O que é a autenticação OTP? Como funciona, riscos e alternativas (2026)

Os códigos de acesso únicos (OTPs) têm sido um pilar da segurança online há mais de duas décadas. Se alguma vez recebeu um código de seis dígitos por mensagem de texto para iniciar sessão na sua conta bancária, já utilizou um. Mas, à medida que os ciberataques se tornam mais sofisticados, a questão que as organizações e as equipas de segurança se colocam passou de «devemos utilizar OTPs?» para «os OTPs continuam a ser suficientemente seguros?».

Este artigo explica o que é a autenticação por OTP, como funcionam os diferentes tipos, os riscos de segurança específicos que cada um acarreta e por que razão a verificação biométrica facial está a substituir cada vez mais os OTP como método de autenticação preferido para casos de utilização que exigem um elevado nível de segurança.

O que é OTP? Significado e definição

Uma OTP é um código gerado por computador que é válido para uma única sessão de autenticação e expira após um curto período de tempo – normalmente entre 30 e 120 segundos, ou imediatamente após a sua utilização.

Ao contrário de uma palavra-passe estática, que permanece a mesma até que o utilizador a altere, uma OTP é única em cada utilização. Isto elimina o risco de ataques de repetição de credenciais, nos quais um invasor reutiliza uma palavra-passe interceptada. As OTPs são enviadas por mensagem de texto SMS, e-mail, uma aplicação de autenticação ou um dispositivo token de hardware.

A autenticação OTP é frequentemente utilizada como componente da autenticação multifator (MFA), satisfazendo o fator de posse – a camada de garantia do tipo «o que possui». Parte-se do princípio de que apenas o utilizador legítimo tem acesso ao dispositivo ou à caixa de entrada que recebe o código.

Como funciona a OTP?

O processo básico de OTP segue três etapas:

1. O utilizador tenta iniciar sessão ou concluir uma transação.
2. O sistema gera um código único e válido por tempo limitado e envia-o para o dispositivo ou endereço de e-mail registado do utilizador.
3. O utilizador introduz o código para se autenticar. A sessão é concedida se o código corresponder e não tiver expirado.

As OTPs são geradas utilizando um de dois algoritmos subjacentes:

• HOTP (Senha Única Baseada em HMAC): o código é gerado com base num contador que aumenta a cada evento de autenticação. O código permanece válido até ser utilizado, em vez de expirar após um determinado período de tempo.
• TOTP (Time-Based One-Time Password):o código é gerado com base na hora atual e expira após um intervalo fixo, normalmente de 30 segundos. As aplicações de autenticação, como o Google Authenticator, utilizam o TOTP.

No caso do OTP por SMS, nenhum dos algoritmos é utilizado — o código é simplesmente gerado no servidor e transmitido através da rede móvel, sem qualquer ligação criptográfica ao dispositivo do utilizador.

Os principais tipos de autenticação OTP

• SMS OTP: um código único enviado para o seu número de telemóvel por mensagem de texto. É o formato mais utilizado, mas também o mais vulnerável.
• OTP por e-mail:um código enviado para a caixa de entrada do seu endereço de e-mail registado. É prático, mas depende da segurança da conta de e-mail.
• TOTP (Time-Based, App-Generated): um código variável gerado por uma aplicação de autenticação (Google Authenticator, Microsoft Authenticator, Authy). Mais seguro do que o SMS, uma vez que não é transmitido através da rede telefónica. Normalmente válido por 30 segundos.
• HOTP (baseado em contador): um código que aumenta a cada utilização, em vez de expirar após um determinado período de tempo. Utilizado em algumas implementações de tokens de hardware.
• Tokens de hardware:um dispositivo físico específico (que não é um smartphone) que apresenta um código de uso único. São comuns em ambientes empresariais e de serviços financeiros.

Autenticação OTP: Qual é o problema?

Mela Abesamis sempre se considerou cuidadosa no que diz respeito à cibersegurança. Conhecia bem os ataques de phishing e outras tácticas de fraude comuns, bem como a forma de os detetar. Estava também habituada a receber códigos de acesso únicos (OTP) do seu banco, enviados por SMS para o seu dispositivo móvel, para autenticar a sua identidade.

Mas, em dezembro de 2021, Mela recebeu uma mensagem do seu banco a informar que 50 025 pesos filipinos (cerca de 950 dólares) tinham sido transferidos da sua conta para um tal Mark Nagoyo. Esta foi a primeira e única indicação que recebeu de que o dinheiro tinha sido transferido. Ela nunca tinha ouvido falar de Mark Nagoyo, certamente não tinha efetuado o pagamento e não tinha recebido um código de acesso único durante a transação.

