← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem

Passkeys, MFA e o fim das senhas: o que barra a tomada de conta

97% dos ataques de identidade usam senhas. Saiba quais MFAs resistem a phishing, o que mostram os dados das passkeys e um checklist contra tomada de conta.

2026-10-03

A senha continua sendo o elo mais fraco da segurança digital. Segundo o relatório Microsoft Digital Defense Report 2025, os ataques de identidade cresceram 32% no primeiro semestre de 2025, e 97% deles foram de password spray ou força bruta (Expert Insights). No DBIR 2025 da Verizon, credenciais roubadas foram o principal vetor de violação, com 22% dos casos (Help Net Security).

A tomada de conta (account takeover) é a porta de entrada de muitos outros crimes: fraude bancária, golpes com o perfil da vítima em redes sociais, comprometimento de e-mail corporativo e invasões de rede que terminam em ransomware. Uma única senha reaproveitada pode abrir todas essas portas.

A boa notícia é que existe defesa eficaz. A má é que nem todo segundo fator protege igual.

MFA funciona, mas há MFA e MFA

A Microsoft afirma que ferramentas modernas de autenticação multifator bloqueiam mais de 99% das tentativas de acesso não autorizado e chama o MFA de a medida de segurança mais importante que uma organização pode adotar. Mas os criminosos aprenderam a contornar as versões mais simples.

A agência americana CISA publicou em outubro de 2022 uma hierarquia que segue como referência, resumida pelo escritório Bricker Graydon:

Método	Avaliação da CISA	Principais ameaças
FIDO/WebAuthn (passkeys, chaves físicas) e PKI (smart cards)	Resistente a phishing, recomendado	Baixa exposição
App com código ou notificação push	Vulnerável	Phishing em tempo real, "fadiga de MFA" (push bombing)
SMS, voz ou e-mail	Último recurso	SIM swap, falhas do protocolo SS7, phishing

Para quem ainda usa push, a CISA recomenda ativar a correspondência de números (o usuário digita no app o número exibido na tela de login), o que reduz a aprovação por cansaço. E sugere migrar por fases, começando por e-mail, servidores de arquivos, acesso remoto e usuários de alto valor, como administradores, advogados e RH.

Passkeys: a senha que não pode ser roubada

As passkeys são credenciais baseadas no padrão FIDO. Em vez de uma senha que o usuário digita e que pode ser capturada num site falso, o dispositivo guarda uma chave criptográfica vinculada ao endereço legítimo do serviço. Sem o site certo, não há o que entregar ao golpista.

O primeiro Passkey Index da FIDO Alliance, lançado em 14 de outubro de 2025 com dados de empresas como Amazon, Google, Microsoft, PayPal, Target e TikTok, mostrou (FIDO Alliance):

93% das contas eram elegíveis a passkeys e 36% já tinham uma cadastrada;
26% dos logins usavam passkey;
taxa de sucesso de login de 93%, contra 63% de outros métodos;
tempo médio de 8,5 segundos, contra 31,2 segundos;
queda de 81% nos chamados de suporte ligados a login.

A edição de 2026, publicada em 15 de outubro, indica que 36% dos logins bem-sucedidos já usam passkey, acima dos 26% de 2025, com taxa de sucesso de 93% contra 78% do MFA tradicional (FIDO Alliance). Todos os participantes que medem phishing relataram menos ataques bem-sucedidos após a adoção, e todos os que informaram custos registraram economia com SMS.

O que diz o NIST sobre senhas

Na prática, a adoção cresce mais rápido no uso do que no cadastro: o índice de 2026 registra que o número de contas com passkey avançou mais devagar que o de logins feitos com ela, sinal de que quem cadastra passa a usar com frequência.

Sincronizada ou presa ao dispositivo?

Há dois tipos de passkey. As sincronizáveis ficam guardadas no gerenciador do sistema (como as contas Apple, Google ou Microsoft) e passam de um aparelho para outro, o que facilita a vida do usuário comum. As vinculadas a um dispositivo, como chaves físicas de segurança, não saem dele e são preferidas para administradores e contas de altíssimo valor. A escolha depende do risco: para a maioria das pessoas, qualquer passkey já é muito superior a senha com SMS.

A versão final da diretriz NIST SP 800-63B, analisada pela empresa Intercede, consolidou mudanças que contrariam práticas antigas:

nada de troca periódica obrigatória; a senha só deve mudar se houver indício de comprometimento;
regras de composição (maiúscula, número, símbolo) são desnecessárias e podem piorar a segurança;
usuários devem poder criar frases-senha de pelo menos 15 caracteres;
senhas devem ser checadas contra listas de credenciais vazadas;
autenticadores sincronizáveis, como passkeys, passam a ter uso esclarecido nos níveis AAL2 e AAL3.

Onde ainda há brechas

Passkeys não resolvem tudo. Ataques que roubam tokens de sessão ou credenciais de máquina contornam o login. O worm Shai-Hulud, que atingiu o npm em 2025, buscava justamente tokens do GitHub e chaves de nuvem; a CISA recomendou trocar credenciais de desenvolvedores e exigir MFA resistente a phishing nessas contas (CISA). Processos de recuperação de conta por SMS ou atendimento telefônico também podem reabrir a porta que a passkey fechou.

Checklist contra tomada de conta

Ative passkeys ou chaves FIDO em e-mail, banco, nuvem e redes sociais.
Nas empresas, comece por administradores, acesso remoto e equipes financeiras.
Se usar push, ligue a correspondência de números.
Abandone SMS como segundo fator onde houver alternativa.
Endureça a recuperação de conta: ela não pode ser mais fraca que o login.
Monitore e expire tokens de sessão e de API.
Bloqueie senhas presentes em listas de vazamento.