Autenticação com vários fatores: por que contas começar

Ficha complementar da lição “Autenticação com vários fatores: combinar os fatores” — curso Segurança Online

A autenticação com vários fatores não é uma definição que se liga uma vez. É uma decisão que se toma conta a conta, e a ordem conta mais do que o total. Esta ficha é sobre escolher essa ordem com critério, em vez de começar onde por acaso estamos.

Não é um problema teórico: o Estado português teve de resolvê-lo à escala de milhões de contribuintes, e a resposta que deu — começar por um serviço, por fases — é a mesma lógica que serve para as tuas trinta contas.

A. Porque é que isto conta

Autenticação com vários fatores — multifator, ou de dois fatores quando são exatamente dois — é exigir mais de uma categoria de prova para iniciar sessão. A ficha sobre os três fatores trata de quais são essas categorias; a ficha sobre porque é precisa trata do raciocínio.

O que fica, e é o assunto desta ficha, é a pergunta prática a que ninguém responde: tens trinta contas e paciência limitada. Por onde começas?

O critério, escrito por uma autoridade portuguesa

A CNPD (Portugal) dá o critério na DIRETRIZ/2023/1, de 10 de janeiro de 2023: a autenticação multifator deve ser ponderada «face à sensibilidade da informação» e aos privilégios dos utilizadores. O texto dirige-se a quem trata dados pessoais, não ao cidadão, mas o princípio transporta-se: não se protege tudo ao mesmo nível, protege-se primeiro onde há mais em jogo.

O que o Estado português já decidiu por ti

Três das tuas contas mais sensíveis já não são uma escolha. O banco exige autenticação forte por obrigação legal. O Portal das Finanças exige autenticação em dois passos desde 11 de julho de 2025, por fases. A Segurança Social Direta segue o mesmo caminho a partir de 16 de maio de 2026.

Isso é, ao mesmo tempo, uma boa e uma má notícia. A boa: a parte mais difícil da lista já está feita. A má: sobra exatamente a conta que ninguém te obriga a proteger, e que é a que recupera todas as outras.

B. Conceitos-chave

Seis ideias sobre cobertura e prioridade.

Multifator e dois fatores

Autenticação multifator é o termo geral para exigir duas ou mais categorias de prova. Dois fatores é o caso comum, com exatamente duas.

Porque é que isto te interessa: nas definições dos serviços os termos usam-se quase indiferentemente, e em português há mais variantes — autenticação em dois passos no gov.pt, duplo fator na Segurança Social Direta, verificação de dois passos na Microsoft. Descrevem todos a mesma coisa.

O e-mail como conta de recuperação

A maior parte dos serviços envia para o teu endereço de e-mail as redefinições de palavra-passe e os códigos de confirmação.

Porque é que isto te interessa: quem controla essa caixa controla, na prática, quase tudo o que ela redefine. É a razão de vir primeiro. A DECO PROteste chega lá pela mesma via: recomenda a verificação em duas etapas nas contas críticas, e dá prioridade ao e-mail porque é o canal de recuperação das outras.

Contas críticas

E-mail principal, banco em linha, contas de trabalho, nuvem com documentos, redes sociais principais, e a identidade digital nacional — a Chave Móvel Digital, com 4,4 milhões de ativações em outubro de 2025.

Porque é que isto te interessa: são as contas onde um comprometimento chega às tuas finanças, ao teu trabalho ou à tua reputação. O resto pode esperar.

Resiliência da conta

A capacidade de aguentar um erro — uma palavra-passe reutilizada, uma base de dados exposta, um momento de distração — sem perder a conta.

Porque é que isto te interessa: é a medida que compra mais resiliência por minuto gasto. Não evita os erros; impede que sejam definitivos.

Códigos de reserva e recuperação

Os códigos de utilização única que um serviço te dá quando ativas o segundo fator, para quando o telemóvel não está disponível. Não há termo padronizado em português europeu: aqui chamamos-lhes códigos de reserva, alguns serviços dizem códigos de recuperação e a Microsoft códigos de segurança.

Porque é que isto te interessa: a forma mais comum de perder uma conta por causa do segundo fator não é um ataque — é um telemóvel substituído e nenhum código guardado. A Segurança Social Direta teve de publicar uma página de ajuda só para quem perdeu o acesso ao número de telemóvel.

Os segundos fatores não são todos iguais

A mensagem escrita é a mais frágil, as aplicações de autenticação são bastante melhores, as chaves físicas e as passkeys são as mais sólidas.

Porque é que isto te interessa: vale saber, mas não vale parar por isso — qualquer segundo fator é melhor do que nenhum, e o Portal das Finanças usar mensagem escrita não é argumento contra ativá-lo. A comparação tem ficha própria.

C. Um exemplo concreto: a ordem que salvou o resto

A Sofia usa a mesma palavra-passe no e-mail e nas redes sociais. Cai numa página de início de sessão falsa e convincente da rede social e escreve ali as suas credenciais. Quem a montou tem agora um endereço e uma palavra-passe que funcionam em dois sítios.

