A indústria passou vinte anos ensinando usuários a criar senhas fortes — e os atacantes responderam parando de adivinhar senhas: hoje eles as pescam, junto com o código SMS, em páginas falsas que fazem proxy do login verdadeiro em tempo real. A resposta técnica madura tem nome: autenticação resistente a phishing.
Por que o SMS caiu do pedestal
Códigos por SMS ou app sofrem de um defeito estrutural: o usuário pode digitá-los no lugar errado. Kits de phishing modernos automatizam exatamente isso (adversary-in-the-middle), invalidando o segundo fator clássico. Some-se o SIM swap — clonagem de chip com engenharia social nas operadoras — e o SMS vira o elo fraco do MFA.
Como a passkey resolve
No padrão FIDO2/WebAuthn, a credencial é um par de chaves criptográficas vinculado ao domínio legítimo: o telefone assina o desafio somente para o site verdadeiro, destravado por biometria local (que nunca sai do aparelho). Não há segredo para digitar — logo, não há o que pescar. Grandes plataformas globais já ativaram passkeys por padrão, e o login sem senha se tornou também caso de negócio: menos fricção, menos reset de senha no suporte.
A biometria da passkey não viaja: o que o servidor recebe é apenas a assinatura criptográfica. Mesmo num vazamento total do banco de credenciais do site, não há senha nem digital para roubar — o dado vazado é uma chave pública, inútil sozinha.
Referências e legislação
- FIDO2 / WebAuthn (W3C) · Padrão aberto de autenticação sem senha — acessar
- NIST SP 800-63B · Diretrizes de autenticação digital e resistência a phishing — acessar
- ISO/IEC 27001:2022 — controle 5.17 · Informações de autenticação
Roteiro pragmático que aplicamos: passkeys/FIDO2 primeiro para administradores e acessos privilegiados (o maior risco), depois expansão por população. O ganho de segurança do primeiro passo é desproporcional ao esforço.
— Núcleo Técnico EBAEM · Empresa Brasileira de Assessoria Executiva e Multidisciplinar
Como a EBAEM ajuda: fale com nosso time e transforme este tema em plano de ação na sua organização.