App autenticador ou SMS: qual é mais seguro na 2FA?

Resposta curta: os códigos de um app autenticador são mais seguros que os códigos enviados por SMS. Nada passa pela rede de telefonia, então quem toma o seu número de telefone não recebe os seus códigos. Mesmo assim, os dois tipos são códigos de uso único que você digita, e uma página de login falsa convincente pode roubar qualquer um deles. Quando um site oferece uma chave-senha (passkey) ou uma chave de segurança, essa opção é mais forte que as duas.

Por que os códigos por SMS são a opção mais fraca

Uma mensagem de texto vai para o seu número de telefone, não para o seu celular. Quem controla o número recebe o código.

Troca de SIM (SIM swap) e portabilidade fraudulenta. Um golpista convence a sua operadora a transferir o seu número para o chip dele, ou para outra operadora. A FCC explica que o golpista passa então a controlar "the victim's private texts and calls" (as mensagens e ligações privadas da vítima) (FCC). O FBI alerta que, depois da troca, "calls, texts, and other data are diverted to the criminal's device" (ligações, mensagens e outros dados são desviados para o aparelho do criminoso) (FBI IC3).
As diretrizes do governo dos EUA restringem o uso. As diretrizes de identidade digital do NIST (SP 800-63B-4, julho de 2025) classificam os códigos de uso único enviados pela rede de telefonia como um autenticador restrito. Os serviços que os usam devem monitorar trocas de SIM e portabilidade de número, e precisam oferecer outra opção a todos os usuários (NIST).
Grandes provedores estão abandonando o SMS. A Microsoft diz que vai "start phasing out SMS" (começar a eliminar gradualmente o SMS) para entrar em contas Microsoft pessoais e recuperá-las (Microsoft).

Por que os códigos de um app autenticador são melhores

Um app autenticador gera cada código no seu celular a partir de duas coisas: uma chave de configuração que você escaneou uma vez e a hora atual. O código nunca é enviado a você, então:

tomar o seu número de telefone não dá nada ao invasor,
não há mensagem de texto para interceptar ou ler na Tela Bloqueada, e
os códigos funcionam sem nenhum sinal. Nas palavras do Google, "you can still generate codes without an internet connection or mobile service" (você ainda consegue gerar códigos sem conexão com a internet nem serviço móvel) (Google).

O FBI recomenda "strong multi-factor authentication methods" (métodos fortes de autenticação multifator), incluindo "standalone authentication applications" (apps de autenticação independentes) (FBI IC3).

Do que nenhum dos dois protege: phishing

Você digita os dois tipos de código, e esse é o ponto fraco. Uma página de login falsa pode pedir sua senha e o código atual e repassar os dois ao site verdadeiro em segundos. O NIST é direto: "OTP authentication is not phishing-resistant" (a autenticação por OTP não é resistente a phishing) (NIST, seção 3.1.4).

O que ajuda:

Confira a barra de endereço antes de digitar um código, sempre.
Nunca leia um código para alguém que ligou, mandou mensagem ou e-mail para você, por mais oficial que a pessoa pareça.
Quando houver a opção, use uma chave-senha ou uma chave de segurança física. Elas ficam vinculadas ao endereço do site verdadeiro, então não funcionam em um site falso. O NIST considera esse tipo de login criptográfico resistente a phishing.

Lado a lado

	Código por SMS	App autenticador	Chave-senha ou chave de segurança
Alguém toma o seu número de telefone	Recebe seus códigos	Não recebe nada	Não recebe nada
Funciona sem sinal	Não	Sim	Sim
Página de login falsa	Pode roubar o código	Pode roubar o código	Não funciona nela
Você perde o celular	Peça um chip novo à operadora	Depende do backup do app, então guarde os códigos de backup	Chaves-senha sincronizadas voltam em um dispositivo novo; para uma chave física, tenha uma reserva

Desative a alternativa por SMS quando puder

Alguns sites mantêm o SMS como alternativa mesmo depois que você configura um app autenticador. Se o caminho por SMS continuar aberto, quem tomar o seu número pode conseguir usá-lo no lugar. Depois de configurar o app e os códigos de backup, remova o número de telefone das opções da 2FA, se o site permitir.

No Authenticator App - Novaz

O Novaz gera códigos padrão baseados em tempo no seu iPhone. As chaves de configuração ficam no Keychain do iPhone, nesse dispositivo, e nunca são enviadas ao Novaz. Uma cópia vai para o iCloud só se você ativar o Backup no iCloud (PRO), e aí ela tem criptografia de ponta a ponta da Apple no iCloud Keychain (Chaves do iCloud). Você também pode salvar um arquivo de backup criptografado (grátis). Dá para bloquear o app com Face ID ou uma senha. Como todo app autenticador, seus códigos não são resistentes a phishing. Se você perder o celular e não tiver backup do Novaz, os códigos de backup que cada site oferece são o que devolve o seu acesso, então guarde-os de qualquer forma. Mais detalhes em O Novaz Authenticator é seguro?