Passkeys, autenticação sem senha e MFA resistente a phishing

1. Introdução#

Para todos os serviços digitais, a autenticação de usuários é a parte mais importante da cibersegurança. À medida que as empresas dependem cada vez mais de aplicações web e móveis para se relacionarem com seus clientes, a necessidade de soluções de login seguras e fáceis de usar cresceu exponencialmente. As senhas tradicionais tornaram-se um risco: são facilmente roubadas por phishing, esquecidas ou reutilizadas em diferentes serviços. Isso resulta em mais ataques a credenciais, violações de dados e perda de confiança dos consumidores.

Nos últimos anos, surgiram novos métodos de autenticação que prometem maior segurança e uma experiência melhor. Este artigo compara três abordagens: passkeys, autenticação sem senha em geral e autenticação multifator (MFA) resistente a phishing. O objetivo é esclarecer o significado desses termos e compreender suas diferenças, vantagens e implicações estratégicas.

Este artigo responde às seguintes perguntas:

1. Quais são as principais diferenças entre passkeys, autenticação sem senha e MFA resistente a phishing?
2. Como as passkeys, a autenticação sem senha e a MFA resistente a phishing melhoram a segurança em comparação com as senhas tradicionais?
3. Como a autenticação sem senha, a MFA resistente a phishing e as passkeys afetam a experiência do usuário, a adoção e os custos operacionais?
4. Quais são os casos de uso práticos e exemplos reais de organizações que implementaram passkeys, autenticação sem senha e MFA resistente a phishing com sucesso?

2. Explicação dos conceitos principais#

Antes de comparar, é essencial definir os termos. Autenticação sem senha, MFA resistente a phishing e passkeys representam melhorias importantes em relação aos métodos antigos. No entanto, não são termos intercambiáveis.

2.1 O que é autenticação sem senha?#

Os métodos de autenticação sem senha eliminam completamente a senha tradicional. Em vez disso, os usuários comprovam sua identidade por meio de:

• Algo que possuem (como um telefone ou uma chave de segurança)
• Algo que são (fatores biométricos)
• Um código de uso único enviado por e-mail ou SMS (também pode contar como algo que possuem, pois é necessário um telefone para receber SMS, por exemplo)

A ideia é reduzir a dependência de algo tão fácil de comprometer e pouco prático para o usuário quanto uma senha estática.

Entre os métodos comuns sem senha estão:

• Magic links por e-mail
• Códigos de uso único baseados em tempo (TOTPs) com aplicações autenticadoras (como Google Authenticator, Authy e Microsoft Authenticator)
• Notificações push (por exemplo, em aplicações nativas de iOS e Android)
• Biometria (por exemplo, em passkeys)
• Códigos de uso único (OTP) por SMS
• Códigos de uso único (OTP) por e-mail
• Logins sociais (por exemplo, “Entrar com Google” ou “Entrar com Facebook”)

Embora as abordagens sem senha frequentemente melhorem a experiência do usuário e reduzam a probabilidade de ataques de força bruta, nem todas são inerentemente resistentes a phishing. Por exemplo, um magic link ou um OTP por SMS ainda pode ser interceptado por um site malicioso se o usuário for levado a inserir o código em uma página de phishing. Assim, os métodos sem senha melhoram vários aspectos da segurança e da usabilidade, mas alguns continuam vulneráveis à engenharia social.

2.2 O que é MFA resistente a phishing?#

As chaves de segurança físicas baseadas em FIDO2, como as YubiKeys, são exemplos de MFA resistente a phishing. Ao vincular a autenticação à origem legítima, ou seja, ao domínio do site real, essas chaves impedem que a autenticação do usuário seja redirecionada ou reproduzida em um site falso. O atacante nunca obtém a chave privada nem um código secreto reutilizável. O mesmo vale para as passkeys.

É importante observar, porém, que as chaves de segurança físicas são práticas principalmente para funcionários. Embora as organizações possam oferecê-las aos clientes, exigir seu uso normalmente não é realista, pois apenas usuários com conhecimentos técnicos estão familiarizados com essas soluções. O usuário comum pode ter dificuldade para entender e usar chaves físicas.

A MFA resistente a phishing garante que, mesmo ao interagir com um site fraudulento, o usuário não entregue inadvertidamente uma credencial válida. Seu projeto de segurança torna as informações roubadas inúteis para os atacantes ou impede seu roubo. O método depende de verificações criptográficas que confirmam a autenticidade do site, não apenas a identidade do usuário.

