Celular perdido, conta bloqueada: o que realmente ajuda agora

Seu celular sumiu. Roubado, caído em um lago, não faz diferença. Você ainda sabe a senha da sua conta do Google, mas o Google agora exige a autenticação de dois fatores, e essa informação estava no celular que você não tem mais.

Este é o momento que decide se você perderá uma tarde ou uma conta. A decisão em si foi tomada muito antes, no dia em que você ativou o login de dois fatores.

Analisamos os procedimentos de recuperação do Google, da Apple e da Microsoft, e depois os do 1Password, do Bitwarden e do Dashlane. Todos os seis se resumem à mesma coisa. Nada pode ser configurado após o fato. Todo caminho de retorno precisa ser traçado antes que você precise dele.

Em nosso artigo sobre chaves de segurança, oito tentativas erradas consecutivas apagam todos os registros no dispositivo. Desta vez, não é um componente de hardware que vai embora. É a sua caixa de entrada.

O que os provedores realmente solicitam

O caminho mais fácil é o mesmo nas três grandes empresas: um segundo dispositivo que ainda esteja conectado à conta. Sem ele, as opções se esgotam rapidamente.

O Google aceita outro celular com sessão ativa, um segundo número registrado, um código de backup, uma chave de segurança ou uma senha de acesso de outro dispositivo. Os códigos de backup são a parte que as pessoas subestimam. São dez deles, com oito dígitos cada, sendo que cada um serve para um único uso. Gere um novo conjunto e o antigo perde a validade imediatamente.

A Apple trata a senha do seu iPhone como um fator de recuperação completo. Ela é “também usada para redefinir a senha da sua conta Apple e para recuperar seus dados criptografados de ponta a ponta caso você perca o acesso à sua conta”. O número que você digita para desbloquear o celular faz muito mais do que proteger a tela de bloqueio.

A Microsoft não fornece nenhum conjunto de códigos. Você recebe exatamente um código de recuperação de 25 dígitos e não pode recuperá-lo posteriormente: “Não é possível recuperar ou baixar um código de recuperação existente da conta da Microsoft.”

A espera é o verdadeiro problema

Perca o segundo fator e você terá que passar pelo processo de recuperação de conta. Isso leva tempo, e isso é proposital.

O Google quantifica isso: “pode levar de 3 a 5 dias úteis para que o Google confirme que é você”. Adicionar um novo número de telefone no último minuto não adianta nada, pois “pode levar até 7 dias para que essas alterações entrem em vigor”.

A mais nova rede de segurança do Google vem com a mesma restrição. Os contatos de recuperação permitem que até dez pessoas em quem você confia confirmem sua identidade. O contato tem sete dias para aceitar, e leva mais uma semana até que ele possa ser utilizado. Quando você precisar, a porta já estará fechada: “Não é possível adicionar um contato de recuperação enquanto estiver sem acesso à sua conta ou no processo de recuperação da conta.”

A Apple não fornece um número específico, apenas “vários dias ou mais”, e responde ela mesma à pergunta óbvia que se segue. “O período de espera pode ser reduzido? Não.”

A Microsoft é a exceção. O formulário de recuperação é enviado em até 24 horas, desde que o login de dois fatores esteja desativado. Se você substituir todas as informações de segurança da conta, a Microsoft a bloqueará por 30 dias.

Três armadilhas que quase ninguém conhece

O prazo de 30 dias da Microsoft só pode ser encurtado com aquilo que o senhor acabou de perder. A página de ajuda informa: “Não podemos acelerar o processo de 30 dias, a menos que o senhor cancele a solicitação.” E para cancelar: “Você precisará ter acesso a essas provas de segurança para concluir a solicitação de cancelamento.” Se o login de dois fatores estiver ativado e nenhuma das alternativas armazenadas ainda estiver disponível para você, a Microsoft exibe uma mensagem que raramente se vê em um documento de suporte: “não podemos ajudá-lo, desculpe.”

A Apple interrompe uma recuperação em andamento no momento em que você usa a conta. Sem aviso, sem mensagem: “Se sua conta da Apple estiver em uso durante sua solicitação, a recuperação da conta será cancelada automaticamente.” Basta um iPad na sala de estar, ainda conectado. O único dispositivo que você pode continuar usando é aquele no qual iniciou a solicitação.

O backup do Authenticator falha justamente na conta que você esperaria que ele cobrisse. Para contas da Microsoft sem senha, o backup contém apenas o nome da conta e nada mais: “nesse caso, apenas o nome da conta é copiado. Ao restaurar, você precisará fazer login novamente.” Além disso, há uma restrição de plataforma: “contas cujo backup foi feito usando um dispositivo iOS não podem ser restauradas em um dispositivo Android.” Se você mudar do iPhone para o Android, o backup não terá mais utilidade.

Com gerenciadores de senhas, a situação realmente está perdida

O Google e a Apple permitirão que o senhor volte a acessar sua conta eventualmente, desde que o senhor possa comprovar o suficiente. Com gerenciadores de senhas, não existe tal autoridade. Os planos familiares e de equipe são a exceção, nos quais um organizador ou administrador pode redefinir sua senha. Pague pela sua própria conta e não haverá ninguém acima de você.

O Bitwarden afirma isso sem rodeios: “Os funcionários e os sistemas do Bitwarden não têm conhecimento da sua senha mestra, nem maneira de recuperá-la ou redefini-la.” Sobre a perda do segundo fator: “não há como o Bitwarden recuperar a conta ou seus dados. Você precisará excluir sua conta e criar uma nova.” O código de recuperação que poderia salvá-lo fica nas configurações, atrás da solicitação da senha mestra. Ele só ajuda a pessoa que o anotou com antecedência.

O 1Password esclarece um equívoco muito comum. A Chave Secreta de 34 caracteres parece um código de emergência, mas não é: “Sua Chave Secreta não é: um código de backup. Ela não permite que você faça login caso esqueça a senha da sua conta do 1Password.” Desde 2024, existe um código de recuperação de verdade. Ele funciona mais de uma vez, mas somente se o(a) senhor(a) ainda puder acessar a conta de e-mail cadastrada.

O Dashlane é o único dos três que enviará códigos novos por mensagem de texto quando a segunda camada de segurança estiver indisponível. Ele também não redefinirá a senha mestra. Em vez disso, oferece uma chave de recuperação, além de recuperação biométrica no Android e no iPhone.

O que deve ser configurado hoje

Imprima seus códigos de recuperação. Não os fotografe e não os armazene no gerenciador de senhas que você está tentando proteger. A Apple deixa isso bem claro em relação à sua chave de recuperação: não no aplicativo Senhas, nem no iCloud Drive, pois “se você perder o acesso à sua conta da Apple, não poderá abrir esses aplicativos para encontrá-la”.

Configure uma autenticação de dois fatores em um segundo dispositivo. Um tablet, uma chave reserva antiga, um autenticador no seu computador de trabalho. Ter um único celular com o único fator de autenticação é o erro do qual decorrem todos os demais, e é a primeira coisa que dizemos às pessoas que perguntam como proteger uma conta adequadamente.

Adicione seus contatos de confiança agora. O Google permite dez contatos de recuperação; a Apple, cinco. Ambos exigem um prazo de antecedência e, no Google, isso significa sete dias por duas vezes.

Pense duas vezes antes de ativar a chave de recuperação. Ao ativá-la na Apple, o processo normal é desativado. Se perder a chave e seus dispositivos depois disso, “você ficará bloqueado permanentemente fora da sua conta”.