Gostaria de sugerir que o Nubank avalie a implementação de autenticação com chave física (como YubiKey) como uma opção adicional de segurança para os clientes que desejam um nível mais avançado de proteção.
Hoje, o Nubank utiliza autenticação biométrica (digital e facial), que é prática e acessível, mas não é infalível. Hackers com recursos avançados já demonstraram a capacidade de burlar esses sistemas com impressões digitais falsas, vídeos ou máscaras faciais. Além disso, biometria não pode ser trocada caso seja comprometida diferente de senhas ou tokens.
Como usuário que já utiliza MFA com YubiKey e autenticação por app (2FAs) em outros serviços, sinto falta de uma camada extra de segurança no app do Nubank, especialmente para transações sensíveis e recuperação de conta.
Benefícios da autenticação com chave física:
- Proteção contra phishing e engenharia social.
- Impossibilidade de acesso remoto sem o dispositivo físico.
- Maior controle para usuários avançados.
- Prática já adotada por empresas como Google, Microsoft, GitHub e até bancos internacionais.
Não estou sugerindo substituir os métodos atuais, mas sim oferecer essa opção para quem quiser ativar. Seria um diferencial importante para clientes que valorizam segurança digital.
Fico à disposição para discutir mais sobre o tema com a comunidade. Segurança é responsabilidade de todos — e o Nubank sempre foi referência em inovação. Que tal dar esse próximo passo?
Autenticação MFA e 2FA é muito superior a impressão digital e facial, como falei hackers ja provaram que podem burlar isso facilmente, ja MFA o hacker teria que ter acesso a minha chave física
CPF é o de menos, várias lugares que exigem seu cadastro eles próprios vazam, o que vale mesmo é saber proteger ele em caso de vazamento na deep web, como no caso de senhas é importante ter autenticação por dois fatores
Trabalho muitos anos com cloud como AWS, GCP, Azure. O que mais tem é ataque de token MFA, steal cookies.
Sempre precisa pensar na hipótese de quebrar ou perder a chave física. Como acessaria a conta?
Imagine que hacker sempre vai usar o método de recuperação de conta. Hacker não é tonto.
Se usuário é leigo, ele vai cair no golpe e vai clicar no link suspeito por e-mail. Não tem MFA que resista a isso.
Uber foi atacado anos atrás, hacker enviaram as 2AM da manhã num domingo milhões de requests massivos de reset de senha via MFA, até algum usuário clicar Sim na pop-up e deixar restar a senha. Como era de madrugada e a pop-up não parava se clicasse não, alguém clicou Sim e deu acesso a cloud uber.
Mas a minha sugestão é adicionar mais camadas de proteção dando a opção do usuário ativar, também participo de um pequeno grupo de hackers no discord onde todas as possibilidades de ataque hacker são discutidas, é onde também posso aprimorar minha experiência na segurança das minhas contas, no caso de recuperação de conta você tem que ter cautela na opção que usa