Órgãos reguladores, como CISA e ACSC, reconhecem e recomendam cada vez mais a MFA resistente a phishing para proteger contas sensíveis. A adoção desses padrões pode ajudar as organizações a cumprir exigências legais, reduzir responsabilidades e demonstrar diligência em auditorias de cibersegurança.

2.3 O que são passkeys?#

Passkeys são credenciais modernas de autenticação baseadas em padrões abertos como FIDO2 e WebAuthn. Em vez de depender de um segredo compartilhado, como uma senha, elas usam criptografia assimétrica:

• Uma chave pública (que será enviada ao servidor durante a autenticação)
• Uma chave privada (que nunca sai do dispositivo do usuário e nunca precisa ser digitada ou memorizada)

Quando um usuário registra uma conta com passkeys, seu dispositivo gera um par de chaves exclusivo. A chave pública é enviada ao servidor e associada à conta, enquanto a chave privada permanece protegida no dispositivo. Para autenticar, o servidor envia um desafio e o dispositivo usa a chave privada para assiná-lo, comprovando a identidade do usuário sem revelar nenhum segredo que possa ser roubado.

As passkeys dispensam a memorização ou o gerenciamento de senhas trabalhosas. A autenticação costuma exigir apenas uma verificação biométrica, como reconhecimento facial ou impressão digital, já familiar para quem desbloqueia o telefone. Como cada passkey está vinculada a um domínio específico, as tentativas de phishing falham: um atacante não consegue levar o usuário a fornecer uma credencial reutilizável. A combinação de alta segurança e pouco atrito torna as passkeys uma escolha de destaque para muitas empresas, incluindo Google, PayPal, TikTok e KAYAK.

2.4 Principais diferenças em resumo#

• Autenticação sem senha (termo abrangente): elimina as senhas, mas nem sempre é resistente a phishing, dependendo do método.
• MFA resistente a phishing (termo abrangente): geralmente garante a vinculação à origem, mas às vezes ainda pode incluir uma senha em um fluxo multifator, por exemplo, senha e chave de segurança física.
• Passkeys: dispensam senhas e são resistentes a phishing. Baseiam-se em criptografia assimétrica vinculada à origem legítima.

3. Comparação entre autenticação sem senha, MFA resistente a phishing e passkeys#

Com os conceitos definidos, podemos comparar passkeys, autenticação sem senha e MFA resistente a phishing em mais detalhe. Essa comparação ajuda a identificar o método mais adequado aos requisitos de segurança, às expectativas dos usuários e aos objetivos de longo prazo da organização. Vamos considerar três fatores principais:

• Segurança
• Experiência do usuário / adoção
• Implementação / custos
• Regulamentação / conformidade

3.1 Segurança: roubo de credenciais e vinculação à origem#

A segurança é um dos principais motivos para abandonar as senhas tradicionais. No entanto, os três conceitos diferem na forma como protegem contra ataques a credenciais, como phishing ou ataques de força bruta.

3.1.1 Prevenção do roubo de credenciais#

• Sem senha: eliminar senhas reduz significativamente a probabilidade de ataques de força bruta ou de reutilização de senhas. No entanto, dependendo do método, como OTP por SMS ou magic links, ainda pode haver vulnerabilidade se um atacante convencer o usuário a inserir ou encaminhar um OTP em um site de phishing.
• MFA resistente a phishing: usa métodos como chaves de segurança FIDO2 para garantir que nenhum segredo reutilizável seja compartilhado. Mesmo que atacantes obtenham informações parciais, como uma chave pública, elas não têm valor criptográfico sem a chave privada específica.
• Passkeys: como usam criptografia assimétrica, nenhum segredo compartilhado sai do dispositivo do usuário. Um atacante que roube dados do servidor obtém apenas chaves públicas, inúteis sem a chave privada protegida localmente.

3.1.2 Prevenção de phishing#

• Sem senha: é um termo abrangente e, portanto, a prevenção de phishing nem sempre é garantida. Um magic link ou OTP por SMS ainda pode ser interceptado se o usuário o inserir por engano em um site fraudulento. Isso torna alguns métodos sem senha menos confiáveis contra phishing sofisticado.
• MFA resistente a phishing: uma de suas funções centrais é confirmar o domínio legítimo antes de autenticar os usuários. Chaves de segurança físicas ou passkeys verificam a autenticidade do site, pois estão vinculadas à origem usada inicialmente, impedindo que atacantes capturem um segredo válido.
• Passkeys: baseadas em FIDO2 e WebAuthn, são inerentemente vinculadas à origem. Se um usuário tentar se autenticar em um domínio falsificado, a passkey simplesmente não concluirá a verificação criptográfica. Isso impede ataques de phishing de forma eficaz.