Ela não estava sozinha. Mais de 700 titulares de contas foram afetados pela fraude. Em filipino, a palavra «nagoyo» significa «fazer alguém passar por tolo».

Cinco indivíduos acabaram por ser acusados pelo esquema fraudulento. Os fraudadores utilizaram técnicas de phishing para obter credenciais de acesso a contas bancárias. Conseguiram assim contornar totalmente os controlos de segurança OTP do banco — as vítimas relataram que as transações foram processadas sem que fosse solicitada qualquer OTP — e esvaziar as contas bancárias das pessoas.

O banco reembolsou os montantes afectados, mas isso não compensou totalmente a experiência traumática das vítimas.

Este é apenas um exemplo de como a autenticação por OTP está a tornar-se cada vez menos um desafio para atacantes cada vez mais sofisticados. Este artigo analisa exatamente como esses ataques funcionam — e quais são as alternativas mais seguras.

As OTPs são seguras?

Os códigos OTP são mais seguros do que as senhas estáticas por si só. Como cada código é único e expira rapidamente, a sua interceção não proporciona ao invasor credenciais reutilizáveis.

No entanto, as OTP apresentam uma limitação estrutural fundamental: satisfazem apenas o fator de posse da autenticação – «o que se tem». Qualquer dispositivo ou caixa de entrada que receba o código pode ser comprometido. Um telemóvel roubado, um número de telemóvel pirateado ou um código obtido através de phishing invalidam totalmente a autenticação por OTP, sem que o atacante precise de quebrar qualquer sistema de criptografia.

O consenso entre os investigadores de segurança e as entidades reguladoras mudou. As Orientações sobre Identidade Digital do NIST (SP 800-63B) restringem agora explicitamente a utilização de OTP por SMS para autenticação de alta segurança, devido à sua vulnerabilidade à interceção. O Centro Nacional de Cibersegurança do Reino Unido aconselha igualmente as organizações a abandonarem os segundos fatores de autenticação baseados em SMS, sempre que existam alternativas disponíveis.

Portanto: os OTPs são melhores do que as senhas por si só, mas não são suficientemente seguros para casos de utilização que exijam um elevado nível de segurança — e as técnicas de ataque que os visam estão a tornar-se mais fáceis de executar em grande escala.

O OTP pode ser pirateado?

Sim – e existem vários métodos bem documentados que os atacantes utilizam para interceptar ou contornar a autenticação por OTP sem precisarem de acesso físico ao dispositivo do alvo.

Ataques de troca de cartão SIM

O ataque por SMS com OTP mais comum. O fraudador obtém dados pessoais sobre o alvo — através de phishing, fugas de dados ou engenharia social — e utiliza-os para convencer a operadora de telemóvel da vítima a transferir o número de telemóvel para um cartão SIM sob o controlo do atacante. Todas as mensagens SMS subsequentes, incluindo as OTP, são então enviadas para o atacante.

A fraude por troca de cartão SIM está a aumentar drasticamente. A Cifas, entidade britânica de vigilância contra fraudes, registou um aumento de 1 055 % nas trocas não autorizadas de cartões SIM em 2024, passando de 289 casos em 2023 para quase 3 000. Nos EUA, o Centro de Denúncias de Crimes na Internet do FBI registou 26 milhões de dólares em perdas relacionadas com trocas de SIM em 2024, e um único caso resultou numa sentença arbitral de 33 milhões de dólares contra a T-Mobile, depois de uma troca ter possibilitado o roubo de criptomoedas.

A falha do protocolo SS7

O SS7 (Sistema de Sinalização n.º 7) é um protocolo com várias décadas que sustenta principalmente as redes móveis 2G e 3G, incluindo o encaminhamento de SMS. Apresenta uma falha de conceção que permite que os atacantes com acesso à rede SS7, normalmente grupos criminosos sofisticados ou agentes estatais, interceptem chamadas e mensagens de texto em trânsito, incluindo códigos OTP.

Na Alemanha, os fraudadores exploraram o protocolo SS7 através de um operador de rede estrangeiro para interceptar em grande escala as palavras-passe de um só uso (OTP) enviadas por SMS aos clientes da O2 Telefónica, o que lhes permitiu esvaziar as contas bancárias de um número não revelado de clientes.

