Autenticação multifator: a proteção que a sua empresa já pagou e provavelmente não ligou

Resposta direta: a autenticação multifator custa dinheiro?

Não, nas plataformas que a maioria das empresas já usa. O Microsoft 365 e o Google Workspace incluem a verificação em dois passos em todos os planos, sem custo adicional. O que custa é o tempo de a configurar e de explicar à equipa como funciona: na maioria das empresas pequenas, uma manhã de preparação e alguns minutos por pessoa.

O que mostra o Barómetro

• 35% das empresas inquiridas usam autenticação multifator.
• 56% das que usam Microsoft 365, Google Workspace ou semelhante não a assinalam.
• 17% das microempresas usam autenticação multifator, contra 48% nas empresas de 11 a 250 pessoas.
• No grupo de empresas com o digital acima de meio da escala e a resiliência abaixo, 83% usam IA e só 29% usam autenticação multifator.

Em contraste, as proteções que se compram e instalam estão generalizadas: cópias de segurança em 88% das empresas, antivírus em 81%, firewall gerida em 72%. Protegem contra riscos diferentes. Um antivírus não impede que alguém entre no email da empresa com uma palavra-passe roubada; a autenticação multifator impede.

Porque é que fica por ligar

Na nossa experiência, raramente é por falta de conhecimento técnico. As razões mais comuns são três:

1. Ninguém é dono do tema. A licença foi comprada, as caixas de correio criadas, e a configuração de segurança ficou para depois.
2. Receio de bloquear pessoas. Ninguém quer ser responsável por deixar a direção sem acesso ao email numa segunda-feira.
3. Contas que não são de ninguém. Caixas partilhadas, contas de antigos colaboradores e contas de administração criadas pelo fornecedor, que ninguém sabe se ainda são usadas.

Como ligar em cinco passos, sem parar a empresa

1. Fazer o inventário das contas. Listar todas as contas ativas, com destaque para as de administração. Desativar as de quem já saiu.
2. Começar pelas contas de administração. São as que dão acesso a tudo e as primeiras a proteger. No Microsoft 365, nenhuma conta de administração deve ficar sem segundo fator.
3. Escolher o método. A aplicação de autenticação no telemóvel (Microsoft Authenticator ou Google Authenticator) é mais segura do que o SMS e não depende de rede móvel.
4. Avisar a equipa com uma semana de antecedência. Uma mensagem curta, com o que vai mudar, quando e a quem pedir ajuda. Marcar um período de registo acompanhado.
5. Ativar para todos e bloquear os protocolos antigos. Os protocolos de autenticação antigos não pedem segundo fator e são a porta que fica aberta se não forem desligados.

Para empresas com Microsoft 365, as predefinições de segurança do Microsoft Entra ID fazem boa parte deste trabalho de uma só vez. Para quem precisa de regras por grupo, local ou dispositivo, o acesso condicional do Microsoft 365 Business Premium dá esse controlo.

E depois da autenticação multifator?

Ligar o segundo fator é o primeiro passo, não o último. As licenças atuais costumam incluir mais proteções por ativar: políticas de partilha de ficheiros, alertas de início de sessão suspeito, retenção de email. Vale a pena rever o que está incluído antes de comprar uma ferramenta nova. É esse o sentido da primeira recomendação do Barómetro: ativar o que já está pago. O resto do mínimo que uma empresa pequena deve ter ligado está no guia de cibersegurança para PME.

Perguntas frequentes

Este artigo faz parte da série sobre o Barómetro HeraPrime 2026. Barómetro HeraPrime 2026, 1.ª edição. Inquérito online a 57 empresas com atividade em Portugal, julho a setembro de 2026. Os resultados referem-se às empresas inquiridas.