Como funcionam as passkeys do Singpass — e quem pode usá-las

O Singpass — plataforma de identidade digital nacional de Cingapura — passou a oferecer uma nova forma opcional de login sem senha, código de uso único enviado por SMS ou aprovação por QR Code. O recurso entrou em beta em 1º de julho de 2026 para usuários de iPhone (iOS) em navegadores móveis. O suporte a Android e a computadores está previsto para fases posteriores.

A principal diferença é que a passkey não acrescenta mais um segredo para o golpista tentar roubar. Ela usa uma credencial criptográfica vinculada ao dispositivo e ao serviço legítimo do Singpass, o que a torna consideravelmente mais resistente ao phishing.

O que as passkeys substituem

Nos métodos tradicionais, há informações reutilizáveis que podem ser expostas. Uma senha pode ser copiada, um código de uso único (OTP) pode ser retransmitido e um QR Code pode ser manipulado para levar a vítima a aprovar um login iniciado por outra pessoa. Com a passkey, nenhuma senha ou OTP é digitada ou transmitida durante a autenticação.

O usuário ainda precisa comprovar localmente que controla o aparelho, normalmente usando biometria ou um código de acesso. Mas o site não recebe os dados biométricos nem a chave privada. Em vez disso, recebe uma resposta criptográfica que pode ser verificada, mas não reutilizada como senha.

Como funciona o par de chaves

Durante o cadastro, o iPhone gera um par exclusivo de chaves pública e privada:

• A chave privada permanece no dispositivo registrado e é usada para produzir uma assinatura digital.
• A chave pública correspondente é registrada no Singpass e serve para verificar essa assinatura.
• No login, o Singpass envia um desafio novo.
• O celular assina esse desafio somente depois que o usuário autoriza a ação com Face ID, Touch ID ou o código de acesso do aplicativo Singpass.
• O Singpass verifica a resposta usando a chave pública armazenada.

Tecnicamente, trata-se de uma autenticação baseada em criptografia de chave pública — e não apenas de uma simples “troca de chaves de criptografia”. A chave privada nunca é enviada ao Singpass, enquanto a chave pública, sozinha, não permite se passar pelo usuário. Os padrões FIDO descrevem esse modelo como uma autenticação vinculada à origem: a credencial está associada ao domínio legítimo do serviço, impedindo que um site visualmente parecido obtenha uma resposta válida para o Singpass.

É por isso que uma cópia de uma página de login do Singpass tem muito menos utilidade contra quem usa uma passkey. Não há senha, OTP ou aprovação por QR reutilizável para o site falso coletar e reapresentar.

Quem pode usar o recurso no lançamento?

A primeira fase é limitada:

• iPhone e iOS: disponíveis desde 1º de julho de 2026 em navegadores móveis.
• Android: suporte previsto para uma fase posterior.
• Notebooks e computadores de mesa: login em navegadores de desktop também foi adiado para uma etapa futura.

Na prática, um usuário de iPhone pode usar a passkey em um login compatível feito pelo navegador móvel, mas não deve presumir que todos os serviços do Singpass ou todos os aparelhos já ofereçam a opção.

Como cadastrar uma passkey do Singpass

Na fase inicial para iPhone, o cadastro é feito pelo aplicativo móvel do Singpass:

1. Atualize o aplicativo Singpass para a versão mais recente.
2. Abra o app e selecione o banner de passkey na tela inicial.
3. Siga as instruções exibidas para criar a passkey.

Depois do cadastro, a autenticação é autorizada localmente com Face ID, Touch ID, impressão digital ou o código de seis dígitos do aplicativo Singpass, conforme o aparelho e as configurações disponíveis. O usuário não precisa digitar uma senha do Singpass no site participante.

Por que o Bluetooth é usado no login entre dispositivos

O login iniciado em outro aparelho cria um risco adicional: alguém pode tentar convencer a vítima a aprovar uma sessão aberta em um computador ou celular controlado pelo golpista. Em autenticações entre dispositivos, o Singpass pode usar uma verificação de proximidade por Bluetooth de curto alcance para confirmar que o telefone registrado está fisicamente perto do aparelho que solicitou o login.

Essa checagem não substitui a verificação do par de chaves. Ela acrescenta uma evidência de que o telefone que guarda a passkey está próximo. Assim, fica mais difícil para um golpista conduzir uma aprovação totalmente remota — por exemplo, enviando um QR Code e orientando a vítima enquanto opera o outro aparelho de longe.

Por que senhas, QR Codes e outros métodos continuam disponíveis

As passkeys são uma opção adicional durante o beta, e não uma substituição imediata para todos os usuários. Os métodos existentes continuam necessários para quem não tem um iPhone compatível, ainda não fez o cadastro ou tenta acessar um serviço ou dispositivo que ainda não foi incluído na implementação gradual.

Essas alternativas continuam importantes para garantir acesso e atender a diferentes necessidades, mas sua segurança depende mais do comportamento do usuário. Uma pessoa pode ser manipulada a revelar uma senha ou OTP, escanear um QR Code fraudulento ou aprovar uma solicitação inesperada. A Polícia de Cingapura continua orientando a população a nunca compartilhar senhas do Singpass ou dados de autenticação em dois fatores (2FA) com desconhecidos.

As passkeys reduzem a quantidade de credenciais que podem ser capturadas por phishing, mas não eliminam todos os golpes. Criminosos ainda podem se passar por organizações, pressionar alguém a revelar informações pessoais ou tentar explorar processos de recuperação de conta e de tomada de controle do perfil.

Relação com os padrões FIDO

O desenho do Singpass segue o modelo de criptografia de chave pública vinculada à origem associado ao FIDO e ao WebAuthn. O FIDO2 é um padrão aberto de autenticação criado para oferecer credenciais criptográficas resistentes a phishing, em vez de segredos proprietários e reutilizáveis.

A adoção de padrões abertos é relevante porque as passkeys foram projetadas para funcionar de forma interoperável no ecossistema mais amplo de autenticação. A FIDO Alliance define passkeys como credenciais associadas a uma conta em um site ou aplicativo, que podem ser usadas com celular, computador ou chave de segurança física, conforme a implementação e a fase de disponibilização de cada serviço.

No Singpass, o benefício prático é a vinculação ao domínio: espera-se que o autenticador responda ao serviço legítimo, e não a um domínio falso visualmente semelhante.

Os números de phishing por trás da mudança

Cingapura registrou 37.308 casos de golpes e aproximadamente S$ 913,1 milhões em perdas em 2025. Esses números abrangem golpes em geral, e não apenas phishing.

As estatísticas anuais oficiais também registraram separadamente 6.264 casos de phishing e S$ 39,9 milhões em perdas relacionadas a phishing em 2025. Portanto, o phishing foi uma parte relevante do problema geral de golpes, mas esses dados não indicam que todas as perdas tenham envolvido credenciais roubadas do Singpass.

A decisão de produto é específica: as passkeys foram desenhadas para tornar muito menos útil a etapa de captura de credenciais em ataques de phishing. Ainda assim, os usuários precisam conferir os sites, rejeitar solicitações de login inesperadas e evitar compartilhar dados do Singpass, especialmente enquanto os métodos antigos continuam disponíveis.