Segurança digital: onde os incidentes começam

Segurança digital: as contas e acessos por onde a maioria dos incidentes começa O e-mail é a chave-mestra da operação COMO ENTRAM Senha reaproveitada que vazou Mensagem que capturou a senha Acesso de quem saiu da empresa Aparelho perdido sem bloqueio O E-MAIL recupera a senha de todo o resto O QUE CAI JUNTO Banco e meios de pagamento Hospedagem e domínio Redes sociais e perfis Sistemas e o próprio site Nenhuma das quatro portas de entrada é uma falha do servidor Quase nenhum incidente começa no servidor — começa numa conta
TL;DR — Resumo em 4 pontos:
  • Quase nenhum incidente começa no servidor — começa numa conta, numa senha repetida ou num acesso esquecido.
  • O e-mail é a chave-mestra: quem o controla recupera a senha de todo o resto. É a primeira conta a proteger.
  • A senha não precisa ser difícil — precisa ser diferente em cada serviço.
  • Nenhuma mudança de dado bancário se aceita por e-mail. Confirmação por telefone, em número que você já tinha.

O texto anterior e a lista que misturava tudo

A versão de 2019 apresentava uma lista de "seguranças" que misturava níveis completamente diferentes sem explicar nenhum: "controle de acesso; proteção de rede; firewall de proteção; mais dispositivos; limpar upload de arquivos ajudando a reduzir os vírus; utilizar o certificado SSL; backup; remover preenchimento automático de dados e formulários; código fonte".

O último item é uma palavra solta — código-fonte não é uma medida de segurança. E "remover preenchimento automático" é, no máximo, um detalhe menor, listado ao lado de backup como se tivesse o mesmo peso.

Havia ainda "segurança de qualidade e segurança" na mesma expressão, "para perder aquele anseio de perder os dados", "ajuda-lo" sem acento e uma seção chamada "Mais" que era um anúncio. Este texto troca a lista por um mapa de onde os problemas realmente aparecem.

Correção: o que as atualizações fazem

O texto dizia que "as atualizações ajudam a melhor quebrar as possíveis invasões". A formulação não descreve o mecanismo, e o mecanismo importa.

Atualizações fecham falhas já conhecidas. Quando alguém descobre uma vulnerabilidade em um sistema, ela é corrigida e a correção é publicada — junto com a informação de que ela existia. A partir daí, todo mundo que não atualizou passa a ter, em produção, uma falha publicamente documentada.

É por isso que a atualização é a medida de melhor retorno em segurança: ela não é uma barreira genérica, é a remoção de portas que já se sabe onde ficam. A rotina completa aplicada ao site está em como manter a segurança do site em dia — este texto trata do que está fora dele.

Onde os incidentes realmente começam

Aqui está a inversão que organiza tudo o que vem a seguir: para a maioria das empresas, o site é a parte mais protegida da operação. Ele tem certificado, atualização, às vezes firewall, e alguém responsável.

O que derruba empresas está em outro lugar — nas contas. Um e-mail invadido porque a senha era a mesma de um site que vazou. Um acesso de ex-funcionário que ninguém revogou. Uma mensagem plausível que enganou alguém do financeiro. Um celular perdido sem bloqueio de tela.

Nenhum desses quatro é uma falha técnica do servidor. Todos são falhas de processo e de hábito — e é justamente por isso que quase nunca aparecem na conversa sobre segurança, que costuma girar em torno de produtos e serviços contratados.

A senha reaproveitada

Esta é a porta de entrada mais usada, e o mecanismo é simples de entender.

Serviços sofrem vazamentos com regularidade — de lojas a fóruns, passando por aplicativos que ninguém usa mais. Quando isso acontece, listas de e-mails e senhas passam a circular. E há quem pegue essas listas e teste automaticamente as mesmas combinações em outros serviços: e-mail, banco, redes, painéis administrativos.

O ataque não precisa quebrar nada. Ele apenas aposta — com razão — que a pessoa usou a mesma senha em vários lugares. Um vazamento em um site sem importância entrega a chave do que importa.

