenticação de dois fatores},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/autenticacao-dois-fatores-correio-eletronico-pessoal/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0