Basta uma senha vazada para alguém entrar no e-mail do escritório, ler conversas com clientes e mandar uma cobrança falsa que parece legítima. No WhatsApp, aliás, o roteiro é parecido: o número é tomado e os contatos passam a receber pedidos de dinheiro em nome do advogado. A autenticação em dois fatores no escritório é a barreira que impede que uma senha descoberta, sozinha, abra a porta.
Este guia explica o que é o segundo fator, compara os métodos disponíveis, indica por onde começar e traz uma política simples para a equipe inteira. Você não precisa de uma área de tecnologia para fazer isso, mas de uma lista, de um responsável e de algumas semanas.
O que é autenticação em dois fatores
Autenticação em dois fatores é pedir, além da senha, uma segunda prova de que é você mesmo entrando. Em geral, essa segunda prova é algo que você tem (o celular, uma chave física) e não algo que você sabe. Assim, quem descobre a senha ainda fica sem o segundo elemento.
Os fornecedores usam nomes diferentes para a mesma ideia. Por exemplo, o Google chama de “verificação em duas etapas”; a Microsoft fala em “autenticação multifator”; o WhatsApp também usa “verificação em duas etapas”. Na prática, porém, todos pedem um segundo passo no login.
Por que a autenticação em dois fatores no escritório importa
Escritórios guardam exatamente o que interessa a golpistas: dados de clientes, conversas sigilosas e uma relação de confiança que torna qualquer pedido “do advogado” convincente. O golpe do falso advogado, por exemplo, mostra como essa confiança é explorada.
Nesse sentido, a Microsoft, na documentação dos padrões de segurança do Microsoft Entra, afirma que mais de 99,9% dos ataques comuns de identidade são evitados com autenticação multifator e com o bloqueio de protocolos antigos de login. Além disso, o art. 46 da LGPD obriga quem trata dados pessoais a adotar medidas técnicas e administrativas contra o acesso indevido, e o guia de segurança da ANPD para agentes de pequeno porte sugere a autenticação multifator para acessar sistemas com dados pessoais.
Em resumo: o segundo fator é uma das medidas mais simples e de maior efeito que um escritório pode adotar.
Métodos: do mais forte ao mais frágil
Nem todo segundo fator protege igual. A tabela, então, resume o que os próprios fornecedores dizem.
| Método | Como funciona | Ponto forte | Cuidado |
|---|---|---|---|
| Chave de acesso ou chave de segurança física | O login é confirmado pelo próprio aparelho ou por uma chave física | Segundo o Google, protege contra phishing | Cadastre mais de uma, para não ficar trancado fora |
| Aplicativo autenticador | Um app no celular gera códigos temporários | Não depende da operadora | Ao trocar de celular, transfira as contas antes |
| Notificação no celular | Você aprova o login num aviso do app | Prático para o dia a dia | Nunca aprove um login que você não iniciou |
| SMS ou ligação | O código chega por mensagem ou chamada | Melhor do que nada | O Google alerta para ataques que usam números de telefone; a Microsoft recomenda deixar esse método |
| Códigos alternativos | Lista de códigos de uso único | Recupera o acesso se o celular sumir | Guarde em local seguro, fora do celular |
A notificação merece um alerta extra. Isso porque golpistas que já têm a senha disparam vários pedidos seguidos, esperando que a pessoa aprove um deles por cansaço. Por isso, no Microsoft Authenticator, a tela de login mostra um número que o usuário precisa digitar no aplicativo, o que dificulta a aprovação por engano.
Onde ativar primeiro
Na implantação da autenticação em dois fatores no escritório, comece pelas contas cujo acesso indevido causa mais estrago:
- E-mail do escritório. É a chave de quase tudo, porque recupera senhas de outros serviços. No Google Workspace, o administrador pode tornar a verificação obrigatória. No Microsoft 365, por outro lado, ligar os padrões de segurança do Microsoft Entra obriga todos os usuários a se registrarem na autenticação multifator.
- WhatsApp de cada advogado e do atendimento. Ative a verificação em duas etapas nas configurações da conta. Ela pede um código pessoal definido por você, além do código recebido por SMS, e aceita um e-mail para recuperação. Os demais cuidados estão em WhatsApp para advogados.
- Banco e meios de pagamento. Use o método mais forte que o banco oferecer e restrinja quem aprova pagamentos.
