Use uma chave de segurança ou passkey resistente a phishing quando a corretora oferecer suporte; caso contrário, prefira um aplicativo autenticador dedicado. Guarde os códigos de recuperação offline, cadastre um segundo fator de backup e remova rotas de recuperação por SMS que possam enfraquecer a conta silenciosamente.
Lista de configuração#
- Troque primeiro a senha e encerre as outras sessões. Use uma senha longa e exclusiva, confirme os dispositivos conectados e remova tudo o que não reconhecer.
- Cadastre duas chaves FIDO ou uma chave e um backup bem protegido. Guarde o segundo fator em outro local físico para que um único roubo ou incêndio não elimine o acesso.
- Baixe os códigos de recuperação e mantenha-os offline, separados da senha. Não os salve na mesma nota, e-mail ou gerenciador sem avaliar o risco de concentração.
- Exija 2FA para login, saques e alterações de segurança. Ative a proteção em todas as ações sensíveis, não apenas na entrada da conta.
- Teste o fator de backup em uma janela privada antes de depender dele. Confirme que funciona e que o fator principal continua cadastrado antes de encerrar a sessão ativa.
Antes de fazer alterações#
A autenticação em dois fatores só ajuda quando o segundo fator não pode ser capturado ou redefinido com a mesma facilidade que a senha. O SMS pode ser redirecionado por fraude de SIM swap, enquanto códigos temporários podem ser roubados em tempo real por phishing. Uma credencial FIDO protegida por hardware verifica o domínio legítimo antes de autenticar.
Separe os controles verificáveis antes de sair da conta daqueles que só poderão ser monitorados depois. Estabeleça limites claros para recuperação, dispositivos e alterações de segurança.
Adote a opção mais resistente disponível#
Em uma conta que aceita passkeys ou chaves de segurança, prefira esses métodos a códigos digitados. Se TOTP for a melhor opção disponível, use um autenticador separado, proteja seus backups e nunca leia um código para um atendente.
O que ainda pode dar errado#
- Tratar SMS como o fator mais forte disponível. Uma troca fraudulenta de chip ou falha na operadora pode entregar o código a outra pessoa.
- Salvar o segredo TOTP ao lado da senha da conta. Quem obtiver os dois itens contorna a separação que o 2FA deveria criar.
- Manter uma única chave de segurança sem plano de recuperação. Perder ou danificar o dispositivo pode bloquear o acesso legítimo.
- Aprovar uma solicitação de login que você não iniciou. Notificações inesperadas podem indicar tentativa de invasão ou fadiga de autenticação.
Evidências que vale manter#
Não conclua que a configuração funcionou apenas porque a interface exibiu uma mensagem de sucesso. Confira o estado depois de fechar a página e teste a recuperação sem expor segredos.
| Ponto de controle | Evidência | Condição para parar |
|---|---|---|
| Trocar a senha e encerrar outras sessões | Registro autenticado das configurações com segredos ocultos | Sessões ou dispositivos desconhecidos continuam ativos |
| Cadastrar duas chaves FIDO ou backup protegido | Teste datado de ambos os fatores | Só existe um fator físico sem alternativa de recuperação |
| Guardar códigos de recuperação offline | Verificação do local e do procedimento sem copiar os códigos | Os códigos ficam junto da senha ou acessíveis online |
Guarde hashes de transação, protocolos oficiais ou capturas datadas quando ajudarem a documentar a configuração, mas exclua frases-semente, chaves privadas e códigos de autenticação.
Perguntas frequentes#
Um código do aplicativo autenticador pode ser roubado por phishing?
Sim. Uma página falsa pode repassar um código válido antes que ele expire. A autenticação FIDO vinculada ao domínio resiste a esse tipo de retransmissão.
Devo manter o SMS como backup?
Somente se a corretora não oferecer uma recuperação mais segura. Um canal de recuperação pode se tornar o caminho mais fácil para o invasor.
O que faço se perder meu celular?
Restaure por um backup protegido do autenticador ou use um código de recuperação offline. Depois de entrar, revogue o fator antigo e cadastre um novo.
Guias relacionados#
Fontes#
Aviso de risco: Ações com criptomoedas podem ser irreversíveis. Nunca compartilhe frase-semente, chave privada, senha ou código de autenticação e verifique cada domínio e solicitação da carteira de forma independente.
Padrão editorial
Este guia é educativo e baseado em fontes. Controles de segurança, regras das corretoras e exigências legais podem mudar; confirme etapas importantes em fontes oficiais.