Se tivesse começado pela rede social

A rede social estaria protegida, e o e-mail não. O atacante entra na caixa de correio, redefine por ali a palavra-passe da rede social, e o segundo fator que ela ativou é contornado em vez de derrotado.

Porque começou pelo e-mail

• O atacante chega à caixa de correio e é-lhe pedido um código da aplicação de autenticação.
• O início de sessão para ali, e a Sofia recebe uma notificação da tentativa.
• Ela muda a palavra-passe nas duas contas antes de acontecer mais nada.

É o mesmo raciocínio dos «Cuidados a ter na utilização de canais digitais» do Banco de Portugal: ativar alertas, terminar a sessão, evitar equipamentos públicos — reduzir o tempo entre a tentativa e o teu conhecimento dela.

A mesma pessoa, o mesmo erro, as mesmas ferramentas — ordem diferente. A conta que consegue redefinir as outras é a que decide até onde chega um comprometimento.

D. Experimenta: desenha a tua cobertura em 10 minutos

O resultado é uma lista curta, não um trabalho acabado. É esse o ponto.

Passo 1 — Listar as contas críticas (3 minutos)

• Três pessoais: e-mail principal, armazenamento na nuvem, banco ou serviço de pagamentos.
• Duas de trabalho, se as tiveres: o e-mail da empresa, e o sistema interno que guarda mais.
• À medida que escreves, anota para onde vai a ligação de recuperação de cada conta. É isso que te dá a ordem.

Passo 2 — Verificar cada uma (5 minutos)

• Há segundo fator disponível? Sim, não, ou não sei.
• Que método escolherias: aplicação de autenticação, chave física, ou mensagem escrita se não houver mais nada?
• Qual é a ação concreta seguinte — ativá-lo tu, ou pedir a quem administra a conta?

Passo 3 — Fazer uma agora (2 minutos)

• Ativa o segundo fator numa conta antes de fechares esta página. O e-mail, se ainda não estiver feito.
• Guarda os códigos de reserva enquanto estás lá, num sítio que alcances sem o telemóvel.

Depois acaba a frase: hoje protegi melhor a minha conta ______ ao ativar ______. A lista que fizeste cobre o resto, quando lhe chegares.

E. Vídeos, artigos e outros recursos

Fontes institucionais portuguesas primeiro, depois as internacionais.

CNPD (Portugal) — DIRETRIZ/2023/1, medidas de segurança (10 de janeiro de 2023)
De onde vem o critério desta ficha: autenticação multifator ponderada face à sensibilidade da informação e aos privilégios dos utilizadores. Dirigida a quem trata dados.
https://www.cnpd.pt/umbraco/surface/cnpdDecision/download/122048

gov.pt — Acesso ao Portal das Finanças com autenticação em dois passos
A notícia de 11 de julho de 2025: uma ordem decidida à escala nacional, por fases.
https://www.gov.pt/noticias/acesso-ao-portal-das-financas-com-autenticacao-em-dois-passos

DECO PROteste — Segurança Social Direta: como ativar o acesso com autenticação de dois fatores (15 de maio de 2026)
O passo a passo do segundo serviço público a exigi-lo.
https://www.deco.proteste.pt/tecnologia/ciberseguranca/noticias/seguranca-social-direta-como-ativar-acesso-autenticacao-dois-fatores

DECO PROteste — Como criar palavras-passe seguras (20 de outubro de 2025)
O único raciocínio de prioridade explícito em português: o e-mail primeiro, porque é o canal de recuperação das outras.
https://www.deco.proteste.pt/tecnologia/ciberseguranca/dicas/como-criar-palavras-passe-seguras

Banco de Portugal — Cuidados a ter na utilização de canais digitais
A conta que já te obriga a dois elementos, e os cuidados que o regulador lhe associa.
https://clientebancario.bportugal.pt/pt-pt/cuidados-ter-na-utilizacao-de-canais-digitais

digital.gov.pt — Identidade Digital (atualizado a 23 de outubro de 2025)
A Chave Móvel Digital como «meio de autenticação e assinatura digital certificado pelo Estado português».
https://digital.gov.pt/pt/servicos-publicos-digitais/identidade-digital

Apple (pt-PT) — Autenticação de dois fatores para a conta Apple, no painel «Início de sessão e segurança»
https://support.apple.com/pt-pt/102660

CISA — Turn on multi-factor authentication
Em inglês: que contas priorizar, segundo a agência norte-americana.
https://www.cisa.gov/secure-our-world/turn-mfa

NCSC (Reino Unido) — Turn on 2-step verification
Em inglês: o argumento mais curto para começar pelo e-mail.
https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/activate-2-step-verification-on-your-email

Queixa Eletrónica (GNR e PSP) — apresentar queixa por burla
O caminho português quando uma conta é comprometida apesar de tudo. Acede-se com Cartão de Cidadão ou Chave Móvel Digital. Não é para emergências: para isso, 112.
https://queixaselectronicas.mai.gov.pt/Queixas/Burla

Ligações verificadas em setembro de 2026.

