O que a verificação em duas etapas resolve, em uma frase

Ela faz com que a sua senha, ou o código que chegou no seu SMS, deixe de ser suficiente para alguém entrar. Passa a ser preciso ter também uma segunda coisa: um PIN que só você sabe, um aplicativo no seu aparelho ou uma chave física. É por isso que ela quebra o sequestro de WhatsApp — naquele golpe, o criminoso consegue o código de SMS, mas não o PIN.

Antes de começar

Tenha uma folha de papel e uma caneta. Você vai anotar um PIN e alguns códigos de recuperação. Papel guardado numa gaveta é mais seguro, aqui, do que um arquivo no mesmo celular que pode ser roubado — e resolve o problema real de esquecer o PIN meses depois.

1. WhatsApp — três minutos

No aplicativo, abra Configurações (no iPhone, o ícone de engrenagem no canto inferior; no Android, o menu de três pontos no canto superior), entre em Conta e depois em Confirmação em duas etapas. Toque em ativar.

Defina um PIN de seis dígitos. Não use data de nascimento, nem os quatro últimos dígitos do telefone, nem 123456.
Cadastre um e-mail de recuperação. Sem ele, se você esquecer o PIN, fica sete dias sem conseguir reativar a conta.
Anote o PIN no papel.

Pronto. A partir de agora, mesmo que alguém convença você a repassar um código de SMS, a conta não é instalada em outro aparelho sem o PIN.

Faça isso também no celular dos seus pais

Leva os mesmos três minutos e é, de longe, a ação de maior retorno que você pode tomar por eles. Anote o PIN deles num papel guardado junto dos documentos, e avise que ninguém — nem banco, nem operadora, nem você — vai pedir esse número por telefone.

2. Conta Google (e o e-mail principal) — cinco minutos

O e-mail é a chave-mestra: quem controla ele redefine a senha de quase todo o resto. Acesse myaccount.google.com/security, procure Verificação em duas etapas e ative.

Na hora de escolher o segundo fator, a ordem de preferência é esta:

Chave de acesso (passkey) ou chave física — o mais resistente a phishing, porque não existe código para ser repassado.
Aplicativo autenticador (Google Authenticator, Authy, 1Password e similares) — gera códigos no próprio aparelho, sem depender da linha telefônica.
Código por SMS — melhor que nada, e o mais fraco dos três: quem clona o chip ou faz portabilidade do seu número recebe esse código.

Antes de sair da tela, gere e imprima os códigos de recuperação. São eles que salvam você se perder o celular. Guarde com os documentos.

Se o seu e-mail principal for Outlook, Yahoo, iCloud ou outro, o caminho muda de nome mas a lógica é idêntica: procure “segurança”, depois “verificação em duas etapas” ou “autenticação de dois fatores”.

3. Banco — dez minutos, e é onde mais gente pula

Bancos brasileiros não usam todos o mesmo nome nem o mesmo menu, então aqui vale procurar por objetivo e não por caminho. Dentro do aplicativo, em Segurança ou Configurações, garanta estas quatro coisas:

Aprovação de transações no aparelho cadastrado — o banco confirma operações pelo app, e não por SMS.
Notificação de toda transação Pix, inclusive as de valor baixo. Golpes começam com um teste pequeno.
Limite de Pix diário e noturno ajustado à sua rotina real. Se você nunca transfere mais de R$ 500 à noite, o limite noturno não deveria ser R$ 5.000. Isso não impede o golpe; limita o tamanho do estrago de uma única noite.
Senha exclusiva, usada em nenhum outro serviço.

Se houver benefício do INSS na família, vale também bloquear o empréstimo consignado no Meu INSS — é um golpe frequente contra aposentados e o bloqueio é gratuito.

O que nenhuma dessas configurações resolve

Nada disso impede que você autorize uma transferência acreditando estar falando com alguém de confiança. Golpe de Pix é, quase sempre, golpe de autorização: você autoriza. A defesa contra isso não é configuração, é procedimento — a regra dos dois canais e a palavra-código combinada em família. As duas coisas trabalham juntas.

Perguntas que aparecem sempre

E se eu esquecer o PIN do WhatsApp?

Com e-mail de recuperação cadastrado, você redefine na hora. Sem ele, o WhatsApp impõe uma espera de sete dias antes de permitir a reativação. É exatamente por isso que o e-mail de recuperação não é opcional.

E se eu perder o celular com o aplicativo autenticador?

Você entra com os códigos de recuperação que imprimiu. Se não imprimiu, recuperar a conta vira um processo longo e incerto. Imprima.

Autenticador ou SMS?

Autenticador, sempre que a opção existir. O código por SMS depende da sua linha telefônica continuar sendo sua — e roubo de chip e portabilidade fraudulenta são justamente o que o golpista faz para contornar essa proteção.

Está tudo nesta página, de graça

WhatsApp, conta Google e o essencial do aplicativo do banco
Por que autenticador é melhor que SMS
O que anotar em papel e por quê

Está no material completo

O Capítulo 12 inteiro: bloqueio de tela, notificações ocultas na tela bloqueada, proteção contra roubo no Android, Proteção de Dispositivo Roubado no iPhone e como compartimentar o dinheiro entre contas
Como fazer tudo isso no celular de quem mora longe, sem estar junto
O Capítulo 13, sobre apresentar o assunto a pais e avós sem assustar
O checklist de uma página para imprimir e colar na geladeira deles
Os oito golpes que essas configurações sozinhas não impedem — porque golpe de Pix é golpe de autorização, e contra isso a defesa é procedimento, não configuração

O passo a passo completo, tela por tela

Esta página cobre o essencial. O combo Blindagem Digital traz o guia de configuração com o caminho de menu de cada serviço, o capítulo de blindagem do celular em vinte minutos, o checklist de uma página para imprimir e colar em casa, e o roteiro das primeiras duas horas para o caso de algo já ter dado errado.

Ver o que está incluso — R$ 27

Os caminhos de menu descritos aqui refletem as versões dos aplicativos em setembro de 2026. Aplicativos mudam de layout com frequência: se o nome do item não bater, procure pela palavra “segurança” dentro das configurações, ou confirme no canal oficial do serviço.

Como ativar a verificação em duas etapas no WhatsApp, no Google e no banco