3.1.3 Conclusão sobre segurança#

Passkeys e MFA resistente a phishing oferecem defesa superior contra roubo de credenciais e phishing graças à forte vinculação criptográfica à origem e à não exposição de segredos confidenciais.

Métodos sem senha ainda representam um grande avanço em relação às senhas simples, mas sua resistência a phishing varia quando dependem de (T)OTPs ou segredos interceptáveis, como em magic links.

3.2 Experiência do usuário e adoção#

Nenhum método de segurança é útil se for trabalhoso demais para os usuários finais. Um processo de login simples e intuitivo pode reduzir a frustração, diminuir os custos de suporte e melhorar a adoção. Além disso, os usuários não precisarão recorrer a alternativas para usar o método de login.

3.2.1 Integração e configuração iniciais#

• Sem senha: o registro sem senha geralmente é mais fácil do que criar e memorizar uma nova senha. Por exemplo, receber um magic link por e-mail ou verificar a identidade com um OTP por SMS pode ser familiar, embora cause uma pequena espera.
• MFA resistente a phishing: quando envolve chaves de segurança físicas, o registro pode exigir sua distribuição ou a instalação de software especializado. Após a configuração, porém, o login diário pode ser tão simples quanto tocar na chave conectada ao dispositivo ou mantida próxima dele.
• Passkeys: a configuração costuma ser simples, e o usuário geralmente registra uma passkey por meio de uma rápida solicitação biométrica no dispositivo, como impressão digital ou reconhecimento facial.

3.2.2 Atrito no login diário#

• Sem senha: eliminar senhas já melhora muito a usabilidade, pois os usuários não precisam memorizá-las, procurá-las em gerenciadores de senhas ou anotá-las em papéis adesivos. No entanto, métodos como OTPs ou magic links podem gerar atrito quando é preciso alternar entre aplicações para obter códigos ou links.
• MFA resistente a phishing: é bastante simples quando a chave de segurança física está conectada ao dispositivo ou próxima dele. Ainda assim, muitas vezes é necessário tocar em um botão e/ou memorizar e inserir um PIN. Quando a MFA resistente a phishing usa uma passkey, a experiência é mais fluida.
• Passkeys: em geral, o atrito é mínimo: os usuários desbloqueiam seus dispositivos com biometria, como Face ID, Touch ID ou Windows Hello, e a passkey cuida do restante. É uma das formas mais simples de entrar em uma conta.

3.2.3 Complexidade percebida e confiança#

• Sem senha: a ausência de senha agrada aos usuários frustrados com redefinições de senha.
• MFA resistente a phishing: é altamente segura, mas pode parecer complexa para novos usuários quando são necessárias chaves de segurança físicas.
• Passkeys: usuários habituados a desbloquear o telefone com biometria frequentemente consideram as passkeys uma tecnologia familiar. A confiança nos ecossistemas Apple, Google e Microsoft também contribui para a adoção.

3.2.4 Conclusão sobre experiência e adoção#

Métodos sem senha, especialmente os biométricos, são fáceis de usar. A MFA resistente a phishing pode ser prática após a implementação, mas a exigência de hardware pode ser um obstáculo em certos contextos. As passkeys geralmente oferecem maior conveniência ao usuário.

3.3 Implementação e custos#

Além da segurança e da experiência do usuário, fatores práticos como complexidade de integração, esforço de suporte e custos diretos influenciam a viabilidade de uma solução em escala.

3.3.1 Integração com sistemas existentes#

• Sem senha: métodos como OTP por SMS ou magic links são relativamente fáceis de implementar, mas cada abordagem exige lógica específica, como gerar e verificar tokens e enviar e-mails ou SMS.
• MFA resistente a phishing: a implementação de chaves de segurança físicas, como YubiKeys, pode ser mais trabalhosa: as organizações precisam planejar a distribuição das chaves, os processos de recuperação e o treinamento dos usuários. No entanto, a tecnologia subjacente baseada em FIDO está bem consolidada.
• Passkeys: a implementação pode ser desafiadora devido à necessidade de amplo suporte no ecossistema, incluindo compatibilidade de dispositivos, integração com navegadores e orientação aos usuários.

