Contas seguras na empresa: senhas, segundo fator e protecao contra golpes

Quando uma conta corporativa e invadida, o prejuizo raramente fica restrito a um unico sistema. Na maioria das pequenas e medias empresas, o comprometimento de um unico e-mail de gestor ou socio permite a redefinicao de acessos bancarios, canais de comunicacao com clientes e softwares de gestao. Proteger a operacao nao exige investimentos pesados em ferramentas complexas, mas sim a adocao disciplinada de praticas basicas de autenticacao.

O guia da ANPD, a Autoridade Nacional de Protecao de Dados, voltado a agentes de pequeno porte publicado em outubro de 2021, cita estudo do CERT.br e Cetic.br apontando que melhorar a identificacao e a autenticacao, incluindo a nao reutilizacao de senhas, esta entre as tres medidas de maior impacto na seguranca das organizacoes. A mesma cartilha sugere a adocao de autenticacao multifator para sistemas que lidem com dados pessoais e a proibicao expressa do compartilhamento de contas e senhas entre funcionarios.

Construir essa barreira exige entender quais contas proteger primeiro, como criar credenciais fortes e qual metodo de confirmacao de identidade oferece a melhor protecao para o porte da empresa.

Onde comecar: a hierarquia das contas criticas

Tentar alterar todas as senhas da empresa em uma unica tarde costuma gerar resistencia e falhas. O caminho mais eficiente e organizar as contas por impacto financeiro e operacional:

1. E-mail corporativo: e a chave mestra da empresa. Atraves da caixa postal dos administradores e possivel pedir a redefinicao de senha de quase todos os outros servicos contratados.
2. Contas bancarias e meios de pagamento: acessos a internet banking, plataformas de cobranca e adquirentes de cartao.
3. Sistemas centrais de operacao: software de emissao fiscal, CRM, paineis de hospedagem de sites e servidores em nuvem.
4. Redes sociais e canais de comunicacao: perfis oficiais e contas em aplicativos de mensagens utilizados para atendimento ao publico.

Se a sua equipe tiver pouco tempo hoje, foque exclusivamente nos e-mails principais e nas credenciais bancarias. Proteger essas duas frentes elimina os riscos mais destrutivos de curto prazo.

A estrutura de uma senha segura

Durante muito tempo, recomendou-se exigir que usuarios trocassem suas senhas a cada noventa dias e combinassem letras maiusculas, minusculas, numeros e simbolos complexos. O resultado pratico dessa regra antiga foram senhas faceis de esquecer, anotadas em papeis ao lado do teclado, ou variacoes previsiveis como mudar apenas o mes no final da palavra.

As diretrizes modernas de seguranca caminham no sentido oposto. O NIST SP 800-63B-4, documento do Instituto Nacional de Padroes e Tecnologia dos Estados Unidos emitido em sua versao final em julho de 2025 com diretrizes tecnicas para provedores de autenticacao, orienta os servicos a exigir no minimo 15 caracteres quando a senha e usada como unico fator de autenticacao, ou no minimo 8 caracteres quando combinada com a verificacao em duas etapas. O NIST tambem recomenda que os sistemas nao imponham regras arbitrarias de composicao nem forcem a troca periodica obrigatoria de senhas sem indicio de vazamento, permitam o uso de gerenciadores de senha e funcao de colar, e comparem as senhas escolhidas com listas de credenciais ja comprometidas.

O fasciculo Autenticacao publicado pelo CERT.br, o Centro de Estudos, Resposta e Tratamento de Incidentes de Seguranca no Brasil, em novembro de 2022, reitera que se deve usar uma senha diferente para cada conta. Senhas longas, formadas por frases ou sequencias de palavras faceis de memorizar para o usuario, porem dificeis de serem adivinhadas por maquinas, oferecem maior resistencia contra ataques automatizados.

Como organizar senhas sem planilhas compartilhadas

Guardar dezenas de senhas longas e unicas na memoria e inviavel. Deixar uma planilha compartilhada com senhas na rede interna ou no computador da recepcao cria um ponto unico de falha.

O fasciculo Autenticacao do CERT.br recomenda guardar senhas em gerenciadores de senhas, em papel armazenado em local seguro ou em arquivos criptografados. Para o ambiente de trabalho, o gerenciador de senhas e a solucao mais pratica. Ele armazena as credenciais em um cofre digital protegido por uma unica chave mestra robusta e preenche os dados nos navegadores e telefones autorizados.

Ao escolher um gerenciador de senhas para a equipe, avalie tres criterios principais:

• Recursos de compartilhamento controlado: permissao para que setores especificos acessem credenciais compartilhadas sem que precisem visualizar o texto da senha.
• Compatibilidade de plataformas: disponibilidade para os sistemas operacionais e navegadores usados pelos colaboradores.
• Historico de auditorias de seguranca e recursos de recuperacao de conta corporativa.

Autenticacao em duas etapas: qual escolher?

A autenticacao em duas etapas, tambem conhecida como MFA (Autenticacao Multifator, metodo que exige duas ou mais provas de identidade antes de conceder acesso), adiciona uma camada de protecao indispensavel caso a senha seja descoberta. Contudo, nem todos os metodos oferecem o mesmo nivel de defesa.

