Perder, trocar ou formatar o celular que tinha o aplicativo autenticador não produz sempre o mesmo problema. Em alguns casos, os códigos reaparecem ao entrar no aplicativo em outro aparelho. Em outros, o autenticador não tem mais a chave necessária para gerar os códigos e a única saída é recuperar cada conta protegida e cadastrar um novo método de verificação.
A distinção mais importante é esta: recuperar o aplicativo Authenticator e recuperar a conta protegida por ele são tarefas diferentes. Antes de tentar qualquer procedimento, descubra em qual cenário você está.
A diferença que muda a recuperação
Os códigos TOTP, aqueles números temporários que normalmente mudam a cada 30 segundos, são gerados a partir de uma chave secreta compartilhada entre o serviço e o autenticador, combinada com o horário. O padrão técnico do TOTP não define um backup universal dessa chave. A possibilidade de recuperar os códigos depende de o aplicativo ter sincronizado ou copiado esse segredo, de o celular antigo ainda estar acessível ou de o serviço permitir que você recupere a conta por outro caminho.
Isso explica por que instalar novamente o mesmo aplicativo nem sempre resolve. Se a chave secreta ficou apenas no aparelho que foi perdido ou apagado, o novo aplicativo não consegue simplesmente adivinhar a sequência anterior. Nesse caso, você precisa provar sua identidade ao serviço, remover o autenticador antigo e cadastrar um novo.
Também não é a mesma coisa que perder uma passkey. Passkeys podem ter mecanismos próprios de sincronização e recuperação no sistema ou gerenciador de credenciais. Um código TOTP depende do segredo provisionado no autenticador. Por isso, instruções de recuperação de passkey não devem ser tratadas como solução automática para códigos perdidos.
Cenário 1: o celular antigo ainda está disponível
Se você ainda consegue desbloquear o aparelho antigo, esse é o cenário mais favorável. Não formate nem apague o dispositivo antes de terminar a migração e testar os acessos importantes no novo celular.
No Google Authenticator, quem usa o aplicativo sem uma Conta do Google pode fazer a transferência manual. A documentação oficial orienta a exportar as contas no aparelho antigo, gerar um ou mais QR codes e importá-los no novo dispositivo. O processo exige acesso ao telefone antigo e desbloqueio do aparelho.
Se o Google Authenticator já estava conectado a uma Conta do Google e os códigos estavam sincronizados, a transferência manual pode nem ser necessária: ao entrar na mesma Conta do Google no Authenticator do novo aparelho, os códigos sincronizados devem aparecer automaticamente.
Em outros aplicativos TOTP, procure uma função de exportação, transferência ou backup antes de remover qualquer coisa do telefone antigo. Se o aplicativo não oferecer essa opção, mas você ainda está conectado aos serviços protegidos, outra saída é abrir a configuração de segurança de cada conta, cadastrar um novo autenticador e só depois remover o método antigo.
Cenário 2: o Google Authenticator estava sincronizado
O Google Authenticator permite salvar os códigos na Conta do Google. Segundo a documentação oficial, ao entrar no Authenticator em um novo dispositivo com a mesma Conta do Google, os códigos sincronizados são carregados automaticamente.
Há uma diferença decisiva entre usar o Authenticator conectado à Conta do Google e escolher a opção de uso sem conta. No modo sem conta, os códigos ficam armazenados no dispositivo e não ficam disponíveis em outros aparelhos. Se o telefone antigo desapareceu e não havia sincronização, não existe uma restauração em nuvem do próprio Google Authenticator para aqueles registros locais.
Se o aparelho foi perdido ou roubado, a orientação do Google é proteger também os códigos que estavam nele. Quando os códigos estavam sincronizados, é possível remover o dispositivo da Conta do Google. Quando não estavam sincronizados, a própria documentação recomenda acessar os sites em que o Authenticator estava configurado, remover o método antigo e vincular novamente o novo dispositivo.
Cenário 3: o Microsoft Authenticator tinha backup
O Microsoft Authenticator também pode restaurar informações salvas anteriormente, mas o resultado depende do tipo de conta. A Microsoft informa que o backup e a restauração precisam ocorrer no mesmo tipo de dispositivo: um backup feito no iOS não pode ser restaurado em Android, e vice-versa.
No iPhone, o processo usa recursos do iCloud. No Android, na documentação vigente em agosto de 2026, o backup em nuvem é associado a uma conta pessoal da Microsoft. A empresa já informa que esse mecanismo no Android mudará a partir de janeiro de 2027, quando o backup passará a usar o Google One; por isso, quem consultar estas orientações depois dessa data deve confirmar a opção exibida no aplicativo.
Para contas de terceiros que usam apenas códigos temporários, o backup do Microsoft Authenticator pode restaurar os códigos. Para contas corporativas ou de estudante, porém, a Microsoft diz que apenas o nome da conta é restaurado e será necessário entrar novamente. Em contas pessoais da Microsoft com recursos de entrada sem senha, também pode haver necessidade de autenticação adicional após a restauração.
Esse detalhe evita um erro comum: ver a conta reaparecer na lista do Authenticator não significa necessariamente que todo o método de autenticação voltou a funcionar. Se o aplicativo mostrar uma mensagem como “entrar para restaurar” ou “ação necessária”, siga o fluxo oficial de verificação daquela conta.
Cenário 4: não há backup e o aparelho antigo não pode ser usado
Aqui, o foco muda. Em vez de tentar “recuperar o Authenticator”, você precisa recuperar o acesso às contas que dependiam dele.