3.3.2 Custos e retorno sobre o investimento (ROI)#

• Sem senha: eliminar senhas pode reduzir os custos de suporte, mas certos métodos, especialmente SMS, podem gerar taxas por transação. Fluxos baseados em magic links exigem uma infraestrutura de e-mail robusta. Aplicações autenticadoras com TOTP e notificações push exigem instalação e desenvolvimento de aplicações específicas.
• MFA resistente a phishing: geralmente tem o maior custo inicial quando envolve hardware, mas oferece forte proteção contra phishing. Para contas de alto valor, o custo de uma única violação de dados pode superar amplamente o das chaves de segurança físicas.
• Passkeys: após o desenvolvimento inicial, podem reduzir os chamados de redefinição de senha, um dos maiores custos ocultos do suporte de TI. Também minimizam incidentes de tomada de conta, melhorando diretamente os resultados financeiros. Além disso, podem substituir a grande maioria dos caros OTPs por SMS.

3.3.3 Conclusão sobre implementação e custos#

Métodos sem senha costumam ser mais simples que senhas, mas seus custos contínuos variam muito. A MFA resistente a phishing pode ser mais cara e complexa de implementar em escala, especialmente quando envolve chaves de segurança físicas, que exigem compra e distribuição de hardware específico. A implementação de passkeys é desafiadora devido aos requisitos técnicos complexos e à necessidade de compatibilidade entre plataformas.

3.4 Regulamentação e conformidade#

Muitas regulamentações, como PSD2 no setor financeiro europeu e HIPAA na área da saúde, agora recomendam ou exigem explicitamente autenticação forte e resistente a phishing.

• Sem senha: pode atender a algumas exigências de conformidade, como a obrigatoriedade de 2FA ou MFA, mas pode não ser resistente a phishing, dependendo do método.
• MFA resistente a phishing: tende a oferecer o mais alto grau de garantia a auditores e reguladores, cumprindo requisitos rigorosos para logins seguros.
• Passkeys: já estão alinhadas aos padrões FIDO2, que atendem ou superam os requisitos de segurança na maioria dos setores regulamentados.

3.5 Tabela comparativa#

4. Exemplos práticos e casos de uso#

4.1 Mercari melhora a taxa de sucesso de login com passkeys em comparação com OTP por SMS#

A Mercari, empresa de comércio eletrônico, historicamente usava códigos de uso único (OTP) por SMS para proteger logins e verificar transações. Essa abordagem gerava custos significativos de envio de mensagens em todo o mundo e, ocasionalmente, reclamações de usuários sobre códigos atrasados ou não recebidos.

Resultados:

• Grande redução de custos: ao eliminar a maior parte do tráfego de SMS, a Mercari reduziu drasticamente os custos de mensagens OTP.
• Mais segurança: as passkeys resistem a ataques de troca de SIM e phishing porque usam criptografia assimétrica vinculada ao domínio legítimo da companhia aérea.
• Mais logins bem-sucedidos: a adoção de passkeys alcançou uma taxa de sucesso de login de 82,5%, contra 67,7% para OTP por SMS.

Principal conclusão:
A mudança para passkeys pode transformar os resultados de organizações com grande volume de logins. Além de melhorar a segurança, a economia com OTP por SMS pode ter impacto significativo nos resultados financeiros.

4.2 Startups SaaS adotam magic links para um registro sem senha e com pouco atrito#

Startups SaaS frequentemente usam magic links, pois esse método de autenticação permite integrar usuários rapidamente e reduz drasticamente os pedidos de suporte por senhas esquecidas.

Resultados:

• Menos atrito no registro: a taxa de abandono durante o registro caiu mais de 30%, aumentando as conversões.
• Menos chamados de suporte: as solicitações de redefinição de senha caíram acentuadamente, permitindo que a pequena equipe de suporte da startup se concentrasse em questões relacionadas ao produto.
• Iterações ágeis: como os magic links são relativamente simples de implementar e aprimorar, o fluxo pode ser ajustado com facilidade, melhorando a satisfação geral com a integração dos usuários.

Principal conclusão:
Para startups SaaS, soluções sem senha, como magic links, não apenas simplificam a integração de usuários, mas também reduzem a carga operacional do gerenciamento de senhas, uma vantagem crucial nas fases iniciais de crescimento.

4.3 MyGov aumenta a segurança e previne phishing em contas de cidadãos#

O MyGov, portal online do governo australiano, oferece acesso a vários serviços governamentais, como Medicare, Centrelink e Australian Taxation Office. O tratamento de dados pessoais sensíveis sujeita o MyGov a regulamentações rigorosas e maior fiscalização pública.

