Passkeys: proteção prática contra phishing e roubo de senhas

O que são passkeys e como funcionam

Uma chave de acesso é criada para uma conta específica. O dispositivo guarda a parte secreta, chamada chave privada. O serviço recebe apenas a parte pública. Quando a pessoa tenta entrar, o serviço envia um desafio, e o dispositivo comprova que possui a chave privada sem revelar essa chave.

Na prática, o usuário costuma confirmar a entrada com um recurso já conhecido, como PIN do aparelho, impressão digital ou reconhecimento facial. Essa verificação local desbloqueia o uso da chave. A biometria, quando usada dessa forma, normalmente permanece no dispositivo e serve para autorizar a operação. O site não precisa receber uma cópia da impressão digital para concluir o acesso.

O vínculo com o endereço correto é uma diferença central. Nas passkeys, a credencial criada para um domínio não é apresentada a outro. Se o usuário abrir uma página falsa que imita o portal verdadeiro, o navegador ou o sistema não apresenta a chave. O golpe perde a oportunidade de simplesmente copiar a senha e reutilizá-la no serviço legítimo.

Existem credenciais vinculadas a um único dispositivo e credenciais que podem ser sincronizadas por um provedor entre aparelhos do mesmo usuário. A sincronização facilita troca de celular e uso em computador, mas adiciona dependência da conta que protege esse ecossistema. A escolha precisa considerar o risco da operação, os dispositivos permitidos e o modelo de recuperação.

A FIDO Alliance desenvolveu padrões usados nesse tipo de autenticação. O NIST também reconhece autenticadores criptográficos e opções sincronizáveis em suas orientações. Para uma empresa brasileira, essas referências não criam uma obrigação legal geral. Elas ajudam a avaliar arquitetura, nível de segurança e requisitos para serviços que tratam dados pessoais ou executam operações relevantes.

Passkeys protegem contra quais golpes

O principal benefício é reduzir ataques que dependem de roubar e reutilizar credenciais. Isso inclui páginas falsas, formulários clonados e intermediários que capturam senha e código de autenticação. Como a credencial é ligada ao serviço correto, o criminoso não consegue pedir que o usuário a digite em qualquer página.

A tecnologia também elimina o reaproveitamento de senha entre contas. Hoje, um vazamento em um serviço pode alimentar tentativas automáticas em vários outros. Quando cada conta usa uma chave própria, o vazamento de uma base pública de credenciais não oferece uma senha que possa ser testada em outro portal.

Outro ganho é retirar do usuário a tarefa de criar e lembrar combinações complexas. Políticas que exigem trocas frequentes, símbolos e formatos rígidos muitas vezes levam a anotações, pequenas variações ou chamadas de suporte. Com autenticação criptográfica, a força não depende de uma frase escolhida pela pessoa.

Ainda assim, o recurso não impede todos os incidentes. Um aparelho desbloqueado nas mãos de outra pessoa, uma sessão já autenticada roubada, um processo de recuperação fraco ou um administrador mal-intencionado continuam relevantes. Malware no dispositivo e falhas no próprio aplicativo também exigem controles. A empresa não deve vender a solução como proteção absoluta.

O projeto deve fazer parte de um conjunto maior: gestão de sessões, detecção de comportamento incomum, revisão de privilégios, proteção de dispositivos, registro de eventos, revogação e atendimento preparado. O artigo da TOGETHER sobre falhas de autenticação no atendimento ao cliente mostra por que o acesso seguro também depende dos processos usados fora da tela de login.

Onde começar a adoção de passkeys

Ao implantar passkeys, a empresa não precisa migrar todas as contas ao mesmo tempo. A adoção pode começar pelos acessos cujo comprometimento causaria maior impacto. Contas administrativas, e-mail corporativo, painéis financeiros, ferramentas de desenvolvimento, sistemas de RH e portais com dados sensíveis costumam merecer prioridade.