Segundo ficha tecnica divulgada pela CISA, a agencia de ciberseguranca e infraestrutura dos Estados Unidos, em outubro de 2022, qualquer forma de MFA e melhor do que nenhuma. No entanto, ha uma hierarquia clara de robustez tecnica:

Chaves de seguranca fisicas e passkeys (Mais fortes)

O padrao FIDO (Fast IDentity Online, padrao da industria para autenticacao resistente a fraudes) e o WebAuthn representam a tecnologia mais avancada. De acordo com a CISA, e a unica autenticacao resistente a phishing amplamente disponivel no mercado atual. O CERT.br tambem aponta que a chave de seguranca fisica (U2F, FIDO ou FIDO2) e a opcao mais segura de verificacao.

A FIDO Alliance define passkey como uma credencial baseada nesses mesmos padroes FIDO, resistente a phishing, que pode ficar vinculada a um dispositivo fisico ou ser sincronizada entre os dispositivos autorizados do usuario.

Aplicativos autenticadores e notificacoes push (Recomendados para PMEs)

Para empresas que ainda nao conseguem distribuir chaves fisicas para os colaboradores, a CISA destaca que codigos gerados por aplicativos autenticadores ou tokens, alem de notificacoes push com correspondencia de numero na tela, sao as melhores alternativas praticas.

Esses aplicativos geram codigos temporarios de seis digitos diretamente no celular do usuario, sem depender de redes de telefonia.

SMS e chamadas de voz (Ultimo recurso)

O envio de codigos por SMS (o servico tradicional de mensagens de texto das operadoras) ou ligacao telefonica deve ser visto estritamente como ultimo recurso. A CISA e o CERT.br alertam que o SMS e a voz sao vulneraveis a ataques de phishing, falhas no protocolo SS7 (o sistema de sinalizacao de telecomunicacoes) e a troca indevida de SIM (o chip da operadora do celular). Se um servico nao oferecer outro meio, ative o SMS, mas migre para aplicativos assim que a opcao estiver disponivel.

O CERT.br tambem destaca a necessidade de gerar e guardar os codigos de backup fornecidos no momento em que a verificacao em duas etapas e ativada. Sem esses codigos, a perda do celular pode bloquear o acesso legitimo a conta.

Como reconhecer phishing no cotidiano da empresa

Nenhuma ferramenta tecnica funciona se o colaborador entregar a credencial de livre vontade aos criminosos. O fasciculo Golpes: Evite Fraudes do CERT.br define phishing como uma fraude na qual golpistas combinam engenharia social com recursos tecnicos para obter dados pessoais, financeiros ou de acesso.

Para orientar a equipe contra esse tipo de golpe, fixe as seguintes diretrizes internas:

• Digite o endereco no navegador: nunca clique em links enviados por e-mail ou mensagens instantaneas para acessar bancos ou sistemas. O CERT.br orienta digitar a URL diretamente na barra de enderecos.
• Desconfie ate de contatos conhecidos: mensagens com tom de urgencia, solicitacoes de pagamentos inesperados ou pedidos de dados que venham de parceiros ou colegas podem ter origem em contas ja invadidas.
• Cuidado com pagamentos via QR Code: antes de confirmar pagamentos, confirme o valor exato e os dados do destinatario, como o CNPJ (Cadastro Nacional da Pessoa Juridica) e a razao social informada.
• Aplicativos apenas de fontes oficiais: instale programas e aplicativos exclusivamente por meio das lojas e canais oficiais dos fabricantes.
• Nunca repasse codigos: o fasciculo Autenticacao do CERT.br e enfatico ao orientar que senhas e codigos de verificacao recebidos por mensagem, e-mail ou ligacao nunca devem ser informados a terceiros, sob pretexto algum.

Roteiro de 30 minutos para proteger contas criticas

Reserve meia hora na agenda da gestao para executar estes passos nas credenciais centrais do negocio:

1. Minuto 0 ao 10: Acesse a conta de e-mail do administrador principal da empresa. Troque a senha por uma combinacao longa e sem relacao com a empresa. Ative a verificacao em duas etapas utilizando um aplicativo autenticador no smartphone. Salve os codigos de backup gerados em local seguro.
2. Minuto 10 ao 20: Repita o processo na conta do banco principal da empresa. Certifique-se de que os acessos dos operadores financeiros sao individuais, sem senhas compartilhadas entre tesouraria e contabilidade.
3. Minuto 20 ao 25: Elimine imediatamente credenciais salvas em documentos de texto desprotegidos ou bilhetes fisicos colados em monitores do escritorio.
4. Minuto 25 ao 30: Alinhe verbalmente com quem realiza pagamentos e compras que nenhuma transferencia fora do padrao sera feita apenas com base em mensagens de texto ou e-mail, exigindo confirmacao por outro canal interno.

O proximo passo para consolidar a protecao da sua operacao e fazer um levantamento de quais colaboradores usam contas compartilhadas em sistemas criticos e substituir esses acessos por usuarios individuais com segundo fator ativado.