O que é a autenticação por OTP? Como funciona, riscos e alternativas (2026)

Os códigos de uso único (OTPs) têm sido um pilar da segurança online há mais de duas décadas. Se você já recebeu um código de seis dígitos por mensagem de texto para fazer login no seu banco, você já usou um. Mas, à medida que os ataques cibernéticos se tornam mais sofisticados, a pergunta que as organizações e as equipes de segurança estão fazendo mudou de “devemos usar OTPs?” para “os OTPs ainda são seguros o suficiente?”.

Este artigo explica o que é a autenticação por OTP, como funcionam os diferentes tipos, os riscos de segurança específicos associados a cada um deles e por que a verificação biométrica facial está, cada vez mais, substituindo as OTPs como o método de autenticação preferido para casos de uso que exigem alta segurança.

O que é OTP? Significado e definição

Uma OTP é um código gerado por computador que é válido para uma única sessão de autenticação e expira após um curto período de tempo – normalmente de 30 a 120 segundos, ou imediatamente após o uso.

Ao contrário de uma senha estática, que permanece a mesma até que o usuário a altere, uma OTP é única a cada vez. Isso elimina o risco de ataques de repetição de credenciais, nos quais um invasor reutiliza uma senha interceptada. As OTPs são enviadas por mensagem de texto SMS, e-mail, um aplicativo autenticador ou um dispositivo token de hardware.

A autenticação por OTP é comumente utilizada como um componente da autenticação multifatorial (MFA), atendendo ao fator de posse – a camada de garantia do tipo “o que você possui”. Parte-se do princípio de que apenas o usuário legítimo tem acesso ao dispositivo ou à caixa de entrada que recebe o código.

Como funciona a OTP?

O processo básico de OTP segue três etapas:

1. O usuário tenta fazer login ou concluir uma transação.
2. O sistema gera um código único e válido por tempo limitado e o envia para o dispositivo ou endereço de e-mail cadastrado do usuário.
3. O usuário digita o código para se autenticar. A sessão é concedida se o código corresponder e não tiver expirado.

As OTPs são geradas utilizando um dos dois algoritmos subjacentes:

• HOTP (Senha Única Baseada em HMAC): o código é gerado com base em um contador que aumenta a cada evento de autenticação. O código permanece válido até ser utilizado, em vez de expirar após um determinado período.
• TOTP (Senha Única Baseada no Tempo):o código é gerado com base na hora atual e expira após um intervalo fixo, geralmente de 30 segundos. Aplicativos de autenticação, como o Google Authenticator, utilizam o TOTP.

No caso da OTP por SMS, nenhum dos algoritmos é utilizado — o código é simplesmente gerado no servidor e transmitido pela rede móvel, sem qualquer ligação criptográfica ao dispositivo do usuário.

Os principais tipos de autenticação por OTP

• OTP por SMS: um código de uso único enviado para o seu número de celular por mensagem de texto. É o formato mais utilizado, mas também o mais vulnerável.
• OTP por e-mail:um código enviado para a caixa de entrada do seu e-mail cadastrado. É prático, mas depende da segurança da conta de e-mail.
• TOTP (Time-Based, App-Generated): um código variável gerado por um aplicativo autenticador (Google Authenticator, Microsoft Authenticator, Authy). Mais seguro do que o SMS, pois não é transmitido pela rede telefônica. Normalmente, tem validade de 30 segundos.
• HOTP (baseado em contador): um código que aumenta a cada uso, em vez de expirar após um determinado período. Utilizado em algumas implementações de tokens de hardware.
• Tokens de hardware:um dispositivo físico dedicado (que não é um smartphone) que exibe um código de uso único. Comuns em ambientes corporativos e de serviços financeiros.

Autenticação por OTP: Qual é o problema?

Mela Abesamis sempre se considerou cuidadosa quando se tratava de segurança cibernética. Ela conhecia bem os ataques de phishing e outras táticas comuns de fraude, e sabia como identificá-las. Ela também estava acostumada a receber One-Time Passcodes (OTPs) de seu banco, enviados por SMS para seu dispositivo móvel para autenticar sua identidade.

Mas então, em dezembro de 2021, Mela recebeu uma mensagem do seu banco informando que 50.025 pesos filipinos (cerca de US$ 950) haviam sido transferidos de sua conta para um tal de Mark Nagoyo. Essa foi a primeira e única indicação que ela recebeu de que o dinheiro havia sido transferido. Ela nunca tinha ouvido falar de Mark Nagoyo, certamente não tinha feito o pagamento e não tinha recebido uma senha de uso único durante a transação.

