As passkeys venceram em conscientização. A recuperação de contas ainda é o problema não resolvido.
As passkeys tiveram o sucesso de marketing com que quase toda tecnologia de segurança sonha: conscientização ampla e rápida dos consumidores. Segundo o relatório Estado das Passkeys 2026 da FIDO Alliance, resumido pela Descope, a conscientização dos consumidores saltou de 75% em 2025 para 90% em 2026 — uma mudança notável para uma tecnologia que mal tinha reconhecimento de nome três anos antes. Apple, Google e Microsoft incorporaram solicitações de passkeys em seus fluxos de login principais, e grandes sites, de bancos a plataformas sociais, agora as oferecem como opção padrão.
E, ainda assim, as implementações corporativas continuam travando no mesmo problema: o que acontece quando alguém perde o dispositivo onde sua passkey reside. Em pesquisas com organizações que citam obstáculos específicos à adoção de passkeys, preocupações sobre perda de dispositivo e recuperação de conta estão entre as principais barreiras, citadas por cerca de um terço das organizações. A tecnologia que deveria matar a senha tem um processo de recuperação que, na maioria das implementações reais, ainda depende silenciosamente de uma.
Por que a recuperação é estruturalmente diferente do login
Uma passkey é um par de chaves criptográficas vinculado a um dispositivo (ou sincronizado no ecossistema de dispositivos de um usuário via iCloud Keychain, Google Password Manager ou similar). Essa vinculação é exatamente o que torna as passkeys resistentes a phishing — não há segredo compartilhado para roubar, porque a chave privada nunca deixa o dispositivo. Mas também significa que perder todos os dispositivos que detinham a chave, ou nunca tê-la sincronizado, bloqueia o acesso sem nenhuma falha de higiene de segurança.
A resposta honesta da indústria, segundo o Centro Nacional de Segurança Cibernética do Reino Unido (NCSC), é que a FIDO Alliance e a indústria em geral estão trabalhando ativamente no problema da recuperação, mas isso "ainda não está efetivamente aceito e estabelecido" como uma questão resolvida. Na prática, a maioria dos serviços recorre exatamente aos mecanismos que as passkeys existem para substituir: redefinição de senha, código por SMS, pergunta baseada em conhecimento, ou um agente de suporte verificando a identidade manualmente. Cada um desses caminhos alternativos reabre a superfície de ataque que as passkeys fecharam no lado do login.
Os atacantes já mudaram de estratégia
Isso não é teórico. O NCSC aponta especificamente que os atacantes estão deslocando o foco para fraquezas na recuperação de conta e solicitações de redefinição, incluindo campanhas de phishing que visam códigos de recuperação em vez de credenciais de login diretamente. É um movimento previsível: se a porta da frente ficou muito mais difícil de arrombar, os atacantes vão procurar a chave reserva escondida sob o tapete — e agora, o fluxo de recuperação costuma ser exatamente isso. Uma ligação de engenharia social para o suporte que convence um agente a redefinir o acesso à conta, ou um código de recuperação obtido por phishing, contorna completamente a proteção da passkey sem nunca tocá-la.
Como é uma boa recuperação na prática
As implementações que funcionam melhor compartilham um padrão comum, em vez de depender de um único caminho alternativo: múltiplas passkeys registradas em múltiplos dispositivos desde o início (para que perder um dispositivo não signifique perder o acesso), uma chave de segurança física mantida como backup explícito em vez de um pensamento tardio, e, para empresas, um fluxo de recuperação mediado por administrador que exige verificação fora de banda em vez de um rápido e-mail de redefinição de senha. As plataformas de consumo que sincronizam passkeys em um ecossistema de dispositivos — iCloud Keychain e Google Password Manager são as duas maiores — reduzem substancialmente o risco de dispositivo único, mas também significam que sua postura de recuperação é tão forte quanto a segurança da sua conta Apple ID ou Google, o que cria seu próprio ponto único de falha se essa conta não estiver reforçada.
Se você ativou passkeys em algum lugar no último ano, a única coisa concreta que vale a pena fazer esta semana é registrar uma segunda passkey em um dispositivo separado, ou adicionar uma chave de segurança física como backup, em vez de descobrir durante uma perda real de dispositivo que sua única opção de recuperação é um fluxo de redefinição de senha que você pensava ter aposentado. Para equipes de TI e segurança que implantam passkeys em escala, o fluxo de recuperação merece a mesma atenção de modelagem de ameaças que o fluxo de login — atualmente, na maioria das implementações, recebe apenas uma fração disso.