Como ativar a verificação em duas etapas

A autenticação em dois passos junta duas provas distintas antes de abrir uma sessão: a palavra-passe, que o titular conhece, e um segundo elemento que só ele possui, como um código gerado numa aplicação ou enviado para o telemóvel registado. Sem esse segundo elemento, uma palavra-passe roubada deixa de bastar para entrar na conta.

Nas contas de jogo este mecanismo protege mais do que um perfil com preferências de jogos. Protege o saldo disponível, os métodos de pagamento associados e os documentos de identificação carregados durante a verificação KYC. É essa combinação que torna o segundo passo relevante, mesmo quando a palavra-passe escolhida já é forte.

O funcionamento repete-se em quase todas as plataformas: depois de introduzir a palavra-passe habitual, surge um segundo campo a pedir um código com prazo curto de validade, normalmente entre trinta segundos e alguns minutos. Só quando esse código é aceite a sessão abre por completo, com acesso ao saldo, ao histórico e às definições de pagamento.

Vale a pena ativar esta camada mesmo em contas com saldo baixo.

Dados que ficam expostos

Uma conta de jogador reúne, tipicamente, cartão ou IBAN associado, histórico de depósitos e levantamentos, e cópia de documento de identificação entregue durante a verificação KYC. Nenhum destes elementos é trivial de substituir depois de comprometido.

Um acesso indevido não se limita a esvaziar o saldo disponível. Pode também autorizar levantamentos para uma conta bancária que não é a do titular, alterar o método de pagamento predefinido ou desativar limites de responsabilidade que estavam configurados. É esta combinação de dinheiro, identidade e histórico que separa uma conta de jogo de, por exemplo, uma conta de streaming.

O papel da regulação

Em Portugal, as entidades que exploram jogo e apostas online operam sob supervisão do SRIJ, o Serviço de Regulação e Inspeção de Jogos, integrado no Turismo de Portugal. O regime jurídico aplicável obriga as plataformas licenciadas a garantir que as transações da conta de jogador decorrem em segurança, o que inclui os mecanismos de acesso à própria conta.

Isso não substitui a responsabilidade do titular pela sua própria palavra-passe e pelo segundo fator escolhido.

A maioria das plataformas gera, no momento em que a autenticação em dois passos é ativada, um conjunto de códigos de recuperação de utilização única. Cada um substitui uma vez o código habitual, o que permite entrar na conta mesmo sem acesso ao telemóvel ou à aplicação onde os códigos costumam ser gerados.

Guardar esses códigos fora do telemóvel é o passo que mais gente ignora. Convém escrevê-los ou imprimi-los e guardá-los num local separado do dispositivo que gera o segundo fator, porque perder os dois ao mesmo tempo é o cenário que efetivamente bloqueia o acesso.

Sem códigos de recuperação guardados, a única via costuma ser contactar o suporte da plataforma e passar por uma verificação de identidade adicional, o que pode adiar o acesso à conta por vários dias. Esse processo tende a pedir os mesmos documentos usados na verificação KYC original, além de perguntas sobre a atividade recente da conta, como últimos depósitos ou jogos consultados.

Trocar de número de telemóvel sem atualizar antes a conta produz o mesmo problema, ainda que o titular continue com o telemóvel físico em mãos: o SMS deixa simplesmente de chegar.

Antes de abrir as definições de segurança, convém confirmar que o e-mail associado à conta está acessível e que o número de telemóvel registado ainda é o correto. Estes dois dados são normalmente usados para validar a ativação do segundo fator.

Vale também decidir o método antes de começar, em vez de escolher durante o processo. Quem optar pelo aplicativo autenticador precisa de o instalar primeiro no telemóvel; quem optar por SMS só precisa de confirmar o número já registado.

Se a conta partilhar o telemóvel com outra pessoa, como acontece por vezes em contas familiares de acesso a serviços online, convém ponderar um aplicativo autenticador instalado apenas no dispositivo do próprio titular. Isso evita que o segundo fator dependa de um número que responde a mais do que uma pessoa.

Convém ainda confirmar que a versão da aplicação da plataforma está atualizada, já que versões antigas por vezes escondem a opção de segurança num menu diferente ou nem a apresentam de todo, obrigando a repetir o processo depois de atualizar.

Ativar o segundo fator não substitui uma palavra-passe única para a conta de jogo, diferente da usada no e-mail ou em redes sociais. Reutilizar a mesma combinação anula parte da proteção que o segundo passo devia acrescentar.

Convém também rever periodicamente as sessões ativas e os dispositivos associados à conta, uma opção que costuma estar na mesma secção de segurança. Um dispositivo desconhecido na lista é normalmente o primeiro sinal de acesso indevido, antes de qualquer movimento no saldo.

Manter o e-mail associado protegido pelo mesmo cuidado é igualmente importante, já que um código de recuperação enviado por e-mail só protege a conta se essa caixa de correio estiver, ela própria, fora do alcance de terceiros. Ativar o segundo fator também no próprio e-mail fecha essa lacuna, algo que muitos titulares deixam para depois.

Nenhuma destas medidas substitui as ferramentas de limite e de autoexclusão que a plataforma disponibiliza; protegem o acesso à conta, não o comportamento de jogo dentro dela.