A conclusão prática contraria o que se costuma ensinar: a senha não precisa ser difícil de lembrar — precisa ser diferente em cada lugar. Uma senha longa e simples, única por serviço, protege muito mais que uma cheia de símbolos usada em dez sites.

O e-mail é a chave-mestra

Se só desse para proteger bem uma conta, seria o e-mail. E o motivo é estrutural, não uma questão de importância percebida.

Quase todo serviço permite recuperar a senha por e-mail. Isso significa que quem controla a caixa de entrada consegue, um a um, redefinir o acesso de tudo o mais: banco, hospedagem, registrador do domínio, redes sociais, sistemas contratados, o painel do site.

O invasor não precisa descobrir a senha do banco. Precisa apenas do e-mail — e pede a redefinição das outras.

Daí duas decisões que valem mais que qualquer produto: senha única e verificação em duas etapas no e-mail, antes de qualquer outra coisa. E, para empresas, um cuidado adicional: o e-mail usado como contato de recuperação nos serviços críticos precisa ser um endereço da empresa, que continue existindo quando alguém sair — não o e-mail pessoal de quem cadastrou.

Verificação em duas etapas: qual método

A verificação em duas etapas é a medida que mais reduz risco por unidade de esforço: mesmo com a senha correta, o acesso exige um segundo elemento. Mas nem todos os métodos são iguais.

  • Chave física. O mais seguro, e o menos comum fora de empresas grandes.
  • Aplicativo autenticador. Gera códigos no próprio aparelho, sem depender da operadora. É o melhor equilíbrio entre segurança e praticidade — e é gratuito.
  • Código por SMS. O mais frágil dos três, porque está sujeito à troca fraudulenta de chip: alguém convence a operadora a transferir o seu número e passa a receber os códigos.

Duas observações práticas. SMS é muito melhor que nada — se for a única opção do serviço, ative. E guarde os códigos de recuperação que são oferecidos na ativação: sem eles, perder o celular pode significar perder a conta.

O gerenciador de senhas

Se cada serviço precisa de uma senha diferente, surge o problema óbvio: ninguém memoriza dezenas de senhas. As soluções improvisadas são conhecidas — repetir, variar um número no fim, anotar em papel ou numa planilha.

Um gerenciador de senhas resolve isso guardando tudo cifrado atrás de uma única senha-mestra. Você memoriza uma; ele guarda o resto e preenche quando necessário.

A objeção comum é razoável: não é arriscado colocar tudo num lugar só? A comparação honesta não é com um cenário perfeito — é com a alternativa real, que é repetir senha em todo lugar. Concentrar em um cofre protegido é melhor que espalhar em portas destrancadas.

Dois cuidados: a senha-mestra precisa ser forte, única e nunca usada em outro lugar; e o gerenciador precisa ter verificação em duas etapas ativa. Para empresas, vale a versão que permite compartilhar acessos por equipe sem revelar a senha.

Não sabe quem tem acesso ao quê na sua empresa? A Agência Fort organiza o inventário de contas, os acessos e a proteção do que é crítico — começando pelo e-mail. Fale pelo WhatsApp.

Os acessos que ninguém revoga

Esta é a falha mais comum e a mais fácil de corrigir — e quase toda empresa a tem neste momento.

Acessos são concedidos o tempo todo: ao funcionário que entrou, ao estagiário, ao fornecedor que precisou entrar uma vez, à agência anterior, ao primo que ajudou com o site. Quase nenhum é revogado quando a relação termina, porque não existe processo para isso.

O resultado é uma lista invisível de pessoas com acesso a e-mail, painel do site, redes sociais e sistemas — sem que ninguém saiba de cabeça quem são. O risco não é necessariamente má-fé: é que essas contas continuam existindo, com senhas antigas, em aparelhos que a empresa não controla.

A correção é uma rotina: revisar acessos a cada trimestre, serviço por serviço, perguntando de cada pessoa listada se ela ainda precisa daquilo. É a meia hora mais bem investida do trimestre.

Conta compartilhada

A conta única que todo mundo usa — o "administrador" do site, o login da rede social, o acesso ao sistema — parece prática e cria três problemas.