Comece por cada serviço separadamente e procure uma forma alternativa de provar sua identidade. Pode ser um código de recuperação salvo antes, outro dispositivo já conectado, uma passkey, uma chave de segurança física, um segundo autenticador, um telefone ou e-mail de recuperação, ou uma sessão confiável ainda aberta. As opções variam de serviço para serviço.
Depois de conseguir entrar, abra as configurações de segurança, remova o autenticador associado ao celular antigo e configure o novo dispositivo. Em muitos serviços, redefinir apenas a senha não substitui o método TOTP; trate a senha e o segundo fator como credenciais diferentes e confirme que o autenticador antigo foi realmente removido.
Se não houver nenhum fator alternativo disponível, use somente o processo oficial de recuperação da conta. Não forneça senha, QR code do autenticador, código temporário nem código de recuperação a pessoas ou sites que prometam “desbloquear” a conta por fora do provedor. Esses dados podem permitir acesso direto ao serviço.
Cenário 5: você ainda tem um código de recuperação ou outro fator
Um código de recuperação pode ser exatamente o que evita o bloqueio total, mas ele pertence ao serviço que o emitiu. Um código alternativo da Conta do Google, por exemplo, serve para entrar naquela Conta do Google; ele não restaura automaticamente os códigos TOTP de outros sites que estavam no aplicativo.
O mesmo vale para o código de recuperação da conta Microsoft. A Microsoft oferece um código de recuperação de 25 dígitos para ajudar a recuperar a própria conta Microsoft quando os métodos normais de verificação não estão disponíveis. Esse código não é uma cópia universal dos segredos TOTP de contas de terceiros.
Se um fator alternativo permitir a entrada, aproveite a sessão recuperada para revisar todos os métodos de segurança. Cadastre o novo autenticador, teste o login e gere novos códigos de recuperação. Quando o serviço permite invalidar o conjunto antigo, faça isso se houver dúvida sobre onde ele foi armazenado.
Cenário 6: a conta é corporativa, escolar ou gerenciada
Contas de trabalho e escola podem depender de políticas administradas pela organização. Por isso, um fluxo que funciona em uma conta pessoal pode não estar disponível para o usuário corporativo.
No ecossistema Google, a própria ajuda da verificação em duas etapas orienta usuários de contas de empresa, escola ou outros grupos a usar uma opção alternativa ou entrar em contato com o administrador quando não conseguem concluir a segunda etapa.
No Microsoft Entra, administradores autorizados podem exigir que um usuário registre novamente a autenticação multifator. A documentação atual informa que essa ação pode remover do cadastro os aplicativos Microsoft Authenticator, números de telefone e tokens OATH de software, fazendo com que o usuário configure um novo método na próxima entrada. Organizações também podem ter fluxos próprios de recuperação, inclusive métodos temporários de acesso e verificação de identidade.
Se a conta é corporativa, não tente contornar a política usando contas pessoais ou métodos não aprovados. O caminho correto é acionar o suporte ou administrador responsável e seguir o processo de identificação definido pela organização.
Se o celular foi perdido ou roubado, trate também como incidente de segurança
Quando o aparelho apenas foi formatado por você, o problema principal costuma ser disponibilidade: os dados locais sumiram. Quando o telefone foi perdido ou roubado, existe também a possibilidade de outra pessoa tentar acessar os códigos, principalmente se o aparelho não tinha bloqueio forte.
Se ainda for possível, use os recursos do sistema para localizar, bloquear ou apagar o dispositivo remotamente. Remova o aparelho das contas sincronizadas quando o provedor oferecer essa opção. Depois de recuperar cada serviço, substitua o autenticador antigo por um novo registro e revise sessões e dispositivos conectados.
O Google recomenda explicitamente impedir que terceiros acessem os códigos do Authenticator em um aparelho perdido e, conforme o modo de uso, remover o dispositivo da Conta do Google ou refazer o vínculo do Authenticator nos sites protegidos.
Depois de recuperar, monte uma rota de emergência
A melhor prevenção não é confiar em um único aplicativo. Ative conscientemente a sincronização ou backup do autenticador quando esse recurso fizer sentido para o seu risco, mantenha pelo menos um método alternativo de acesso e gere códigos de recuperação nos serviços que oferecem essa opção.
Guarde códigos de recuperação em local separado do celular usado para entrar nas contas. A documentação do Google recomenda mantê-los em lugar seguro, e a Microsoft orienta não armazenar o código de recuperação no mesmo dispositivo usado para acessar a conta.
Para contas mais importantes, vale combinar fatores diferentes. Um segundo dispositivo confiável, uma chave de segurança física ou uma passkey em outro equipamento pode evitar que a perda de um único telefone se transforme em perda total de acesso. Em ambiente corporativo, confirme com a equipe de TI quais métodos de contingência são permitidos.
A regra prática
Se o autenticador tinha sincronização ou backup válido, os códigos podem reaparecer no novo aparelho, embora algumas contas ainda exijam nova autenticação. Se não havia cópia da chave e o celular antigo não está acessível, normalmente não há um botão capaz de recriar aqueles códigos dentro do aplicativo.
Nesse segundo caso, o que você recupera é a conta protegida, não o código antigo. Entre por um fator alternativo ou pelo processo oficial de recuperação, remova o autenticador perdido e cadastre um novo. Essa separação entre “restaurar o Authenticator” e “recuperar a conta” é o que determina o caminho correto em quase todos os casos.