O inventário deve registrar serviço, público, método atual, volume de usuários, tipo de dado acessado, nível de privilégio, opções de recuperação e dependências técnicas. Também é importante saber se o fornecedor já oferece autenticação resistente a phishing e se a funcionalidade está incluída no plano contratado.

Depois, escolha um grupo de teste. O piloto deve incluir pessoas com diferentes aparelhos, navegadores, rotinas e níveis de familiaridade. É útil testar uso em computador corporativo, celular pessoal quando permitido, troca de aparelho, perda do dispositivo, ausência de biometria, bloqueio de conta e acesso em viagem.

No piloto de passkeys, a equipe deve medir sucesso do cadastro, tempo de entrada, chamadas ao suporte, falhas por plataforma, recuperação e abandono. Uma solução mais segura que impede parte relevante dos usuários de trabalhar tende a gerar atalhos. Os resultados orientam comunicação, suporte e compatibilidade antes da expansão.

Também convém manter um plano de transição. Durante algum período, a empresa pode aceitar o método novo e um método anterior. Essa convivência precisa de prazo e critérios, pois um caminho antigo vulnerável pode continuar sendo a porta preferida dos atacantes. Para contas de maior risco, a migração deve prever data de encerramento ou restrição do método mais fraco.

Cadastro, recuperação e desligamento

O cadastro é um momento sensível. Se um invasor consegue registrar a própria credencial em uma conta alheia, a tecnologia forte passa a proteger o acesso errado. A empresa deve exigir uma sessão confiável, confirmação adicional e aviso ao titular quando uma nova chave for adicionada.

A recuperação merece o mesmo nível de cuidado do login. Não adianta usar passkeys e permitir que qualquer pessoa redefina o acesso apenas com informações fáceis de descobrir ou por um atendimento sem validação. Na recuperação de passkeys, o fluxo deve considerar risco, evidências proporcionais, tempo de espera quando necessário e comunicação por canal já conhecido.

Empresas devem permitir mais de uma credencial quando isso reduz risco de bloqueio. Um trabalhador pode ter uma chave no computador e outra em dispositivo autorizado. Para clientes, a sincronização pode oferecer continuidade entre aparelhos. A escolha depende da arquitetura e não deve ser imposta sem avaliar privacidade e acessibilidade.

No desligamento de trabalhadores, revogue credenciais, sessões e dispositivos associados. Também revise acessos concedidos a parceiros, prestadores e contas temporárias. O inventário precisa indicar quem pode cadastrar, remover e recuperar uma chave, além de registrar essas ações para auditoria.

A perda do dispositivo não deve significar perda definitiva da conta, mas a recuperação não pode virar atalho inseguro. Procedimentos diferentes podem ser usados conforme o impacto: autosserviço com credencial alternativa para casos comuns, revisão reforçada para conta administrativa e intervenção documentada para situações excepcionais.

Privacidade e experiência do usuário

A implementação deve explicar o que acontece no aparelho. Quando o usuário confirma com biometria, ele pode imaginar que a empresa recebe seu rosto ou sua impressão digital. A mensagem precisa esclarecer, conforme o desenho técnico, que a verificação ocorre localmente e que o serviço recebe a comprovação criptográfica, não a imagem biométrica bruta.

A empresa também precisa avaliar os dados gerados pelo processo. Logs de cadastro, autenticação, dispositivo, endereço de rede e falhas podem ser úteis para segurança, mas devem ter finalidade, acesso e retenção definidos. Guardar tudo por tempo indeterminado aumenta exposição e dificulta responder a titulares.

A experiência deve considerar pessoas que não usam biometria, têm deficiência, dividem dispositivos ou não possuem celular compatível. PIN local, chaves físicas e outros autenticadores podem compor alternativas. Segurança não deve se transformar em exclusão de usuários ou dependência de um único fabricante.

Os avisos devem usar termos compreensíveis. Em vez de exigir que o usuário entenda criptografia de chave pública, a tela pode dizer que será criada uma chave vinculada àquela conta e protegida pelo aparelho. O suporte precisa receber roteiro simples para cadastro, troca, revogação e recuperação.

