Autenticação de dois fatores

A autenticação de dois fatores exige uma segunda prova de identidade além da palavra-passe, para que uma palavra-passe roubada não baste para abrir a conta. As formas mais comuns diferem muito em solidez. Um código enviado por SMS é o mais fraco, porque um número de telefone pode ser transferido para o SIM de um atacante enganando a operadora, e o código passa a chegar ao aparelho dele. Uma aplicação de autenticação gera códigos no próprio dispositivo, sem passo de rede, o que elimina esse ataque mas não o phishing: um código escrito num sítio falso convincente funciona ali como funcionaria no verdadeiro. Uma chave de segurança física está ligada ao domínio do sítio e simplesmente não responde a um endereço parecido. As plataformas também diferem no que o segundo fator protege — umas pedem-no só no início de sessão, outras também no levantamento.