Durante anos, a segurança informática nas empresas teve um único pilar: a palavra-passe. Era suficiente enquanto os sistemas eram fechados e o acesso estava limitado ao escritório. Esse cenário mudou. Hoje, email, ERP, plataformas de faturação e serviços na cloud dependem de credenciais que circulam diariamente entre dispositivos, redes e aplicações. Quando essas credenciais são comprometidas, o acesso fica aberto, comprometendo diretamente a segurança informática da organização.
Porque as passwords falham
As palavras-passe não falham por serem tecnicamente inúteis. Falham porque são previsíveis no mundo real:
- reutilização em vários serviços
- combinações simples ou baseadas em padrões pessoais
- partilha informal entre colegas
- introdução em páginas de phishing
- exposição em bases de dados comprometidas
Nas PME, o problema raramente é falta de tecnologia. O problema está na ausência de regras claras. Persistem práticas como post-its no monitor, contas partilhadas, notificações aprovadas por hábito e inexistência de política formal de acessos. A password continua a ser necessária. Mas, isoladamente, deixou de ser uma barreira suficiente dentro de uma estratégia séria de segurança informática.
O que surgiu para complementar a password
Para mitigar este risco, os serviços passaram a exigir um segundo fator de autenticação.
Aqui entram dois conceitos centrais:
- 2FA (autenticação de dois fatores)
- MFA (autenticação multifator)
A autenticação multifator combina pelo menos dois elementos distintos:
- algo que o utilizador sabe, como a password
- algo que o utilizador tem, como um telemóvel
- algo que o utilizador é, como biometria
O princípio é simples: mesmo que a password seja comprometida, o acesso continua bloqueado.
Que métodos de autenticação multifator fator existem
Nas empresas, os métodos mais comuns de 2FA ou MFA são:
- código enviado por SMS
- aplicação autenticadora com código TOTP
- notificação push para aprovação de login
- validação biométrica no dispositivo
A escolha do método influencia diretamente o nível de proteção da organização.
O que é um Authenticator
Um Authenticator é uma aplicação que suporta autenticação multifator. Normalmente oferece dois modos principais:
- geração de códigos temporários (código TOTP)
- notificação push para aprovar ou rejeitar um pedido de login
Estas aplicações tornaram-se um elemento central na segurança informática moderna.
Como funciona um código TOTP
Grande parte das apps autenticadoras utiliza o padrão código TOTP (Time-based One-Time Password).
O mecanismo funciona assim:
- no momento da configuração, é criada uma chave secreta partilhada entre o serviço e o dispositivo
- o código é gerado localmente no telemóvel
- muda automaticamente em intervalos curtos, normalmente 30 segundos
- não depende de SMS nem de ligação ativa à internet
O código existe apenas naquele instante. Expira rapidamente e não pode ser reutilizado.
Que autenticadores existem no mercado
Entre as soluções mais utilizadas encontram-se:
- Microsoft Authenticator
- Google Authenticator
- Authy
- Duo Security
Todas suportam geração de código TOTP. A diferença está no nível de integração e gestão empresarial.
Microsoft Authenticator vs Google Authenticator: diferenças práticas para uma PME
O Microsoft Authenticator integra-se de forma nativa com Microsoft 365 e permite:
- notificações push com aprovação contextual
- gestão centralizada por administradores
- aplicação de políticas de acesso condicional
- controlo mais estruturado dentro do ecossistema Microsoft
Já o Google Authenticator é mais simples e focado na geração de código TOTP. É amplamente compatível com múltiplos serviços e cumpre eficazmente a função de segundo fator, mas não acrescenta, por si só, funcionalidades avançadas de gestão empresarial.
O que realmente muda para uma PME é o nível de controlo:
- O Microsoft Authenticator pode integrar-se numa estratégia mais ampla de gestão de identidades.
- O Google Authenticator funciona essencialmente como mecanismo de verificação adicional.
A decisão deve alinhar-se com a infraestrutura tecnológica existente e com a maturidade da política de acessos.
SMS vs App Authenticator: qual é mais segura
O SMS foi durante anos o método mais comum de 2FA. Continua a ser utilizado, mas apresenta limitações.
O principal risco está associado à dependência do número de telefone. Num cenário de SIM swap, o número é transferido indevidamente para outro cartão SIM, permitindo que terceiros passem a receber os códigos enviados por SMS.
Já as apps autenticadoras:
- geram o código TOTP no próprio dispositivo
- não dependem da operadora
- podem funcionar offline
- permitem validação biométrica adicional
Em contexto de segurança informática empresarial, a aplicação autenticadora é geralmente mais robusta do que o SMS.
O risco real para PME
Quando uma conta empresarial é comprometida, o impacto é direto:
- acesso a dados de clientes
- manipulação de faturas
- instalação de malware
- entrada inicial para ransomware
Ransomware é um tipo de software malicioso que cifra dados e exige pagamento para a sua recuperação. A autenticação multifator não elimina todos os riscos, mas reduz significativamente a probabilidade de acesso inicial baseado apenas em credenciais.
A maior vulnerabilidade não é técnica, é comportamental
Mesmo com MFA ativa, continuam a existir falhas quando:
- há contas partilhadas
- as notificações push são aprovadas sem validação
- não existe política formal de acessos
- os processos de entrada e saída não incluem revisão de permissões
A segurança informática não se resolve com a instalação de uma aplicação. Exige regras claras, revisão periódica de acessos e gestão de identidades.
O que acontece se um colaborador perder o telemóvel
A perda ou roubo do dispositivo deve estar prevista em procedimento interno.
O processo recomendado inclui:
- comunicação imediata
- revogação de sessões ativas
- remoção do método de MFA associado ao dispositivo
- reposição do acesso num novo equipamento
- utilização de códigos de recuperação quando aplicável
Em ambientes com gestão centralizada, como Microsoft 365 com Microsoft Authenticator, estas ações podem ser executadas pelo administrador.
Que decisões uma PME deve formalizar sobre autenticação
A autenticação multifator não deve ficar ao critério individual. Deve ser política interna.
A empresa deve definir:
- que sistemas exigem MFA obrigatória
- se o SMS é apenas alternativa de recurso
- que aplicações autenticadoras são recomendadas
- como se valida um pedido de login
- como se recupera acesso em caso de perda de dispositivo
- quem revoga sessões e remove acessos
- quando se auditam permissões
Sem estas decisões, a MFA existe apenas como configuração técnica. Com regras claras, passa a ser um mecanismo real de segurança informática e de controlo de risco organizacional.
