Verificação em duas etapas por SMS é segura? Guia honesto
O SMS é melhor que só a senha, mas é a segunda etapa mais fraca. Veja os riscos, a escada de opções e o que fazer pelas suas contas.
Por Redação Eleven Host · @robson.direitodigital · Atualizado em 18 de outubro de 2026 · 8 min de leitura
Os riscos do SMS como segunda etapa e as opções mais fortes para proteger suas contas. Arte: Eleven Host
A verificação em duas etapas por SMS é segura? Protege mais que só a senha e menos que as outras opções. Ter o SMS vale mais que não ter segunda etapa, mas ele é o método mais fraco entre os usados no dia a dia.
A resposta curta não deve ser motivo para desligar o SMS. Ela serve para você saber onde está o risco e subir um degrau nas contas que mais importam: e-mail principal, banco, redes sociais e contas de trabalho.
O que a segunda etapa faz
A verificação em duas etapas (também chamada de 2FA) pede duas provas para entrar numa conta. A primeira é algo que você sabe, a senha. A segunda é algo que você tem: um número de telefone, um aplicativo, uma chave de acesso ou uma chave física.
A lógica é simples. Se a senha vazar, quem a tem ainda precisa da segunda prova. Ter qualquer segunda etapa dificulta os ataques que dependem só de uma senha descoberta. O SMS entrou nessa história porque o celular já está no bolso e não precisa instalar nada.
O SMS prova que alguém controla o número naquele momento. Não prova que essa pessoa é você.
Por que o SMS é a opção mais fraca
O código por SMS viaja pela rede da operadora e depende do número, não do seu aparelho. Cada elo dessa cadeia é um ponto de ataque. Quatro caminhos merecem atenção.
Troca de chip (SIM swap)
O SIM swap acontece quando um criminoso consegue que o seu número seja ativado num chip que está com ele. A partir daí, as mensagens, inclusive os códigos, chegam ao aparelho dele. Um sinal de alerta é o celular ficar sem sinal sem motivo aparente.
Página falsa que pede o código na hora
Você recebe um link para uma página idêntica à do banco ou do e-mail e digita a senha. O golpista usa essa senha no site verdadeiro, o serviço manda o SMS e a página falsa pede o código. Quando você o digita, entrega a chave. O SMS não impede isso, porque é você quem o repassa.
Pedido do código por mensagem ou ligação
Alguém se apresenta como funcionário do banco, da loja ou da entrega e pede que você leia ou envie o código que acabou de chegar. Código de verificação não se repassa a ninguém, em nenhuma circunstância. Se chegou um código que você não pediu, o guia recebi código de verificação sem pedir mostra o que fazer.
Número cancelado que volta a ser vendido
Quando uma linha é cancelada, a operadora pode passar o número para outra pessoa depois de um tempo. Se você trocou de número e esqueceu de atualizar uma conta, quem recebeu a linha antiga passa a receber os seus códigos. Para o caso de um número que você já não tem, veja como voltar às suas contas.
Entenda
O que liga esses quatro caminhos é que o atacante não precisa quebrar nada no serviço. Basta enganar uma pessoa ou a operadora. As opções mais fortes tiram o telefone da cadeia ou ligam a prova ao site verdadeiro.
A escada: do mais fraco ao mais forte
Nem todo serviço oferece todas as opções. Confira na ajuda oficial de cada um o que está disponível. A ordem de força é esta.
- SMS. Depende da operadora e do número. É o degrau mais fraco, mas já protege mais que só a senha.
- Confirmação no aplicativo do próprio serviço. Chega uma notificação para aprovar a entrada. Sai da rede de telefonia, mas pode ser aprovada por engano se você tocar sem ler.
- Aplicativo autenticador. Gera códigos de uso curto no seu aparelho, a partir de uma chave guardada nele. Não depende do número, então a troca de chip não afeta.
- Chave de acesso (passkey). Credencial guardada no aparelho e liberada por biometria ou PIN de desbloqueio. Fica ligada ao site verdadeiro, o que a torna muito mais difícil de usar numa página falsa.
- Chave de segurança física. Um dispositivo que você conecta ou aproxima do aparelho. É das opções mais resistentes a golpe, mas exige guardar a chave e ter uma reserva.
Se a conta só aceita SMS, ative o SMS. Se aceita um degrau acima, suba. O que não vale é ficar sem nada por achar o SMS imperfeito.
Exemplo: a conta da Sílvia
Imagine que a Sílvia usa o mesmo e-mail há anos para banco, compras e redes sociais, e que a senha dele vazou numa loja que ela nem lembra de ter usado. Como o e-mail tem segunda etapa por SMS, o invasor teria mais dificuldade para entrar só com ela.