Intercepção de phishing e de OTP em tempo real

Uma categoria de ataques em expansão e particularmente perigosa. Os conjuntos de ferramentas de «adversário no meio» — incluindo estruturas amplamente disponíveis como o Evilginx — permitem que os atacantes criem versões proxy convincentes de páginas de início de sessão legítimas. Quando um alvo introduz as suas credenciais e a OTP, o servidor do atacante captura ambas em tempo real e reenvia-as para o site genuíno antes que a OTP expire. O atacante obtém acesso total à sessão, apesar de a vítima ter concluído corretamente a autenticação multifator (MFA).

Este ataque não requer acesso ao cartão SIM, nem exploração do SS7, nem malware – basta uma página de phishing convincente e um relé automatizado. Contorna com igual eficácia as OTP por SMS, as OTP por e-mail e as TOTP.

Riscos específicos do TOTP

O TOTP baseado em aplicações é mais resistente à interceção do que o SMS, mas continua a apresentar pontos fracos que podem ser explorados:

• Roubo ou comprometimento do dispositivo. Se um invasor obtiver acesso a um dispositivo que contenha uma aplicação de autenticação — e esse mesmo dispositivo for utilizado para concluir a transação —, os «dois fatores» reduzem-se a um. A classificação de MFA torna-se questionável.
• Exposição dos códigos de recuperação. A maioria das aplicações de autenticação gera códigos de recuperação durante a configuração. Se esses códigos forem armazenados de forma insegura (numa aplicação de notas, num e-mail ou num backup na nuvem), tornam-se um ponto único de falha.
• Engenharia social. Cada vez mais, os atacantes contactam os alvos em tempo real, fazendo-se passar por equipas de combate à fraude bancária, e pressionam-nos a ler em voz alta o seu código TOTP durante uma chamada de «verificação da conta».

Quais são os riscos de segurança da autenticação OTP?

O principal problema da autenticação por OTP é que esta apenas cumpre o fator de posse da autenticação. O que possui — seja o seu telemóvel ou um token de hardware — pode ser perdido, roubado, comprometido ou falsificado ao nível da operadora. Segue-se um resumo dos principais vetores de risco por tipo de OTP.

Riscos de segurança associados às OTP por SMS

Como demonstrado no caso das Filipinas, os atacantes não precisam de roubar o seu telemóvel para contornar a OTP por SMS. As mensagens de texto não estão encriptadas e estão associadas a um número de telemóvel, e não a um dispositivo específico. Os principais vetores de ataque são a troca de cartões SIM, a exploração do SS7 e o phishing em tempo real – todos abordados em pormenor acima.

Riscos de segurança do TOTP

A autenticação TOTP e a autenticação por aplicação oferecem mais segurança do que as mensagens SMS, uma vez que o código é gerado localmente e não é transmitido através da rede de uma operadora. No entanto, tal como referido, o comprometimento do dispositivo, o phishing em tempo real e a engenharia social continuam a ser vias de ataque possíveis. Além disso, a autenticação TOTP continua a satisfazer apenas o fator de posse, o que levanta dúvidas sobre se constitui verdadeiramente uma autenticação multifatorial quando tanto a transação como a autenticação ocorrem no mesmo dispositivo.

A autenticação OTP oferece uma experiência de utilizador ultrapassada?

A pandemia acelerou a procura por experiências de utilizador fluidas e centradas no trabalho remoto. A autenticação por OTP fica aquém em vários aspetos.

Processo em curso

A autenticação OTP requer uma ação por parte do utilizador: pegar num dispositivo, abrir uma aplicação ou alternar entre ecrãs. O prazo de validade de 30 segundos do TOTP significa que os utilizadores que não agem com rapidez suficiente enfrentam falhas na autenticação, o que cria atritos e, por vezes, leva ao abandono total do processo.

Falta de inclusão

A autenticação por OTP pressupõe que os utilizadores dispõem de um dispositivo móvel, de um número de telefone válido e da capacidade de seguir instruções em várias etapas ao longo de diferentes ecrãs. Nem todos têm essas condições. Para utilizadores com determinadas deficiências, pessoas de faixas etárias mais avançadas ou aqueles sem acesso consistente a dispositivos móveis, a segurança baseada em OTP cria verdadeiras barreiras de exclusão. A verificação biométrica também requer um dispositivo, mas elimina a necessidade de um número de telefone válido e reduz as etapas cognitivas a uma única ação passiva, em conformidade com as diretrizes WCAG 2.2 AA.

OTP vs. Autenticação Biométrica: Uma Comparação

Enquanto a autenticação por OTP satisfaz o fator de posse («o que tem»), a autenticação biométrica satisfaz o fator de inerência — «o que é». O seu rosto não pode ser perdido, roubado ou transferido para outro número.