- Conta gov.br. Para contas nível prata ou ouro, a verificação em duas etapas gera o código no próprio aplicativo gov.br. Cadastre um e-mail de recuperação e não troque de celular sem antes cuidar disso.
- Sistemas do escritório. CRM, armazenamento em nuvem, gerenciador de senhas, painel do domínio e do site.
- Redes sociais do escritório. Afinal, um perfil invadido pode publicar em seu nome o que a OAB não admite.
Política de autenticação em dois fatores no escritório
Ativar uma vez não basta, porque a regra precisa valer para quem entra depois e sobreviver à troca de celular. Em geral, uma política de uma página resolve:
- Toda conta com dado de cliente usa segundo fator, sem exceção para sócios.
- Métodos aceitos, em ordem de preferência: chave de acesso, aplicativo autenticador e, só na falta deles, SMS.
- Códigos alternativos ficam guardados em local definido, nunca numa nota do próprio celular.
- Ninguém repassa código por telefone, e-mail ou mensagem; o suporte legítimo não pede.
- Perda ou troca de celular é comunicada no mesmo dia ao responsável.
- Na saída de um colaborador, os acessos são revogados no dia do desligamento.
- A lista de contas e métodos é revisada a cada seis meses.
Cronograma sugerido de um mês
| Semana | Ação | Responsável |
|---|---|---|
| 1 | Listar contas e sistemas, com o dono de cada um | Responsável pela segurança |
| 2 | Ativar no e-mail e no WhatsApp de todos | Cada pessoa, com apoio |
| 3 | Banco, gov.br, sistemas e redes sociais | Donos das contas |
| 4 | Conferir pendências, guardar códigos e publicar a política | Responsável e sócios |
Por fim, para o restante da proteção (perfis, backup, nuvem), vale a leitura de segurança da informação na advocacia.
Como o LexFlow apoia a implantação
A implantação é, antes de tudo, uma lista de tarefas com dono e prazo. No Workspace do LexFlow, crie um quadro para o projeto, com uma tarefa por conta ou sistema, responsáveis e data de entrega. Além disso, dentro de cada tarefa, o checklist pode ter um item por pessoa, cada um com responsável e prazo; a cor indica o que venceu, o que vence hoje e o que está no prazo.
Para que a revisão semestral aconteça sem lembrete manual, marque na Agenda um evento que se repete a cada seis meses e deixe pronto um modelo de tarefa, já com checklist e responsáveis. Da mesma forma, um modelo de tarefa para a saída de colaboradores reúne os passos de revogação de acessos.
No próprio LexFlow, o perfil de acesso de cada usuário é montado em árvore, do módulo às ações permitidas, e quem sai da equipe tem o usuário inativado no dia da saída. Quem usa a conexão por MCP com o Claude ou o ChatGPT consegue ver, na página Integrações, cada aplicativo autorizado e cortar a ligação quando quiser; os tokens de integração também podem ser revogados.
Perguntas frequentes
SMS ainda vale como segundo fator?
Vale mais do que nenhum segundo fator, mas é o método mais frágil da lista. Google e Microsoft apontam opções mais seguras, como chaves de acesso e aplicativos autenticadores; use-as sempre que possível.
O que fazer se um advogado perder o celular?
Use os códigos alternativos para entrar, remova o aparelho perdido das contas e, em seguida, cadastre o novo. No WhatsApp, o e-mail de recuperação evita a espera para redefinir o código pessoal.
A autenticação em dois fatores no escritório impede o phishing?
Reduz muito o risco, mas códigos digitados podem ser capturados por páginas falsas. Chaves de acesso e chaves físicas resistem melhor a esse golpe, de acordo com o Google, e o treinamento da equipe continua necessário.
Preciso de celular corporativo para todos?
Não necessariamente: o aplicativo autenticador funciona no celular pessoal, desde que a política preveja o que fazer na troca do aparelho e na saída do colaborador.
Conclusão
A autenticação em dois fatores no escritório custa pouco, leva poucas semanas e fecha a porta que mais costuma ser aberta: a da senha descoberta. Comece pelo e-mail e pelo WhatsApp, prefira métodos mais fortes que o SMS e escreva uma política curta que valha para todos, inclusive os sócios.
Daí em diante, trate o assunto como rotina: revise a lista de contas, cuide de quem entra e de quem sai e guarde os códigos de recuperação em local seguro.
