Meta lança autenticação por chaves de acesso no Brasil: mais segurança contra phishing?

A Meta começou a implementar a autenticação por chaves de acesso (passkeys) para usuários do Facebook e Messenger em plataformas móveis, adotando o que especialistas consideram uma das melhores defesas atuais contra phishing. Essa mudança radical substitui os vulneráveis sistemas baseados em senha por pares de chaves criptográficas vinculadas aos dispositivos dos usuários.

A tecnologia segue os padrões da FIDO Alliance, o mesmo framework usado por Apple, Google e Microsoft em suas soluções sem senha. Ao fazer login, os usuários se autenticam através da biometria (reconhecimento facial ou digital) ou PIN do dispositivo, sem precisar digitar senhas. A chave privada fica armazenada com segurança no aparelho, enquanto a chave pública é registrada nos servidores da Meta.

Do ponto de vista da cibersegurança, esse método elimina vários vetores de ataque. Tentativas de phishing se tornam inúteis (já que não há senha para roubar) e violações de servidores não comprometem credenciais, pois os dados biométricos nunca saem do dispositivo. O sistema também protege contra ataques intermediários através de provas criptográficas de posse.

Porém, defensores de privacidade alertam para o histórico da Meta no tratamento de dados. A empresa afirma que a autenticação biométrica ocorre localmente, mas persistem dúvidas sobre quais metadados são coletados durante o uso das passkeys. Alguns pesquisadores sugerem que a Meta poderia rastrear padrões de autenticação ou características do dispositivo - alegação que a empresa nega.

O lançamento inicial é focado em dispositivos móveis (iOS e Android), com suporte para navegadores web previsto para depois. Usuários podem ativar as passkeys nas configurações de segurança do Facebook, mantendo o login por senha como alternativa durante a transição. Dados internos indicam que cerca de 15% dos usuários optam pelas passkeys quando solicitados.

Para equipes de segurança corporativa, a implementação traz oportunidades e desafios. Se por um lado reduz os riscos de phishing em contas organizacionais, por outro exige a adaptação das políticas de gestão de dispositivos móveis. A tecnologia também levanta questões sobre recuperação de contas e sincronização entre múltiplos dispositivos que a Meta ainda não esclareceu completamente.

À medida que a autenticação sem senha se populariza, a implementação em larga escala pela Meta serve como um caso teste crucial para adoção pelos consumidores e eficácia de segurança. A comunidade de cibersegurança acompanhará de perto os padrões de ataque contra esse novo sistema e se ele cumpre a promessa de reduzir significativamente o comprometimento de contas.