Chave de segurança para o banco online, com o gestor

Ficha complementar da lição “Gestores de palavras-passe contra o phishing nos sites do banco” — curso Segurança Online

Numa conta bancária, uma palavra-passe forte é necessária e não é suficiente. Uma chave de segurança no banco online, usada com um gestor de palavras-passe, acrescenta o que uma palavra-passe não consegue: uma verificação do próprio endereço, feita por um dispositivo que não se deixa convencer do contrário.

Uma nota antes de começar, porque muda a forma de ler esta ficha. Nenhuma entidade pública portuguesa diz ao cidadão que um gestor de palavras-passe não preenche num domínio errado, nem lhe recomenda uma chave física: o CNCS recomenda o gestor para não reutilizares palavras-passe, e trata as chaves FIDO num guia dirigido a organizações. O vocabulário português para dizer tudo isto existe, e é sólido — mas o mecanismo vem de fontes internacionais, e fica dito.

A. Porque é que isto conta

Esta ficha parte do princípio de que já sabes o que é um gestor de palavras-passe. Se não, a ficha sobre gestores de palavras-passe trata disso primeiro — aqui olhamos para o que estas ferramentas acrescentam quando há dinheiro envolvido.

Três coisas trabalham juntas:

• O gestor de palavras-passe garante que as tuas credenciais são longas e únicas.
• O preenchimento automático só é proposto num sítio que o gestor reconhece — ou seja, verifica o endereço por ti, em silêncio.
• Uma chave de segurança confirma que o sítio é o verdadeiro antes de autorizar o que seja.

Onde é que isto encaixa nas categorias do Banco de Portugal

O «Guia sobre a autenticação forte do cliente» arruma os fatores em conhecimento, posse e inerência, e exige elementos de pelo menos duas categorias. Uma chave de segurança é posse no sentido mais literal possível: um objeto que tens na mão. O mesmo guia diz o que não conta como posse — o cartão-matriz, porque é replicável, e os dados do cartão de pagamento.

Uma segunda nota de honestidade: não se encontrou nenhum dos grandes bancos portugueses a oferecer chaves de segurança físicas a clientes particulares. Há um banco a operar em Portugal, o ABANCA, que oferece uma chave de acesso — uma passkey — dentro da sua aplicação, e explica-a exatamente com o argumento desta ficha: «mesmo perante uma página falsa, as credenciais não são digitadas nem podem ser capturadas», porque a chave privada «nunca é partilhada com ninguém». É comunicação de um banco sobre o seu próprio produto, e serve como prova de que isto já existe em Portugal — não como recomendação neutra.

B. Conceitos-chave

Seis ideias, centradas no que muda quando está uma conta bancária em causa.

O preenchimento automático como sinal de aviso

O gestor preenche credenciais apenas no domínio que guardou. Num endereço parecido, não acontece nada.

Porque é que isto te interessa: é a parte que as pessoas subaproveitam. O preenchimento a falhar não é um incómodo para contornar — é informação. Se o gestor não propõe preencher, para e verifica o endereço.

Phishing

Mensagens e páginas falsas que imitam um banco, um serviço de correio eletrónico ou uma rede social, construídas para recolher credenciais e códigos de utilização única.

Porque é que isto te interessa: as páginas de hoje são visualmente idênticas às verdadeiras e reencaminham os códigos em tempo real. O Gabinete de Cibercrime descreve as campanhas portuguesas como abusos «do respetivo nome e imagem». Reconhecê-las a olho não é uma defesa fiável.

Chave de segurança física

Um pequeno dispositivo ligado por USB ou encostado ao telemóvel por NFC. Premes para confirmar um início de sessão, e usa as normas FIDO2 e U2F. O CNCS inclui as chaves FIDO entre as soluções de autenticação multifator — num guia escrito para organizações, não para o cidadão.

Porque é que isto te interessa: é o segundo fator mais fiável ao alcance de uma pessoa, e não é caro nem complicado depois de configurado. A pergunta prática é onde podes usá-la: no e-mail e na nuvem, quase sempre; no teu banco, só se ele a suportar.

Segundo fator resistente ao phishing

Um fator que não pode ser reproduzido num sítio falso. A chave assina um desafio ligado ao domínio verdadeiro e não responde a nenhum outro. A documentação da Microsoft em português europeu tem a expressão exata: criptografia de chave pública vinculada à origem, que produz «resistência à usurpação de verificadores» — o autenticador só revela o segredo a quem foi registado, não a quem finge sê-lo.

