- Em 2025, foram expostas mais de 19 bilhões de combinações de login e senha, com cerca de 94% das senhas reutilizadas, aumentando riscos de invasões.
- No Brasil, o prejuízo médio por vazamento de dados chegou a R$ 7,19 milhões em 2025, elevando a busca por soluções alternativas.
- Passkeys são credenciais digitais que substituem senhas, criadas pela FIDO Alliance com Google, Apple e Microsoft, e usam biometria do dispositivo e criptografia.
- Funcionam com um par de chaves (pública no servidor, privada no dispositivo); o login exige confirmação biométrica ou PIN e não envia informações sensíveis pela rede, com sincronização entre dispositivos pela nuvem.
- Vantagens: menos phishing e vazamentos; limitações: suporte ainda restrito em sites, e recomenda-se MFA para contas sensíveis; configuração é similar nas plataformas Google, Apple e Microsoft.
Pesquisadores do Cybernews identificaram mais de 19 bilhões de combinações de login expostas em bases de dados no primeiro trimestre de 2025. Aproximadamente 94% das senhas eram reutilizadas, ampliando efeitos de vazamentos em serviços diferentes.
No Brasil, o custo médio de vazamento de dados chegou a R$ 7,19 milhões em 2025, segundo o relatório Cost of a Data Breach da IBM. Com esse cenário, cresce a aposta das grandes empresas em passkeys, credenciais digitais que substituem senhas tradicionais.
As passkeys podem reduzir riscos como phishing, reutilização e falhas de memória, ao exigir biometria ou PIN e não trafegar informações sensíveis durante o login. Em 2026, a FIDO Alliance estimou 5 bilhões de passkeys em uso no mundo, com 75% dos consumidores ativando ao menos uma.
O que são as passkeys?
Passkeys são credenciais digitais baseadas em criptografia assimétrica, desenvolvidas pela FIDO Alliance em parceria com o W3C. Funciona com um par de chaves: pública, no servidor do serviço, e privada, protegida no dispositivo do usuário. A chave privada não sai do aparelho.
Durante o login, o serviço envia um desafio; o dispositivo usa a chave privada para responder, e a validação ocorre com a chave pública. A autenticação exige biometria ou PIN, sem expor dados sensíveis na rede. O padrão técnico é o FIDO2, que integra WebAuthn e CTAP.
Como funciona no dia a dia?
Ao criar ou ativar, o dispositivo gera o par de chaves. A pública vai para o servidor; a privada fica no hardware do usuário. O login segue: escolher a opção de passkey, o serviço envia o desafio, o usuário confirma biometria ou PIN, a assinatura é enviada e o acesso é liberado.
O processo leva segundos e dispensa a digitação de senha ou códigos por SMS. As passkeys podem ser sincronizadas entre dispositivos via nuvem, como iCloud Keychain, Google Password Manager e Microsoft Authenticator.
Diferença em relação às senhas tradicionais
Senhas precisam ser memorizadas e podem ser roubadas, reutilizadas ou expostas em vazamentos. Passkeys não dependem de memória e a chave privada nunca é transmitida. Em phishing, o golpe é neutralizado, pois a chave funciona apenas para o domínio real.
Caso haja vazamento de servidor, o criminoso obtém apenas a chave pública, inútil sem a privada. Em perda de celular, é possível recuperar as chaves pela nuvem e criar novas em serviços compatíveis.
Vale a pena usar passkeys?
Para a maioria dos usuários, sim. Elas eliminam riscos de repetição, falhas de memória e phishing, sem exigir conhecimentos técnicos. A compatibilidade ainda é um obstáculo: entre os 100 maiores sites, apenas 50% a 60% suportam o recurso.
Para contas sensíveis, a combinação com MFA é recomendada, como uso de passkey no celular mais uma chave física (ex.: YubiKey). Em ambientes corporativos, esse reforço aumenta a segurança.
Como configurar nas principais plataformas
- Google (Android, Chrome, Gmail): abrir myaccount.google.com, Segurança, Chaves de acesso, Criar chave. Confirmar com biometria ou PIN e a passkey sincroniza via Google Password Manager.
- Apple (iPhone, iPad, Mac): acessar appleid ou serviço protegido, Configurações de segurança, Criar passkey. Confirmar com Face ID/Touch ID ou código, a passkey fica no iCloud Keychain e sincroniza entre devices com o mesmo Apple ID.
- Microsoft (Windows, Outlook, Xbox): em account.microsoft.com, Segurança, Opções de segurança avançadas, Adicionar forma de entrar e escolher Chave de acesso. Confirmar com Windows Hello ou celular; a passkey sincroniza entre dispositivos vinculados à conta.
Em maio de 2026, a Microsoft comunicou que novas contas passam a ser criadas sem senha por padrão, com descontinuação de códigos por SMS até o fim de 2026.
Entre na conversa da comunidade