Se ela tivesse deixado só a senha, a conta poderia ter caído na hora. Como o e-mail é a porta de recuperação das outras contas, ela poderia subir um degrau: trocar a segunda etapa por aplicativo autenticador, criar uma chave de acesso e deixar o SMS apenas como reserva, se o serviço permitir. O risco ficaria menor, não zerado, e é isso que se espera de qualquer camada de segurança.
Cadastro de pouco risco pede só um código? Deixe o seu celular pessoal de fora. Conhecer o 11SMS
O que fazer em 5 passos
- Proteja o chip com PIN. O PIN do chip pede um código quando o chip é usado em outro aparelho, o que protege contra quem pegar o seu chip físico. Ele não impede uma troca de chip pedida por golpista à operadora, e por isso o passo seguinte existe. Veja com a operadora ou no manual do aparelho como ativá-lo e guarde o código de desbloqueio em lugar seguro. Digitar o PIN errado várias vezes bloqueia o chip, e só o código de desbloqueio (PUK), obtido com a operadora, o libera.
- Peça proteção contra troca de chip. Pergunte à sua operadora se existe senha ou outra trava para pedidos de troca de chip e como ativá-la. Cada operadora tem o seu processo.
- Troque o SMS por aplicativo autenticador onde der. Comece pelo e-mail principal e pelo banco. Onde houver chave de acesso, ative também.
- Guarde os códigos de recuperação. Quando o serviço oferecer, anote os códigos de reserva num cofre de senhas ou em papel guardado em casa. Sem eles, perder o celular pode significar perder a conta.
- Não repasse nenhum código. Nem para quem disse ser do banco, nem para quem disse ser da loja ou da entrega. Na dúvida, encerre a conversa e procure o canal oficial. Para reconhecer as iscas, leia golpe por SMS: como identificar e o que fazer.
Marque no calendário uma revisão das contas importantes para conferir se o método escolhido continua valendo.
Número temporário não serve para segunda etapa
Um número temporário recebe o código de um cadastro e depois deixa de ser seu. Se ele estiver ligado como segunda etapa ou como telefone de recuperação, a conta fica com uma porta que você não controla mais. Para e-mail principal, banco, governo ou qualquer conta que você precise recuperar, use um número próprio e definitivo, e prefira um método que não dependa de número.
O 11SMS é um serviço da Eleven Host para receber SMS de verificação em números temporários, na área do cliente, que pede login. O pagamento sai do saldo pré-pago que você recarrega em Adicionar fundos, e o preço é a partir de R$ 0,49 por número, conforme o serviço e o país. Ele serve para cadastros de pouco risco, não para proteger contas que importam. Antes de pedir, veja na área do 11SMS se existe número para o serviço e o país do seu cadastro.
Se uma conta importante foi criada com número que você não controla, troque o telefone e reforce a recuperação. Se o problema for a linha, com chip bloqueado ou sem sinal, veja como receber SMS com chip bloqueado.
Como saber se sua segunda etapa está sob risco
- o celular ficou sem sinal sem motivo e você não trocou de chip nem de aparelho;
- chegaram códigos que você não pediu, em sequência;
- você recebeu aviso de login ou de troca de senha que não fez;
- a conta mostra um aparelho ou um local que você não reconhece.
Se um desses sinais aparecer, fale com a operadora pelo canal oficial, troque a senha da conta, revise os aparelhos conectados e passe a segunda etapa para um método que não dependa do número.
Cadastro avulso que só pede um código? Acesse o 11SMS, na área do cliente. Acessar o 11SMS
Perguntas frequentes
Devo desligar o SMS se já uso aplicativo autenticador?
Depende do serviço. Alguns deixam o SMS como reserva e outros permitem tirá-lo. Antes de desligar, confirme que você tem um método de recuperação que controla: códigos de reserva guardados, e-mail de recuperação protegido ou uma segunda chave. Se o SMS for a única reserva, desligá-lo pode trancar você fora.
O que é SIM swap?
É quando o número do seu celular é passado para um chip que está com um criminoso, que então recebe as suas mensagens e códigos.
Chave de acesso dispensa a senha?
Ela é pensada para substituir a senha na entrada da conta, mas o funcionamento varia por serviço. Alguns mantêm a senha como alternativa. Confira na ajuda oficial do serviço o que muda quando você a ativa e guarde um método de recuperação.
O SMS ainda vale a pena?
Vale como segunda etapa quando o serviço não oferece outra opção, ou como reserva. Só não deve ser a única proteção das contas que dão acesso a todas as outras.
