Senhas, dois fatores e contas

Nesta aula

O golpe com IA quer, no fim, uma coisa: entrar nas suas contas. Vamos fechar a porta.

As duas primeiras aulas foram sobre o momento do golpe. Esta é sobre o antes. A maior parte dos prejuízos que eu vejo em famílias e negócios pequenos não vem de uma tecnologia sofisticada, vem de senha repetida, conta sem segundo fator e recuperação apontando para um telefone antigo. Isso se resolve em uma tarde, sem instalar nada estranho, e vale mais do que qualquer antivírus. Vou explicar cada peça em linguagem simples e, na prática, você protege as três contas que mais importam.

• Ao final, você vai saber quais são as suas três contas mais importantes e por que a de e-mail vem primeiro.
• Vai entender gerenciador de senhas, verificação em duas etapas e passkey, e escolher o que usar em cada conta.
• Vai sair com um entregável: três contas principais protegidas e a recuperação conferida.

As três contas que mais importam

Você tem dezenas de contas, mas nem todas valem o mesmo. Se tiver que proteger só três hoje, são estas:

1. O e-mail principal. É a chave do molho de chaves. Quase todo serviço recupera a senha mandando um link para o e-mail. Quem controla o seu e-mail consegue trocar a senha do banco, da loja, da rede social, do sistema da empresa. É por isso que ele vem primeiro, antes até do banco.
2. O WhatsApp. Para muita gente e quase toda empresa pequena, é onde a vida acontece: clientes, família, comprovantes, fotos de documentos. Um WhatsApp tomado vira ferramenta de golpe contra todos os seus contatos, com a sua cara.
3. O banco (e a conta que paga as contas da empresa). Aqui o prejuízo é direto. A boa notícia é que os bancos já exigem bastante proteção; o seu trabalho é não enfraquecer o que eles fazem, principalmente não dar códigos por telefone.

Se você tem empresa, acrescente a quarta: a conta administrativa dos sistemas que a empresa usa (o painel do site, a plataforma de nota fiscal, o sistema de agendamento). Uma conta de administrador tomada é uma empresa tomada.

Senhas: o problema não é a sua memória, é a repetição

A regra que todo mundo já ouviu é "senha forte". A regra que importa é outra: senha diferente em cada conta. Porque senhas vazam de sites, o tempo inteiro, sem que você faça nada de errado. Quando isso acontece, quem tem a lista testa a mesma senha em outros lugares. Se a sua senha do site de receitas é a mesma do e-mail, o vazamento de um vira invasão do outro.

Ninguém decora cinquenta senhas diferentes. Por isso existe o gerenciador de senhas.

O que é um gerenciador de senhas

É um cofre digital. Ele cria uma senha longa e aleatória para cada site, guarda tudo, e preenche sozinho quando você entra. Você só precisa lembrar de uma senha mestra (ou usar a digital do celular). Existem os embutidos, que já vêm no celular e no navegador (o da Apple, o do Google), e os dedicados, como Bitwarden e 1Password. Todos cumprem a função básica. Para começar, o embutido do seu celular já é um salto enorme em relação a repetir senha.

A senha mestra: uma frase, não uma palavra

A única senha que você vai decorar merece ser boa. O jeito mais fácil de fazer uma senha longa e memorável é uma frase com quatro ou cinco palavras sem relação óbvia, com um número ou sinal no meio: algo como "cavalo-janela-7-sorvete-pneu". Longa, fácil de lembrar, difícil de adivinhar. Não use frase de música famosa nem dado pessoal.

Dois fatores: a segunda tranca

Verificação em duas etapas (ou dois fatores, ou 2FA, nomes diferentes para a mesma coisa) significa que, além da senha, a conta pede uma segunda prova de que é você. Assim, uma senha vazada não basta. Os tipos mais comuns, do mais frágil ao mais forte:

O que é uma passkey, com calma

A passkey merece um parágrafo porque resolve o pior golpe: a página clonada. Com senha, se você digita numa página falsa idêntica à do banco, a senha vai para o golpista. Com passkey, não existe o que digitar: o aparelho confirma a sua identidade e só responde ao site verdadeiro. Um site falso, por mais bem feito, não consegue pedir a sua passkey. Muitos serviços grandes já oferecem. Procure nas configurações de segurança por "passkey" ou "chave de acesso".

A regra do código

Existe uma regra que não muda com a tecnologia: código que chega no seu celular é seu e não se conta para ninguém. Nem para o "banco", nem para o "suporte", nem para o "parente". Empresa séria nenhuma liga pedindo o código. Se alguém pede, é a prova de que não é quem diz ser.

Recuperação: a porta dos fundos que todo mundo esquece

Cada conta tem um caminho de recuperação: "esqueci a senha" manda um link para um e-mail ou um código para um telefone. Se esse e-mail ou telefone estiver desatualizado, você fica trancado para fora quando precisa. Pior: se o telefone antigo foi reciclado pela operadora, outra pessoa pode receber os seus códigos.

Conferir a recuperação leva dois minutos por conta e é a parte mais negligenciada. Nas configurações de segurança, procure por "recuperação", "telefone de recuperação", "e-mail alternativo". Confira se aponta para um telefone e um e-mail que você controla hoje. Se o serviço oferece códigos de backup (uma lista de códigos de uso único), gere e guarde no gerenciador de senhas ou impressa num lugar seguro.

Contas da empresa: quem tem a chave?

Em empresa pequena, é comum a conta do sistema de nota fiscal estar no e-mail pessoal de um funcionário que já saiu, ou o painel do site estar no nome do sobrinho que fez o site. Isso é um risco silencioso. A regra: toda conta da empresa tem um e-mail da empresa como dono, e pelo menos duas pessoas sabem como recuperar. A aula 7 transforma isso em regra escrita.

Se quiser ajuda para organizar o inventário sem expor nada, o pedido abaixo serve. Repare que não se cola senha nem e-mail real: só o tipo de conta.