F. O Framework Cyber Welfare: Competências, Consciência, Comportamento Seguro

Esta lição assenta no pilar Competências, ao nível FL2: saber o que fazer é fácil, saber o que fazer primeiro é a competência.

Competências

• Ativar um segundo fator em pelo menos um serviço sem precisar de ajuda.
• Distinguir os métodos mais frágeis dos mais sólidos, o suficiente para escolher.
• Guardar os códigos de reserva num sítio que não dependa do telemóvel.

Para profissionais e organizações

• Identificar que contas internas têm a alavancagem que o e-mail pessoal tem, e cobrir essas primeiro, com o critério da CNPD (Portugal): sensibilidade da informação e privilégios.

Consciência

• Passar de «uma palavra-passe forte basta» para perceber que já não basta.
• Reconhecer como as credenciais são de facto levadas: phishing e fugas de dados, não adivinhação inteligente.
• Ver porque é que a conta de recuperação importa mais do que as contas que recupera.

Para futuros formadores e embaixadores

• Ensinar a ordem, e não a lista. Quem começa pelo e-mail acaba; quem começa por ordem alfabética para.
• Usar as Finanças e a Segurança Social Direta como prova de que isto já é normal.

Comportamento Seguro

• Ativar um segundo fator de forma sistemática no e-mail, no banco e nas contas de trabalho.
• Rever de vez em quando as definições de segurança e os registos de acesso das contas críticas.
• Tratar o segundo fator como parte de criar uma conta nova importante, e não como melhoria posterior.

Para organizações

• Tornar a autenticação multifator um requisito mínimo para o acesso remoto, e fornecer o método em vez de deixar a escolha aberta.

G. Perguntas para levar contigo

1. Que conta, se alguém estivesse lá dentro durante um dia, te daria mais trabalho? Está protegida por mais do que uma palavra-passe?
2. O teu e-mail principal está coberto? Se não, há uma razão, ou simplesmente nunca surgiu?
3. Onde estão os teus códigos de reserva? Conseguias chegar-lhes sem o telemóvel?
4. Quantas das tuas contas críticas continuariam acessíveis se perdesses o telemóvel hoje?
5. Já ativaste o segundo fator nas Finanças e na Segurança Social Direta? Custou o que esperavas?

H. O que fazer agora

As recomendações (R) e as medidas de segurança (MS) da base Cyber Welfare, na ordem por que convém aplicá-las.

O segundo fator, por ordem de prioridade

• R4 — Proteger as contas com um segundo fator, de preferência uma aplicação de autenticação ou um token físico.
• R8 — Ativa os alertas de início de sessão nas contas, e os limites de tentativas, para que uma tentativa te chegue depressa.
• MS17 — Dá ao e-mail ligado ao banco uma credencial sólida e um segundo fator.

Compromisso mínimo: e-mail principal, depois o banco, depois o trabalho, depois as redes sociais principais. Nessa ordem.

O primeiro fator, que o segundo não substitui

• R1 — Uma palavra-passe para cada conta.
• R2 — Guardar as palavras-passe em segurança, num gestor de confiança.
• R3 — Pelo menos 16 caracteres, com tipos variados. O CNCS e a CNPD (Portugal) fixam o mínimo em 12.
• MS1 — Gerar em vez de inventar.
• MS2 — Usar o preenchimento automático, que também evita escrever credenciais em páginas falsas.

O dispositivo e a ligação

• R6 — Manter o software atualizado, com atualizações automáticas.
• R9 — Ligar-se apenas através de HTTPS.
• MS4 — Um código alfanumérico de 8 caracteres ou mais no dispositivo que guarda o segundo fator.

Cinco passos que cabem numa tarde

1. Ativa hoje o segundo fator no e-mail principal.
2. Escolhe uma aplicação de autenticação em vez de mensagem escrita, onde essa opção exista.
3. Guarda os códigos de reserva num sítio a que chegues sem o telemóvel.
4. Confirma que o próprio telemóvel tem um código de desbloqueio sólido.
5. Ativa os alertas de início de sessão suspeito, onde o serviço os oferecer.

Compromisso mínimo: isto cobre a conta com mais alavancagem sobre todas as outras. As restantes podem seguir uma a uma.

Em resumo

• Multifator e dois fatores descrevem a mesma coisa: mais de uma categoria de prova.
• O e-mail primeiro, porque é a conta que redefine as outras — e é a única das contas sensíveis que ninguém te obriga a proteger.
• O critério da CNPD (Portugal) serve também para ti: sensibilidade da informação, e privilégios de quem entra.
• Qualquer segundo fator é melhor do que nenhum. Não pares para escolher o melhor.
• Os códigos de reserva são o que impede o segundo fator de te fechar a porta da tua própria conta.

Outros recursos deste curso

O raciocínio, o vocabulário e a comparação:

• Duplica a segurança: porque é precisa a autenticação de dois fatores
• Os três fatores de autenticação: saber, ter, ser
• Métodos de autenticação de dois fatores: não são equivalentes

Descobre mais fichas complementares dos cursos do programa Proteja a Sua Privacidade Digital.