Porque é que isto te interessa: é esta a diferença que conta. Um código de uma aplicação pode ser escrito numa página falsa por alguém com pressa; uma chave não pode ser convencida a fazer o equivalente. A Google, também em português europeu, resume o lado cómodo: «Basta usar a sua impressão digital, leitura do rosto ou bloqueio de ecrã para iniciar sessão.»

A frase-passe mestra

A frase longa e única que protege o gestor, usada em mais nenhum sítio. Chamamos-lhe frase-passe; o CNCS diz frases-chave, e a DECO PROteste fala de palavra-passe mestra, ou chave mestra, e chama cofre ao sítio onde as credenciais ficam.

Porque é que isto te interessa: passa a ser o ponto central de defesa de todas as credenciais lá dentro, e é por isso que merece ser a coisa mais forte que tens. O CNCS pede um mínimo de 12 caracteres e uma palavra-passe diferente por serviço; a recomendação Cyber Welfare vai aos 16.

Os marcadores como hábito

Chegar ao banco por um marcador guardado ou escrevendo o endereço, nunca por uma ligação numa mensagem ou por um resultado patrocinado de pesquisa. É também o que o Todos Contam recomenda: escrever o endereço do banco à mão.

Porque é que isto te interessa: é pequeno, é gratuito, e retira toda a categoria de ataques que começa numa ligação.

C. Um exemplo concreto: o e-mail que quase funcionou

A Helena usa o banco online e um par de serviços financeiros.

Antes

• Três ou quatro palavras-passe parecidas espalhadas por muitos sítios.
• Algumas escritas num papel.
• Chega ao banco a pesquisar o nome e a clicar no primeiro resultado.

Um dia chega uma mensagem do que parece ser o banco: a conta foi limitada, inicia sessão para verificar. Ela clica, chega a uma página igual à verdadeira e introduz os dados. Quem os recebeu usa-os no sítio genuíno em segundos e começa uma transferência.

Depois

• Um gestor de palavras-passe gera credenciais únicas para cada conta, protegido por uma frase-passe mestra longa.
• A entrada do banco está guardada contra o domínio oficial exato.
• Uma chave de segurança está registada como segundo fator — na conta de e-mail, que a suporta, e no banco se ele a suportar.
• O endereço verdadeiro do banco está num marcador.

Chega o e-mail urgente seguinte. Ela clica na ligação, e duas coisas acontecem em silêncio: o gestor não propõe preencher nada, porque o domínio não corresponde, e a chave de segurança não autoriza um início de sessão num sítio que não reconhece.

Nenhuma das duas é um aviso vermelho. São simplesmente a ausência da ajuda a que ela se habituou — e isso chega para a fazer parar, fechar a página e ir ao banco pelo marcador.

O mesmo ataque, contra a mesma pessoa: de quase certo a bloqueado. O que mudou não foi a atenção dela. Foi as ferramentas estarem a fazer a verificação.

D. Experimenta: o teu primeiro início de sessão verificado

Cerca de 15 minutos, e um dos passos vale a pena repetir sempre que usares um serviço novo.

Passo 1 — Vê onde estás

• Lista três contas importantes: e-mail principal, banco, armazenamento na nuvem.
• Para cada uma, responde com honestidade: a palavra-passe é usada noutro sítio? Está ligado um segundo fator, e de que tipo — mensagem escrita, aplicação ou chave? A conta está no gestor de palavras-passe?

Passo 2 — Faz uma verificação do preenchimento automático

• Escolhe um serviço que uses muito. Escreve o endereço à mão e guarda-o num marcador.
• Abre-o pelo marcador e repara no gestor a propor o preenchimento.
• Depois chega ao mesmo serviço por um motor de pesquisa ou por uma ligação num e-mail antigo, e compara o endereço com atenção.
• O objetivo do exercício é aprender como é o preenchimento a funcionar — para que a sua ausência se note.

Passo 3 — A lista de verificação

• Já escolhi que gestor de palavras-passe vou usar.
• Criei, ou vou criar, uma frase-passe mestra forte e única.
• Chego aos meus sítios críticos por marcadores e não por ligações.
• Estou a considerar uma chave de segurança para, pelo menos, uma conta crítica — e verifiquei, na página de segurança do meu banco, se ele a suporta.

Se uma chave de segurança te parecer, por agora, um passo grande demais, o hábito do marcador e a verificação do preenchimento não custam nada e já retiram a maior parte do risco.

E. Vídeos, artigos e outros recursos

Fontes portuguesas primeiro; depois as internacionais, que aqui carregam o mecanismo, porque nenhuma fonte pública portuguesa o trata.

