Uma pergunta de autenticação (pergunta de segurança) é um fator baseado em conhecimento usado para verificar identidade durante login, recuperação de conta ou ações de alto risco. Adiciona segunda camada além de senhas.
Como Funciona
- Cadastro: Usuário seleciona pergunta (ex.: "Nome de solteira da mãe?") e fornece resposta secreta.
- Armazenamento: Resposta é hasheada (idealmente) ou criptografada.
- Desafio: Em login de novo dispositivo, após senha, ou durante "Esqueci senha", sistema solicita a pergunta.
- Verificação: Entrada do usuário comparada ao hash armazenado; match → prossegue.
O Que Permite Fazer
- Recuperar acesso se senha esquecida (reset self-service).
- Autenticação step-up para mudanças sensíveis (email, telefone, configurações 2FA).
- Provar posse para agentes de suporte sem revelar senha.
Fraquezas de Segurança
- Respostas frequentemente adivinháveis (registros públicos, redes sociais).
- Phishing/engenharia social as visam.
- Estáticas; não podem ser rotacionadas como senhas.
Melhores Práticas
- Use respostas falsas, alta entropia (guarde no gerenciador de senhas).
- Prefira apps autenticadores TOTP ou chaves de hardware (FIDO2) sobre KBA.
- Se forçado a usar, escolha perguntas obscuras; nunca reutilize respostas entre sites.
Tendência Moderna
NIST SP 800-63B desencoraja autenticação baseada em conhecimento (KBA) para alta garantia; grandes plataformas (Google, Microsoft, Apple) agora empurram passkeys/notificações push.
Perguntas de autenticação são fallback legado — úteis para contas de baixo risco, mas inferiores a fatores baseados em posse.