Não dá para revogar individualmente. Quando uma pessoa sai, a única saída é trocar a senha e reavisar todo mundo — o que raramente acontece.

Não dá para saber quem fez o quê. Se algo foi apagado ou publicado por engano, o registro aponta para uma conta usada por seis pessoas.

A senha circula. Ela é passada por mensagem, anotada, salva em aparelhos diversos — e basta um deles ser comprometido.

A alternativa custa nada na maioria dos serviços: um usuário por pessoa, com a permissão mínima necessária. Nem todo mundo precisa ser administrador, e a maioria dos serviços permite perfis com acesso limitado.

Os golpes que chegam por mensagem

A porta de entrada que nenhuma ferramenta técnica fecha, porque não explora um sistema — explora uma pessoa com pressa.

Três formatos são especialmente frequentes contra empresas:

  • A mudança de dados bancários. Um e-mail plausível, aparentemente de um fornecedor conhecido, avisa que a conta para pagamento mudou. Às vezes com urgência, às vezes no meio de uma conversa real que foi interceptada.
  • O pedido do "diretor". Uma mensagem que parece vir de alguém da diretoria pede uma transferência urgente, fora do processo, pedindo discrição.
  • O falso aviso de conta. Um alerta de que o acesso será suspenso, com um link que leva a uma página idêntica à real e captura a senha.

A defesa é de processo, não de tecnologia, e cabe em três regras: nenhuma alteração de dado bancário se aceita por e-mail ou mensagem — confirma-se por telefone, em um número que você já tinha, nunca no contato informado na mensagem; nenhuma transferência foge do processo, mesmo pedida por quem manda; e nenhum acesso é feito por link recebido — digita-se o endereço.

Vale combinar isso explicitamente com a equipe. A pessoa que barra um pedido urgente do chefe precisa saber que está fazendo o certo.

Dispositivo pessoal, dados da empresa

Praticamente toda equipe acessa e-mail e sistemas da empresa pelo celular pessoal. Isso é normal e não vale fingir o contrário — vale reconhecer a consequência: aquele aparelho passa a conter dados da empresa.

Três medidas cobrem a maior parte do risco, e nenhuma é intrusiva:

  • Bloqueio de tela em todos os aparelhos com acesso. Celular perdido sem bloqueio entrega e-mail, mensagens e sistemas de uma vez.
  • Sistema atualizado, pelo mesmo motivo de qualquer outro software.
  • Possibilidade de remover o acesso à distância quando a pessoa sai ou perde o aparelho — o que a maioria dos serviços de e-mail corporativo já permite.

Vale acrescentar o cuidado com redes públicas ao acessar sistemas administrativos, e a regra simples de não instalar aplicativo de origem duvidosa no aparelho que tem acesso à empresa.

O inventário de contas

Todas as medidas acima dependem de uma informação que quase nenhuma empresa tem organizada: quais contas existem e quem acessa cada uma.

O documento que resolve isso é simples — uma planilha com cinco colunas: qual serviço, para que serve, quem tem acesso, qual e-mail está cadastrado, tem verificação em duas etapas.

Fazer esse levantamento costuma revelar, em uma tarde, coisas desconfortáveis: um acesso de alguém que saiu há dois anos; uma conta crítica cadastrada no e-mail pessoal de um ex-funcionário; um serviço importante sem dupla verificação; duas pessoas achando que a outra estava cuidando da renovação.

É o mesmo raciocínio do documento de domínio, hospedagem e sistema descrito em CMS, hospedagem e domínio — e vale unir os dois em um único lugar.

Quando alguém sai da empresa

O momento de maior risco e o menos preparado. Uma lista curta, executada no mesmo dia, resolve:

  1. E-mail: encerrar ou suspender o acesso, redirecionando as mensagens para quem assume.
  2. Sistemas e painéis: site, hospedagem, ferramentas contratadas, sistema de gestão.
  3. Redes sociais e perfis da empresa, inclusive o perfil no mapa.
  4. Grupos de mensagem internos e com clientes.
  5. Acesso remoto e conexões a partir de fora.
  6. Senhas de contas compartilhadas que a pessoa conhecia — trocadas, não apenas anotadas.
  7. Contatos de recuperação: conferir se algum serviço aponta para o e-mail ou telefone dela.

