Entre os dois, o app autenticador é mais seguro — e a diferença não é pequena. O código de um aplicativo TOTP nasce dentro do seu celular, sem passar por antena, operadora ou rede telefônica; o código por SMS viaja por uma infraestrutura que pode ser interceptada, clonada ou simplesmente transferida para o chip de outra pessoa. Se você usa SMS hoje, migrar para um gerador de códigos de verificação em duas etapas é uma das melhorias de segurança mais rápidas que existem.
Dito isso, a resposta honesta tem nuances: o SMS ainda é muito melhor do que não usar segundo fator nenhum, e há bancos que não oferecem outra opção. Vale entender o que cada método protege — e o que não protege.
Como funciona o 2FA por SMS
Você digita usuário e senha, o serviço envia um código por mensagem de texto e você o repete na tela. A vantagem é óbvia: funciona em qualquer celular, não exige instalar nada e todo mundo já sabe usar — por isso virou padrão em bancos e e-commerces. O ponto fraco é que a sua segurança passa a depender de um número de telefone, e um número é, na prática, um identificador que terceiros conseguem manipular.
Como funciona um app autenticador (TOTP)
Ao ativar, o serviço mostra um QR code que carrega uma chave secreta. Essa chave fica no aplicativo e, a cada 30 segundos, o app a combina com o relógio do aparelho para gerar um código novo de seis dígitos. O servidor faz a mesma conta e compara. Nada trafega pela rede no login — por isso o código funciona no modo avião, no subsolo ou em outro país. A explicação técnica está em o que é um código TOTP.
Os riscos reais do SMS
- Troca de chip (SIM swap): o golpista reúne seus dados, liga para a operadora fingindo ser você e transfere o número para um chip novo. A partir daí, todos os seus códigos chegam no celular dele. É o ataque mais comum e o mais devastador: não exige habilidade técnica, só engenharia social sobre um atendente.
- Interceptação SS7: a sinalização entre operadoras usa um protocolo dos anos 1970, nunca desenhado para um mundo hostil. Quem tem acesso a essa rede desvia mensagens sem tocar no seu aparelho.
- Falta de sinal e roaming: em viagem ou com chip internacional, a mensagem não chega e você fica trancado para fora da própria conta.
- Atrasos da operadora: o código chega depois de expirar, você pede outro, o segundo invalida o primeiro.
- Códigos na tela bloqueada: quem pega seu celular por trinta segundos lê a prévia da notificação, mesmo sem a senha.
Se o SMS ainda é o seu canal para códigos e testes de cadastro, ao menos evite usar seu número principal em serviços descartáveis: um número temporário para receber SMS resolve confirmações pontuais sem expor o telefone que protege as suas contas de verdade.
Comparação lado a lado
| Critério | App autenticador (TOTP) | 2FA por SMS |
|---|---|---|
| Resiste a troca de chip (SIM swap) | Sim | Não |
| Depende da operadora | Não | Sim |
| Funciona sem sinal ou internet | Sim | Não |
| Funciona em viagem e roaming | Sim | Instável |
| Custo por código | Zero | Pago pelo serviço |
| Resiste a phishing em tempo real | Não | Não |
| Facilidade para iniciantes | Média | Alta |
| Risco em caso de perda do aparelho | Alto sem backup | Baixo |
Onde o SMS ainda é aceitável
O SMS continua fazendo sentido quando:
- É a única opção. Muitos bancos e serviços públicos não suportam TOTP. Ative o SMS: qualquer segundo fator derruba a maioria dos ataques automatizados, que só testam senhas vazadas.
- A conta tem baixo valor. Um fórum ou um app de delivery não pedem o mesmo cuidado que o seu e-mail principal.
- Serve de reserva. Onde os dois convivem, manter o SMS como recuperação é razoável — lembrando que o elo mais fraco define a segurança do conjunto.
Um cuidado extra vale ouro: peça à operadora um PIN de atendimento que impeça portabilidade e troca de chip sem autorização. É gratuito e fecha o vetor mais usado contra o 2FA por SMS.
O topo da pirâmide: chaves de segurança e passkeys
Acima do TOTP estão as chaves físicas (padrão FIDO2, como a YubiKey) e as passkeys, já embutidas no iPhone, no Android e nos gerenciadores de senha. A vantagem decisiva: elas verificam o endereço do site antes de responder, então não entregam nada a uma página falsa. É a única categoria resistente a phishing. Se o serviço oferecer passkey, prefira; se não, TOTP; se nem isso, SMS.
Lembre também que o segundo fator não substitui o primeiro: continua valendo ter uma senha longa e única em cada serviço. Se você ainda repete senhas, comece aprendendo como montar uma frase secreta forte.
Perguntas frequentes
E se eu perder o celular com o app autenticador?
É para isso que existem os códigos de recuperação. Ao ativar o 2FA, todo serviço mostra uma lista de códigos de uso único — guarde-os fora do próprio celular. Muitos aplicativos também oferecem backup criptografado na nuvem.
Posso usar o mesmo app para várias contas?
Pode, e é o normal. Cada serviço vira uma entrada independente, com a sua própria chave secreta. Não há limite prático nem interferência entre elas.
O código do app funciona sem internet?
Funciona. O cálculo depende só da chave secreta e do horário do aparelho. O único cuidado é manter o relógio sincronizado automaticamente: um desvio grande faz os códigos serem recusados.
2FA por SMS é melhor que nada?
É, por larga margem. A maioria dos ataques em escala usa senhas vazadas em invasões antigas, e qualquer segundo fator interrompe essa tentativa. O SMS só é fraco frente ao TOTP e às passkeys, não frente a uma conta desprotegida.
O que fazer hoje
Comece pelo que causa mais estrago se cair: e-mail principal, banco, gerenciador de senhas e redes sociais. Troque o SMS por aplicativo onde for possível, salve os códigos de recuperação em papel e peça o PIN de atendimento à operadora. Para gerar e conferir seus códigos de seis dígitos no navegador, use o autenticador TOTP online — e veja as demais ferramentas gratuitas da 1mail.
