# Recuperação de conta: o fluxo que o fraudador prefere ao login

<https://unifokal.com/blog/recuperacao-de-conta-o-fluxo-que-o-fraudador-prefere>

Guia · UNIFOKAL · 16 de outubro de 2026 · 6 min de leitura · Antifraude

Login forte não protege a conta se a recuperação aceita um código por SMS. As quatro classes de recuperação da NIST SP 800-63B-4, o que ela exige numa conta AAL2 e onde a verificação de identidade volta.

Quem investe em autenticação forte e deixa a recuperação de conta com um código por e-mail criou uma porta dos fundos mais fraca que a da frente. O fraudador que quer tomar uma conta não precisa vencer a passkey: basta convencer o sistema de que perdeu o aparelho. A resposta curta, pela NIST SP 800-63B-4, revisão de 2025 da norma americana de autenticação: a recuperação usa uma de quatro classes de método, e para uma conta que autentica no nível AAL2, o segundo dos três níveis de garantia de autenticação da norma, ela exige dois códigos obtidos por métodos diferentes, ou um código mais um autenticador ainda em posse do titular, ou refazer parte da verificação de identidade. Toda recuperação dispara aviso ao titular.

**Em resumo**

- A NIST SP 800-63B-4 reconhece quatro classes de recuperação: código salvo, código emitido, contato de recuperação e repetição da verificação de identidade.
- Numa conta AAL2, um código só não basta: são dois códigos de métodos diferentes, um código mais um autenticador vinculado, ou nova verificação de identidade.
- Código enviado por SMS ou voz vale no máximo 10 minutos; por e-mail, no máximo 24 horas.
- Toda recuperação manda aviso a todos os endereços cadastrados, com instrução para o titular contestar.

## Por que a recuperação é o alvo

A NIST define recuperação como o momento em que o titular perdeu o controle dos autenticadores necessários e precisa vincular novos, e espera que ela seja invocada com pouca frequência. Na leitura da casa, isso a torna o fluxo menos exercitado do produto e o que mais cai no atendimento por pessoas, alvo natural de engenharia social. Os quatro caminhos pelos quais uma credencial cai estão no artigo sobre [tomada de conta](https://unifokal.com/blog/tomada-de-conta-account-takeover); a recuperação é o quinto, e o único em que o próprio sistema entrega a conta ao atacante por procedimento.

Um ponto de definição evita erro de desenho. A norma diz que trocar uma senha esquecida, quando o titular ainda consegue se autenticar com outro autenticador, não é recuperação: é vincular um autenticador novo (seção 4.1.2.1). Recuperação de verdade é quando não sobrou nada.

## As quatro classes, e o que cada uma exige

**as classes de recuperação da NIST SP 800-63B-4, seção 4.2**

| Classe | Como funciona | Exigência que mais pesa |
|---|---|---|
| Código salvo | Código entregue no cadastro, guardado offline pelo titular | Pelo menos 64 bits aleatórios; guardado no servidor em hash; invalidado e trocado depois do uso |
| Código emitido | Código enviado a um endereço de recuperação na hora | Pelo menos seis dígitos; validade máxima de 10 minutos por SMS ou voz e de 24 horas por e-mail |
| Contato de recuperação | Código enviado a uma pessoa de confiança indicada pelo titular | Validade pode ganhar 24 horas a mais; o titular gerencia os contatos |
| Repetir a verificação de identidade | Refazer as etapas de verificação no nível da verificação original | Confirmar que a identidade é a mesma da conta já estabelecida |

Os endereços de recuperação que não foram validados na verificação de identidade precisam ser confirmados com um código antes de valer, e o titular pode cadastrar pelo menos dois. A verificação de qualquer código de recuperação está sujeita ao limite de tentativas da seção 3.2.2.

## O que vale numa conta AAL2

> To recover an account that can authenticate at a maximum of AAL2, the CSP SHALL require the subscriber to complete one of the following: Two recovery codes obtained using different methods from the set (i.e., saved, issued, and recovery contacts); One recovery code from the set (i.e., saved, issued, and recovery contacts) plus authentication with a single-factor authenticator that is bound to the subscriber account; Repeated identity proofing (provided that the subscriber account has been identity-proofed).
>
> NIST SP 800-63B-4, seção 4.2.2.2

Traduzido para um produto brasileiro típico, em que a conta tem senha e um segundo fator ou passkey: um código por SMS sozinho não recupera a conta. O SMS precisa ser combinado com outro método, como um código salvo ou um código por e-mail, ou com um autenticador que ainda funcione, como a senha. Se nada disso existe, o caminho é a nova verificação de identidade, e só se a conta foi verificada na origem. Conta que nunca passou por verificação de identidade só se recupera por código salvo, código emitido ou contato de recuperação.

**a regra da AAL2 aplicada a pedidos de recuperação comuns**

| O titular tem | Atende à seção 4.2.2.2? | Por quê |
|---|---|---|
| Só o código por SMS | Não | Um código de um método só |
| Código por SMS e código por e-mail | Sim | Dois códigos de métodos diferentes |
| Código por e-mail e a senha | Sim | Um código mais um autenticador de fator único vinculado |
| Nenhum código, conta verificada na abertura | Sim, refazendo a verificação | Repetição da verificação de identidade |
| Nenhum código, conta nunca verificada | Não | Sem verificação original, não há o que repetir |

## Onde a verificação de identidade volta

A quarta classe é a que liga a recuperação ao cadastro. A norma permite, quando a instituição guardou uma amostra biométrica ou cópia da evidência com qualidade suficiente, repetir só a parte de verificação do processo, sem refazer tudo. Para quem fez onboarding com selfie, prova de vida e documento, isso significa que a pessoa pode provar de novo que é ela, contra a referência do próprio cadastro. Isso só funciona se a referência for guardada no cadastro com qualidade e com prazo de validade definidos, e se a comparação nova vier com prova de vida, para que uma foto antiga do titular não sirva de chave. A lógica de voltar à pessoa, e não ao canal, está também no artigo sobre [passkey vinculada a pessoa verificada](https://unifokal.com/blog/passkey-vinculada-a-pessoa-verificada).

> **Atenção**
>
> Na leitura da casa, o código por SMS é o elo mais fraco da cadeia de recuperação, porque a linha pode ser transferida para outro chip sem o titular saber. A NIST limita a validade dele a 10 minutos e, numa conta AAL2, não aceita nenhum código sozinho, por SMS ou não. O mecanismo do golpe está no artigo sobre [SIM swap e o limite do SMS](https://unifokal.com/blog/sim-swap-e-o-limite-do-sms).

## O aviso que denuncia a recuperação falsa

Toda recuperação "SHALL cause a notification" ao titular (seção 4.2.3). A seção 4.6 detalha: o aviso vai a todos os endereços cadastrados, menos o postal, e precisa trazer instrução clara e contato para o caso de o titular não reconhecer o evento. O sistema precisa aceitar pelo menos dois endereços de aviso por conta. O aviso é o que permite ao titular verdadeiro perceber logo que alguém recuperou a conta dele, e é barato de implementar. Um fluxo que recupera a conta e só avisa no mesmo canal que acabou de ser usado para a recuperação não cumpre o espírito da regra.

## Fontes citadas

- NIST SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, seções 3.2.2, 4.1.2.1, 4.2 e 4.6, [pages.nist.gov](https://pages.nist.gov/800-63-4/sp800-63b.html)