Resultados:

• Aumento da adoção: implementação de passkeys para 200.000 usuários em 3 meses.
• Forte conformidade: ao usar vinculação criptográfica à origem por meio de tokens físicos e soluções seguras baseadas em aplicações, o MyGov atendeu ao Essential Eight da ASD e a outras diretrizes nacionais de cibersegurança.
• Menos incidentes de phishing: ficou muito mais difícil reutilizar credenciais roubadas sem o token físico legítimo ou a chave vinculada ao dispositivo.
• Maior confiança pública: destacar soluções robustas de MFA ajudou a reforçar a confiança dos usuários em um período de crescente preocupação com violações de dados.

Principal conclusão:
Para órgãos governamentais e empresas do setor público, ou organizações em setores altamente regulamentados, implementar MFA resistente a phishing é crucial não apenas para a segurança, mas também para manter a conformidade com padrões em evolução.

5. Como a Corbado pode ajudar#

A tabela da seção 3.5 atribui notas a três opções em termos abstratos. A versão que permite tomar decisões é construída a partir do seu próprio login: as linhas representam os métodos que seus usuários realmente utilizam e as notas são taxas de conclusão, em vez de uma escala de cinco pontos. O Corbado Observe, a camada de observabilidade da autenticação, produz essa versão.

• Sua combinação real de métodos. Cada login é classificado em subfluxos: senha, passkey, login social, código de uso único por SMS, código de uso único por e-mail, TOTP e confirmação por aplicação. A proporção de logins por método e a taxa de sucesso de cada um são o ponto de partida para escolher entre as três categorias deste artigo.
• Onde cada método perde usuários. Login Friction divide cada login iniciado em categorias como recuperação, alternativa para outro método, abandono, erro, redefinição e conclusão sem atrito, separadas por método. Assim, a afirmação “autenticação sem senha reduz o atrito” passa a ser uma contagem no seu tráfego.
• O valor de uma opção resistente a phishing em comparação com as outras. Method Uplift agrupa os fluxos de login pelos métodos disponíveis em cada um: apenas senha, senha com passkey, senha com login social ou os três. Em seguida, compara cada combinação com a referência de apenas senha. Todas são analisadas no mesmo período, permitindo avaliar a adoção no seu produto, conforme discutido na seção 3.2, sem esperar uma data de transição para comparar períodos.
• Não é necessário ter um programa de passkeys. Observe funciona com o login que você já tem. Se ele usa senha e código por SMS, a ferramenta mede ambos, que são o ponto de partida da maioria das decisões discutidas neste artigo.

See Login Methods in Corbado Observe →

Quando a decisão é adotar passkeys, o Corbado Connect cuida da implementação. Solicitações condicionadas e Passkey Intelligence transformam a vantagem de experiência descrita na seção 3.2 em uma adoção de passkeys até 10 vezes maior, controlando quais usuários veem a oferta e quando.

6. Conclusão#

Depois de analisar senhas tradicionais, passkeys, opções sem senha e MFA resistente a phishing, podemos reunir as principais conclusões.

Cada método oferece benefícios específicos:

• Sem senha: uma melhoria significativa em relação às senhas, que reduz o atrito para o usuário e os custos de suporte, mas nem sempre é à prova de phishing.
• MFA resistente a phishing: oferece segurança de alto nível para ambientes de alto risco, impedindo que atacantes explorem erros humanos.
• Passkeys: oferecem um equilíbrio ideal: dispensam senhas, são inerentemente uma MFA resistente a phishing e contam com o apoio de pioneiros do setor. Proporcionam segurança de alto nível sem comprometer a experiência do usuário.

Ao modernizar a autenticação agora, a empresa não apenas melhora a segurança, mas também se posiciona como uma organização inovadora e centrada no usuário, preparada para se destacar na economia digital.

Sobre a Corbado

Corbado é a Passkey Intelligence Platform para times de CIAM que rodam autenticação consumer em escala. Mostramos o que logs de IDP e ferramentas genéricas de analytics não enxergam: quais dispositivos, versões de SO, navegadores e gerenciadores de credenciais suportam passkeys, por que os registros não viram logins, onde o fluxo WebAuthn falha e quando uma atualização de SO ou navegador quebra silenciosamente o login, tudo sem substituir Okta, Auth0, Ping, Cognito ou seu IDP interno. Dois produtos: Corbado Observe adiciona observabilidade para passkeys e qualquer outro método de login. Corbado Connect entrega passkeys gerenciados com analytics integrado (junto ao seu IDP). VicRoads roda passkeys para mais de 5M de usuários com Corbado (mais de 80% de taxa de ativação de passkey). Fale com um especialista em Passkeys →