CNCS — Boas práticas no uso de palavras-passe
A recomendação nacional do gestor de palavras-passe, o mínimo de 12 caracteres, uma por serviço, e a autenticação multifator. Recomenda o gestor para não reutilizares credenciais, não como defesa contra o phishing.
https://www.cncs.gov.pt/pt/boas-praticas-passwords/

CNCS — Guia para a Seleção de Soluções de Autenticação Multifator (PDF)
Chaves FIDO, tokens físicos, soft tokens, códigos de utilização única, notificações e biometria. Dirigido a organizações: lê-se pelo critério.
https://www.cncs.gov.pt/docs/guia-mfa.pdf

Banco de Portugal — Guia sobre a autenticação forte do cliente (PDF)
Conhecimento, posse e inerência, e o que não conta como fator: o cartão-matriz e as suas coordenadas.
https://www.bportugal.pt/sites/default/files/anexos/pdf-boletim/guia_autenticacao_forte.pdf

Todos Contam (Banco de Portugal, CMVM e ASF) — Fraude informática
Os três supervisores financeiros: escrever o endereço do banco à mão em vez de clicar.
https://www.todoscontam.pt/pt-pt/fraude-informatica

CNPD (Portugal) — DIRETRIZ/2023/1, medidas de segurança (10 de janeiro de 2023)
A autoridade de proteção de dados fixa palavras-passe de 12 caracteres, únicas, e autenticação multifator conforme a sensibilidade. Dirigida a quem trata dados pessoais, não ao cidadão.
https://www.cnpd.pt/umbraco/surface/cnpdDecision/download/122048

Google Safety Center (pt-PT) — Autenticação sem palavra-passe com chaves de acesso
Em português europeu: as chaves de acesso ficam no dispositivo, não se adivinham e não se reutilizam.
https://safety.google/intl/pt-PT_pt/authentication/passkey/

Microsoft Learn (pt-PT) — Chaves de acesso (FIDO2)
Documentação para administradores, citada aqui pelo vocabulário: «phishing remoto», «criptografia de chave pública vinculada à origem», «resistência à usurpação de verificadores». É a melhor formulação em português do mecanismo anti-phishing.
https://learn.microsoft.com/pt-pt/entra/identity/authentication/concept-authentication-passkeys-fido2

ABANCA — Passkeys: evite burlas online e faça pagamentos seguros
Comunicação de um banco a operar em Portugal sobre o seu próprio produto. Vale como prova de que uma chave de acesso já existe na banca portuguesa, e é uma passkey na aplicação, não uma chave física.
https://www.abanca.pt/radar/evitar-burlas-online-passkeys/

DECO PROteste — Gestores de palavras-passe: testámos 17 serviços (julho de 2022)
Associação de consumidores, com parte do conteúdo reservada a assinantes, e um teste antigo para um produto: lê-se pelo critério e não pela classificação. A frase útil: «um bom gestor de palavras-passe compara aquelas que cria com as que já foram usadas e pirateadas».
https://www.deco.proteste.pt/comunidades/testes-deco-proteste/eletrodomesticos-e-tecnologia/conversation/10163/gestores-de-passwords-testamos-17-servicos

NCSC (Reino Unido) — Passkeys are more secure than traditional ways to log in (abril de 2026)
Em inglês, e fica em inglês: as passkeys usam o mesmo mecanismo resistente ao phishing de uma chave física, já dentro dos dispositivos que tens.
https://www.ncsc.gov.uk/blogs/passkeys-are-more-secure-than-traditional-ways-to-log-in

NCSC (Reino Unido) — Password managers: how they help you secure passwords

Em inglês, e fica em inglês: a resposta séria à pergunta que todos fazem primeiro — é seguro guardar todas as palavras-passe no mesmo sítio? — e o sinal do preenchimento automático, que nenhuma fonte portuguesa formula.
https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/password-managers

CISA (Estados Unidos) — Turn on multi-factor authentication
Em inglês: que segundos fatores são mais fortes, e porque é que a diferença pesa mais nas contas financeiras.
https://www.cisa.gov/secure-our-world/turn-mfa

Links verificados em setembro de 2026. Sobre chaves de segurança, a documentação do fabricante é a referência prática para a configuração — mas é documentação de produto, não conselho independente.

F. O Framework Cyber Welfare: Competências, Consciência, Comportamento Seguro

Esta lição assenta no pilar Competências, ao nível FL3: pressupõe as bases e acrescenta uma camada mais deliberada.

Competências

• Usar um gestor de palavras-passe para criar, guardar e preencher credenciais únicas.
• Perceber o que fazem as chaves de segurança na autenticação multifator e porque resistem ao phishing.
• Ler os sinais de um sítio autêntico: o domínio exato, o HTTPS, e se o gestor o reconhece.

