Senhas não bastam mais: como funciona a autenticação passwordless

Um modelo de proteção projetado para outra época

A senha nasceu como solução para um problema simples: impedir que qualquer pessoa acessasse um sistema compartilhado. Funcionou bem enquanto o número de sistemas por usuário era pequeno e os atacantes precisavam adivinhar ou forçar cada combinação manualmente. Nenhuma dessas condições existe mais. Hoje um profissional médio mantém dezenas de credenciais, e o cibercrime automatizou completamente o processo de descobri-las, testá-las e revendê-las.
O resultado está nos números: mais de 3,8 bilhões de credenciais foram expostas apenas no primeiro semestre de 2025, segundo levantamentos do setor, e 81% das violações de dados seguem envolvendo senhas fracas ou roubadas. O Verizon Data Breach Investigations Report (DBIR) 2025 confirma que credenciais comprometidas continuam sendo a porta de entrada mais comum para incidentes de segurança, presentes em 22% de todos os casos analisados e em 88% dos ataques básicos a aplicações web.
Diante desse cenário, a pergunta que líderes de segurança precisam responder não é mais “como fortalecer a senha”, mas “por quanto tempo ainda vale a pena depender dela”.

Por que a senha por si só já não protege

O problema da senha não é a falta de complexidade exigida pelas políticas corporativas, é a reutilização. Uma senha forte, mas reutilizada em múltiplos serviços, tem o mesmo valor de proteção que uma senha fraca no momento em que qualquer um desses serviços sofre um vazamento. Credenciais roubadas circulam em mercados clandestinos por valores tão baixos quanto 10 a 50 dólares por conjunto verificado, tornando o ataque de credential stuffing, o teste automatizado de credenciais vazadas em múltiplos serviços, extremamente barato de executar em escala.
Mesmo quando a organização implementa autenticação multifator (MFA), os atacantes encontraram caminhos de contorno. O DBIR 2025 identificou que, entre os métodos usados para burlar o MFA no Microsoft 365, o roubo de tokens de sessão lidera com 31% dos casos, seguido por interrupção de MFA em 22% e ataques adversary-in-the-middle em 9%. Esses números mostram que a MFA tradicional, especialmente por SMS ou push simples, deixou de ser suficiente como camada isolada de proteção.

A promessa do passwordless: FIDO2, passkeys e biometria

O modelo passwordless elimina a senha como fator de autenticação e a substitui por chaves criptográficas vinculadas a um dispositivo físico ou biometria local, seguindo o padrão FIDO2/WebAuthn desenvolvido pela FIDO Alliance em conjunto com o W3C. Nesse modelo, não existe segredo compartilhado para vazar, e cada autenticação é vinculada criptograficamente ao domínio legítimo, o que neutraliza tanto o phishing tradicional quanto grande parte dos ataques de interceptação de sessão.
A adoção, no entanto, ainda é irregular. Pesquisas da Cisco Duo de 2025 mostram que apenas 19% das equipes de segurança implementaram FIDO2 de forma completa, mesmo com 87% dos líderes de segurança priorizando MFA resistente a phishing como meta estratégica. Entre empresas de médio porte, cerca de 34% já utilizam passkeys ou autenticadores FIDO2 vinculados a hardware em produção, um indicador de que a transição está em curso, mas está longe de ser universal.

O paradoxo da adoção: prioridade alta, cobertura baixa

Um dos achados mais relevantes sobre autenticação em 2025 é o descompasso entre intenção e execução. Levantamentos setoriais mostram que 89% das pequenas e médias empresas já classificam a MFA entre suas ferramentas de segurança mais utilizadas, mas apenas 13% aplicam MFA de forma abrangente em todas as contas, e 54% ainda não protegem contas essenciais com qualquer segundo fator. Esse hiato entre adoção declarada e cobertura real é o espaço onde a maioria dos incidentes de comprometimento de identidade acontece.
Esse paradoxo também aparece no nível de confiança: apenas 33% dos líderes de segurança consultados pela Cisco Duo confiam que seu provedor de identidade seria capaz de deter um ataque baseado em identidade. É um sinal claro de que a percepção de proteção, muitas vezes construída em torno da simples existência de uma política de MFA, não reflete a maturidade real dos controles implementados.

Construindo o caminho até o passwordless

A transição para um modelo sem senhas não precisa, e normalmente não deve, ser feita de uma só vez. Um roteiro realista concentra esforço em quatro frentes:

• Priorizar FIDO2/passkeys para contas de alto privilégio primeiro: administradores, acessos financeiros e sistemas críticos, onde o risco de comprometimento tem maior impacto.
• Eliminar o SMS como segundo fator sempre que possível, substituindo por aplicativos autenticadores ou chaves físicas, já que o SMS permanece vulnerável a SIM swap e a falhas conhecidas do protocolo SS7.
• Adotar autenticação adaptativa baseada em risco, considerando dispositivo, localização e comportamento antes de conceder acesso, reduzindo a dependência de um único fator estático.
• Planejar a descontinuação gradual da senha como fator primário, mantendo-a apenas como fator de recuperação secundário e fortemente protegido, até que a cobertura passwordless atinja maturidade suficiente para eliminá-la.

A senha não desaparece da noite para o dia, mas já não é suficiente sozinha

A transição para autenticação sem senha é, antes de tudo, uma decisão de redução de superfície de ataque: menos segredos compartilhados, menos pontos de vazamento, menos dependência do julgamento humano no momento da autenticação. Não é uma tecnologia experimental, é um padrão amadurecido, com adoção crescente entre organizações que tratam identidade como o novo perímetro de segurança.
Organizações que continuarem tratando a senha, mesmo reforçada por MFA básico, como controle suficiente estarão competindo com atacantes que já automatizaram completamente a exploração desse modelo. A pergunta não é mais se o passwordless vai se tornar padrão, é quanto tempo sua organização levará para chegar lá antes que um incidente force essa decisão.