Ela não estava sozinha. Mais de 700 titulares de contas foram afetados pela fraude. Em filipino, a palavra “nagoyo” significa “fazer alguém passar por bobo”.

Cinco pessoas acabaram sendo indiciadas pelo golpe. Os fraudadores utilizaram técnicas de phishing para obter credenciais de acesso a contas bancárias. Conseguiram então contornar totalmente os controles de segurança de OTP do banco — as vítimas relataram que as transações foram processadas sem que nenhum OTP fosse acionado — e esvaziar as contas bancárias das pessoas.

O banco reembolsou os valores afetados, mas isso não compensou totalmente a experiência traumática das vítimas.

Este é apenas um exemplo de como a autenticação por OTP está se tornando cada vez menos um desafio para invasores cada vez mais sofisticados. Este artigo analisa exatamente como esses ataques funcionam — e quais são as alternativas mais seguras.

As senhas de uso único (OTP) são seguras?

Os códigos OTP são mais seguros do que as senhas estáticas por si só. Como cada código é único e expira rapidamente, a interceptação de um deles não fornece ao invasor credenciais reutilizáveis.

No entanto, as OTPs apresentam uma limitação estrutural fundamental: elas atendem apenas ao fator de posse da autenticação – “o que você possui”. Qualquer dispositivo ou caixa de entrada que receba o código pode ser comprometido. Um celular roubado, um número de telefone sequestrado ou um código obtido por phishing invalidam totalmente a autenticação por OTP, sem que o invasor precise quebrar qualquer criptografia.

O consenso entre pesquisadores de segurança e órgãos reguladores mudou. As Diretrizes de Identidade Digital do NIST (SP 800-63B) agora restringem explicitamente o uso de OTP por SMS para autenticação de alta segurança, devido à sua vulnerabilidade à interceptação. Da mesma forma, o Centro Nacional de Segurança Cibernética do Reino Unido recomenda que as organizações abandonem os fatores de autenticação secundários baseados em SMS sempre que houver alternativas disponíveis.

Portanto: os OTPs são melhores do que apenas senhas, mas não são suficientemente seguros para casos de uso que exigem alta segurança — e as técnicas de ataque direcionadas a eles estão se tornando mais fáceis de executar em grande escala.

O OTP pode ser hackeado?

Sim – e existem vários métodos bem documentados que os invasores utilizam para interceptar ou contornar a autenticação por OTP sem precisar de acesso físico ao dispositivo do alvo.

Ataques de troca de cartão SIM

O ataque por SMS com OTP mais comum. O fraudador obtém dados pessoais da vítima — por meio de phishing, vazamentos de dados ou engenharia social — e os utiliza para convencer a operadora de celular da vítima a transferir o número de telefone para um cartão SIM sob o controle do invasor. Todas as mensagens SMS subsequentes, incluindo as OTPs, são então enviadas ao invasor.

A fraude por troca de SIM está aumentando drasticamente. O órgão britânico de combate à fraude Cifas registrou um aumento de 1.055% nas trocas não autorizadas de SIM em 2024, passando de 289 casos em 2023 para quase 3.000. Nos EUA, o Centro de Denúncias de Crimes na Internet do FBI registrou US$ 26 milhões em perdas decorrentes de trocas de SIM em 2024, e um único caso resultou em uma sentença arbitral de US$ 33 milhões contra a T-Mobile após uma troca ter possibilitado o roubo de criptomoedas.

A falha no protocolo SS7

O SS7 (Sistema de Sinalização nº 7) é um protocolo com décadas de existência que sustenta principalmente as redes móveis 2G e 3G, incluindo o roteamento de SMS. Ele contém uma falha de projeto que permite que invasores com acesso à rede SS7 — geralmente grupos criminosos sofisticados ou agentes estatais — interceptem chamadas e mensagens de texto em trânsito, incluindo OTPs.

Na Alemanha, fraudadores exploraram o protocolo SS7 por meio de uma operadora de rede estrangeira para interceptar em grande escala as senhas OTP enviadas por SMS aos clientes da O2 Telefónica, o que lhes permitiu esvaziar contas bancárias pertencentes a um número não revelado de clientes.