O tratamento de dados pessoais relacionado à autenticação deve entrar no inventário da LGPD. A análise inclui finalidade, base legal aplicável, operadores, transferência internacional, segurança, retenção e direitos. Quando fornecedores de identidade participam do fluxo, contratos e subcontratados precisam ser conhecidos.

Como escolher entre senha, código e passkeys

A decisão deve partir do risco, e não de uma disputa genérica entre tecnologias. Um serviço informativo de baixo impacto pode aceitar alternativas mais simples. Uma conta que permite movimentar dinheiro, acessar prontuários ou administrar toda a infraestrutura precisa de proteção maior.

Senhas continuam presentes em muitos ambientes e devem ser únicas, longas e armazenadas por gerenciadores quando não puderem ser substituídas. Códigos adicionais aumentam a proteção em relação à senha isolada, mas alguns formatos ainda podem ser enganados por phishing. A autenticação resistente a phishing reduz essa dependência da atenção do usuário.

Ao escolher passkeys de um fornecedor, pergunte quais padrões são usados, como ocorre a sincronização, onde ficam as chaves, como a credencial é revogada, quais navegadores e aparelhos funcionam, como o serviço registra eventos e como trata recuperação. Também verifique níveis de serviço, exportação de logs, suporte, incidentes e encerramento contratual.

A equipe de compras não deve aceitar apenas a expressão “sem senha” como prova de segurança. Links mágicos enviados por e-mail, por exemplo, podem remover a senha da tela, mas continuam dependentes da segurança do e-mail e podem sofrer outros tipos de ataque. É preciso entender o protocolo e o caminho completo.

Evidências e métricas para acompanhar

Um projeto precisa deixar registros verificáveis. Documente os sistemas priorizados, critérios de risco, arquitetura escolhida, fornecedores, testes, decisões de compatibilidade, fluxos de recuperação e responsáveis. Registre também exceções e prazo para revisar métodos antigos.

Métricas de passkeys incluem percentual de contas elegíveis, adesão, falhas no cadastro, tentativas bloqueadas, tempo de recuperação, volume de chamadas ao suporte, métodos antigos ainda ativos e contas privilegiadas sem proteção adequada. Esses números ajudam a diretoria a decidir onde investir e quando ampliar a implantação.

Incidentes e quase incidentes devem alimentar a revisão. Se usuários continuam sendo direcionados a páginas falsas, observe se o sistema recusou o acesso e como a pessoa reagiu. Se houve tomada de conta, identifique se o problema ocorreu no login, na recuperação, na sessão ou no suporte. A resposta evita atribuir à ferramenta uma falha que surgiu em outra etapa.

A empresa deve revisar o desenho das passkeys quando muda de provedor, adiciona novo domínio, lança aplicativo, permite dispositivos pessoais ou altera o fluxo de recuperação. A autenticação faz parte do produto e da operação. Não é uma configuração concluída para sempre.

Como a TOGETHER pode apoiar

A TOGETHER pode apoiar o projeto com consultoria em LGPD para mapear dados de autenticação, fornecedores, retenção, transparência e riscos aos titulares. O trabalho conecta segurança de contas aos processos de privacidade e aos contratos usados pela empresa.

Com DPO as a Service, a TOGETHER também pode acompanhar decisões, solicitações de titulares, incidentes e revisões periódicas, mantendo as evidências organizadas para jurídico, segurança, produto e diretoria.

Próximos passos

Comece pelas contas mais sensíveis e confirme se os fornecedores atuais oferecem passkeys ou outro método resistente a phishing. Escolha um grupo de teste, desenhe recuperação e revogação antes do cadastro e defina métricas simples para decidir a expansão.

O objetivo das passkeys não é apenas retirar uma senha da tela. É reduzir a possibilidade de uma página falsa convencer alguém a entregar a credencial que protege a conta. Quando tecnologia, suporte e governança seguem o mesmo desenho, a empresa diminui o risco sem transferir toda a responsabilidade para o usuário.