O sétimo item é o mais esquecido e o mais grave: uma conta que continua enviando a redefinição de senha para o celular de quem saiu ainda está acessível para essa pessoa, mesmo depois de tudo o mais ter sido revogado.

Perguntas frequentes

O que é segurança digital na prática?

É proteger as contas e os acessos da empresa, muito mais do que os servidores. A maioria dos incidentes que atingem empresas pequenas e médias não começa em uma falha técnica do site: começa em uma conta de e-mail invadida, uma senha reaproveitada, um acesso que ninguém revogou ou uma mensagem que enganou alguém da equipe.

Por que não posso repetir a mesma senha?

Porque quando um serviço qualquer sofre vazamento, listas de e-mails e senhas passam a circular — e há quem teste automaticamente essas combinações em outros serviços. Se você usou a mesma senha no e-mail da empresa, o vazamento de um site sem importância entrega a chave do que importa. A senha não precisa ser difícil: precisa ser diferente em cada lugar.

Qual conta proteger primeiro?

O e-mail, sem discussão. Ele é a chave-mestra: quase todo outro serviço permite recuperar a senha por e-mail, então quem controla a caixa de entrada consegue assumir o resto — banco, redes, hospedagem, sistemas. Proteger o e-mail com senha única e verificação em duas etapas resolve mais que qualquer outra medida isolada.

Qual o melhor método de verificação em duas etapas?

Aplicativo autenticador ou chave física são mais seguros que código por SMS. O SMS é vulnerável à troca fraudulenta de chip, em que alguém assume o seu número junto à operadora e passa a receber os códigos. Ainda assim, SMS é muito melhor que nada — se for a única opção disponível, use.

Gerenciador de senhas é seguro?

É mais seguro que as alternativas reais, que são repetir senha ou anotar em papel e planilha. Ele guarda tudo cifrado atrás de uma senha-mestra e permite ter uma senha diferente em cada serviço sem precisar memorizar nenhuma. A senha-mestra precisa ser forte, única e protegida por verificação em duas etapas.

O que fazer quando um funcionário sai da empresa?

Revogar os acessos no mesmo dia, seguindo uma lista: e-mail, sistemas, painel do site, hospedagem, redes sociais, ferramentas contratadas, grupos de mensagem e acesso remoto. E trocar as senhas de qualquer conta compartilhada que a pessoa conhecia. É o item mais esquecido e o mais simples de resolver.

Como reconhecer um golpe de mudança de dados bancários?

Ele chega como um e-mail plausível de um fornecedor conhecido avisando que a conta para pagamento mudou, às vezes com urgência. A defesa não é técnica, é de processo: nenhuma alteração de dado bancário é aceita por e-mail ou mensagem — confirma-se sempre por telefone, em um número que você já tinha, e nunca no contato informado na própria mensagem.

Posso usar o celular pessoal para o trabalho?

Pode, e é o que quase todo mundo faz. O cuidado é reconhecer que aquele aparelho passa a ter acesso a dados da empresa: ele precisa de bloqueio de tela, sistema atualizado e a possibilidade de ter o acesso removido quando a pessoa sair. Perder um celular sem bloqueio é entregar e-mail, mensagens e sistemas de uma vez.

Por onde começar se não tenho nada organizado?

Pelo inventário de contas: uma lista simples com qual serviço, quem tem acesso, qual e-mail está cadastrado e se há verificação em duas etapas ativa. Quase toda empresa descobre nessa lista pelo menos um acesso de alguém que saiu e uma conta importante sem proteção adicional.

Comece pelo e-mail e pelo inventário

A Agência Fort organiza contas, acessos e proteção do que é crítico — e integra isso à manutenção do site. Conheça a criação de sites.

Começar Agora Falar com Especialista

Continue lendo sobre segurança

Como manter a segurança do site em dia

O que o cadeado do SSL realmente diz

Firewall: o que ele não consegue barrar

CMS, hospedagem e domínio