Para profissionais e organizações

• Registar fatores resistentes ao phishing nas contas que autorizam pagamentos, antes de tudo o resto.

Consciência

• Perceber que uma credencial entregue a um sítio falso abre muitas contas se for reutilizada.
• Saber que o gestor é o ponto único de falha, e que a frase-passe mestra e o segundo fator são o que o protege.
• Aceitar que estas ferramentas são auxílios e não garantias: funcionam por causa de hábitos como o marcador, não em vez deles.

Para futuros formadores e embaixadores

• Ensinar o sinal do preenchimento automático de forma explícita. É a coisa mais útil desta lição e a mais fácil de passar ao lado.

Comportamento Seguro

• Deixar o gestor decidir quando preencher, em vez de escrever credenciais à mão.
• Chegar aos sítios críticos só por marcadores ou escrevendo o endereço.
• Introduzir chaves de segurança aos poucos, a começar pela conta de maior valor.

Para organizações

• Fornecer chaves às funções com poder financeiro, em vez de contar com a iniciativa de cada um.

G. Perguntas para levar contigo

1. Quantas vezes por dia escreves uma palavra-passe à mão? Quanto disso podia estar a fazer o gestor?
2. Se perdesses hoje o acesso a uma só conta — o e-mail principal ou o banco online — o que mais ficava afetado?
3. Estás a confiar mais nos teus hábitos ou em ferramentas feitas para o trabalho?
4. A que conta darias primeiro uma entrada no gestor e um segundo fator forte?
5. A página de segurança do teu banco diz que segundos fatores suporta? Já foste ver?

H. O que fazer agora

As recomendações (R) e as medidas de segurança (MS) da base Cyber Welfare, com o que cada uma significa neste contexto.

Credenciais e segundo fator

• R1 — Não reutilizar palavras-passe. O gestor torna isto automático em vez de trabalhoso.
• R2 — Usar um gestor de palavras-passe de confiança com uma frase-passe mestra forte e única. Sem isso, o cofre passa a ser o ponto fraco.
• R3 — Pelo menos 16 caracteres com tipos variados. O CNCS e a CNPD (Portugal) fixam o mínimo em 12: a recomendação Cyber Welfare é mais exigente, não mais frouxa.
• R4 — Ativar a autenticação multifator. Para o banco e o e-mail principal, aponta a uma chave de segurança, ou no mínimo a uma aplicação de autenticação em vez de mensagens escritas.
• MS1 — Usar o gerador sempre que crias uma conta ou mudas uma palavra-passe.
• MS2 — Tratar o preenchimento automático como regra: se o gestor não preenche, para e verifica o endereço.

À volta da conta

• R8 — Ativar os limites de tentativas e os alertas de início de sessão.
• R9 — Ligar-se apenas por HTTPS. Credenciais ligadas ao domínio reduzem também o risco de as enviar para uma versão insegura de um sítio.
• MS17 — Dar ao endereço de e-mail ligado ao banco uma das tuas credenciais mais fortes e o teu melhor segundo fator. É a chave para recuperar quase todas as outras contas.

Quatro passos, por ordem

1. Escolher um gestor de palavras-passe e criar uma frase-passe mestra forte.
2. Migrar três contas críticas — e-mail principal, banco, nuvem — para palavras-passe geradas.
3. Ligar um segundo fator forte, aplicação ou chave de segurança, em pelo menos uma delas.
4. Guardar o endereço verdadeiro do banco num marcador e usar só esse a partir de agora.

E adotar uma regra que vale mais do que as outras: se o gestor de palavras-passe não propõe preencher, verifica o endereço antes de escrever o que seja.

Em resumo

• O preenchimento automático verifica o domínio por ti — o silêncio dele é um sinal, não uma avaria.
• Uma chave de segurança não autoriza um início de sessão num sítio que não reconhece: é isso que a torna resistente ao phishing.
• Em português europeu, o mecanismo tem nome: criptografia de chave pública vinculada à origem, e a chave privada não sai do teu dispositivo.
• Nenhuma entidade pública portuguesa recomenda ainda uma chave física ao cidadão, e os grandes bancos portugueses não a oferecem: verifica no teu banco antes de contar com ela.
• Os marcadores retiram toda a categoria de ataques que começa numa ligação.

Outros recursos deste curso

As bases em que esta assenta:

• Gestor de palavras-passe: uma para recordar, todas as outras fortes
• Proteger o banco online: o e-mail e o número de telefone
• Como reconhecer o phishing feito para convencer

Descobre mais fichas complementares dos cursos do programa Proteja a Sua Privacidade Digital.