Guia prático
A autenticação de dois fatores (2FA ou verificação em dois passos) exige uma segunda prova além da palavra-passe: um código na app, um SMS ou uma chave física. Com ela, uma palavra-passe roubada por phishing deixa de chegar para entrar na sua conta. É a medida de segurança com melhor relação esforço-benefício que existe.
Alertas reais: Santander · Caixa Geral de Depósitos
As palavras-passe fogem todos os dias: em fugas de dados, em páginas de phishing, por reutilização entre serviços. Com 2FA, quem tem a sua palavra-passe precisa também do seu telemóvel ou da sua chave. Para a maioria dos ataques automatizados, isso é suficiente para desistirem. Os burlões mais dedicados vão tentar enganá-lo para lhes dar o código: por isso a regra 'nunca partilhar códigos' continua a ser essencial.
Comece pelo email principal: é a chave para recuperar todas as outras contas. Depois o banco e o MB WAY, que já exigem confirmação na app mas permitem reforçar. A seguir a conta Google ou Apple do telemóvel, que guarda cópias de segurança, fotos e palavras-passe. Depois as redes sociais e o WhatsApp, cada vez mais usados para burlas em nome da vítima. Por fim, lojas e serviços com cartão guardado.
Nunca partilhe o código com ninguém, por nenhum motivo. Guarde os códigos de recuperação num sítio seguro (impressos ou num gestor de palavras-passe), para não ficar trancado fora se perder o telemóvel. Não aprove notificações que não pediu: se o telemóvel pergunta 'é você a entrar?' e não é, recuse e mude a palavra-passe. E não use o SMS como único fator no email principal se puder usar uma app.
Exemplos reais
Variantes de mensagens reportadas por utilizadores. O texto muda; o pedido é sempre o mesmo.
Recebo um código SMS do banco sem ter feito nada: alguém está a tentar entrar. Não o partilho e ligo ao banco.
Chega uma notificação 'Aprovar início de sessão em Lisboa?' e não fui eu: recuso e mudo a palavra-passe.
Um 'técnico' pede o código do Authenticator para 'sincronizar': é burla.
Se já aconteceu
Guia completo: fui vítima, o que faço agora? · Onde denunciar
FAQ
É muito melhor do que só palavra-passe, mas é o fator mais fraco. Sempre que possível, use uma app de autenticação, notificação na app ou passkey.
Use os códigos de recuperação que guardou ao ativar a 2FA, ou o processo de recuperação do serviço. Por isso é importante guardar esses códigos num sítio seguro.
Uma forma de entrar sem palavra-passe, com a biometria do telemóvel ou uma chave física. Não funcionam em sites falsos, por isso são imunes a phishing. Google, Apple, Microsoft e muitos bancos já as suportam.
Não. Protege contra o uso de palavras-passe roubadas. Se partilhar o código com um burlão ao telefone, a 2FA não ajuda. Combine-a com a regra de nunca partilhar códigos.
Fontes oficiais
As recomendações deste guia seguem as orientações públicas destas entidades. Para reportar ou pedir ajuda, use os canais oficiais.
Alertas de phishing, boas práticas e reporte de incidentes de cibersegurança.
Regulador das comunicações. Recebe queixas sobre SMS e chamadas abusivas.
Informação oficial sobre fraude bancária, MB WAY, cartões e direitos do cliente.
Investigação criminal de burlas informáticas e cibercrime.
Guias relacionados
Palavras-passe seguras
Como criar palavras-passe fortes que consegue lembrar, porque nunca deve reutilizar, como usar um gestor de palavras-passe e o que fazer quando uma fuga de dados expõe a sua.
Ler guiaComo evitar phishing
Dez hábitos práticos para evitar phishing, smishing e vishing no dia a dia: como tratar links, códigos, chamadas, palavras-passe e apps. Para si e para a sua família.
Ler guiaO que é phishing?
Phishing explicado em português simples: como funciona, os tipos mais comuns em Portugal (email, SMS, chamada, QR code), sinais de alerta e o que fazer se já clicou.
Ler guiaVishing · chamada falsa de banco
O que é vishing e como funciona em Portugal: chamadas falsas do 'departamento de segurança' do banco, suporte técnico, Finanças ou operadoras que pedem códigos, acesso remoto ou transferências.
Ler guiaEste guia foi escrito por João Sintra com base em campanhas reais reportadas no verificador e nas orientações públicas do CNCS, da ANACOM, do Banco de Portugal e da Polícia Judiciária. Encontrou um erro ou uma variante nova? Diga-nos. Veja a metodologia.
Verificar agora