Interceptação de phishing e OTP em tempo real

Uma categoria de ataques em ascensão e particularmente perigosa. Os kits de ferramentas de tipo “adversário no meio” — incluindo estruturas amplamente disponíveis, como o Evilginx — permitem que os invasores criem versões proxy convincentes de páginas de login legítimas. Quando um alvo insere suas credenciais e a OTP, o servidor do invasor captura ambas em tempo real e as reenvia ao site genuíno antes que a OTP expire. O invasor obtém acesso total à sessão, mesmo que a vítima tenha concluído corretamente a autenticação multifatorial (MFA).

Este ataque não requer acesso ao cartão SIM, nem exploração do SS7, nem malware – basta uma página de phishing convincente e um relé automatizado. Ele contorna tanto o OTP por SMS quanto o OTP por e-mail e o TOTP.

Riscos específicos do TOTP

O TOTP por aplicativo é mais resistente à interceptação do que o SMS, mas ainda apresenta vulnerabilidades que podem ser exploradas:

• Roubo ou comprometimento do dispositivo. Se um invasor obtiver acesso a um dispositivo que contenha um aplicativo autenticador — e esse mesmo dispositivo for usado para concluir a transação —, os “dois fatores” se reduzem a um. A classificação de MFA passa a ser questionável.
• Exposição de códigos de recuperação. A maioria dos aplicativos de autenticação gera códigos de recuperação durante a configuração. Se esses códigos forem armazenados de forma insegura (em um aplicativo de notas, e-mail ou backup na nuvem), eles se tornam um ponto único de falha.
• Engenharia social. Cada vez mais, os invasores ligam para as vítimas em tempo real, fingindo ser equipes de combate à fraude bancária, e as pressionam a ler em voz alta seu código TOTP durante uma ligação de “verificação de conta”.

Quais são os riscos de segurança da autenticação OTP?

O principal problema da autenticação por OTP é que ela atende apenas ao fator de posse da autenticação. O que você possui — seja seu celular ou um token de hardware — pode ser perdido, roubado, comprometido ou falsificado pela operadora. Abaixo está um resumo dos principais vetores de risco por tipo de OTP.

Riscos de segurança relacionados com OTP por SMS

Como demonstrado no caso das Filipinas, os invasores não precisam roubar seu celular para burlar a OTP por SMS. As mensagens de texto não são criptografadas e estão vinculadas a um número de telefone, e não a um dispositivo específico. Os principais vetores de ataque são a troca de SIM, a exploração do SS7 e o phishing em tempo real — todos abordados em detalhes acima.

Riscos de segurança do TOTP

A autenticação TOTP e por aplicativo oferecem mais segurança do que o SMS, já que o código é gerado localmente e não é transmitido pela rede da operadora. Mas, como observado, o comprometimento do dispositivo, o phishing em tempo real e a engenharia social continuam sendo vias de ataque possíveis. Além disso, a autenticação TOTP ainda atende apenas ao fator de posse — o que levanta dúvidas sobre se ela realmente constitui uma autenticação multifatorial quando tanto a transação quanto a autenticação ocorrem no mesmo dispositivo.

A autenticação OTP oferece uma experiência de usuário desatualizada?

A pandemia acelerou a demanda por experiências de usuário integradas e com prioridade no acesso remoto. A autenticação por OTP apresenta deficiências em vários aspectos.

Processo em andamento

A autenticação OTP exige uma ação do usuário: pegar um dispositivo, abrir um aplicativo ou alternar entre telas. O prazo de validade de 30 segundos do TOTP significa que os usuários que não agem com rapidez suficiente enfrentam falhas na autenticação, o que aumenta o atrito e, às vezes, leva ao abandono total do processo.

Falta de inclusão

A autenticação por OTP pressupõe que os usuários tenham um dispositivo móvel, um número de telefone válido e a capacidade de seguir instruções em várias etapas em diferentes telas. Nem todos têm essas condições. Para usuários com determinadas deficiências, idosos ou aqueles sem acesso constante a dispositivos móveis, a segurança baseada em OTP cria verdadeiras barreiras de exclusão. A verificação biométrica também requer um dispositivo, mas elimina a necessidade de um número de telefone válido e reduz as etapas cognitivas a uma única ação passiva, em conformidade com as diretrizes WCAG 2.2 AA.

OTP x Autenticação Biométrica: Uma Comparação

Enquanto a autenticação por OTP atende ao fator de posse (“o que você tem”), a autenticação biométrica atende ao fator de inerência — “o que você é”. Seu rosto não pode ser perdido, roubado ou transferido para outro número.