Palavras-passe, 2FA e gestores: o mínimo que a tua equipa devia saber

Um cenário que vemos mais vezes do que gostaríamos: um serviço online qualquer sofre uma fuga de dados. Entre os dados roubados está o email de trabalho de um funcionário e a palavra-passe que usava lá. Essa mesma palavra-passe era a do seu correio empresarial. Ninguém precisou de engenharia social sofisticada nem de malware avançado: bastou experimentá-la.

É o padrão mais habitual de comprometimento de contas: as credenciais divulgadas de um serviço são testadas de forma automática noutros (aquilo a que se chama credential stuffing). Se usas a mesma palavra-passe em vários sítios, uma única fuga expõe-te em todos.

A solução não é memorizar palavras-passe mais complexas. A solução é um sistema de gestão de credenciais, e assenta em 3 práticas.

Prática 1: palavras-passe únicas, longas e aleatórias

A regra é simples: cada serviço tem a sua própria palavra-passe. Deve ser longa (20 caracteres ou mais) e gerada ao acaso. Não tentes memorizá-las: é para isso que serve o gestor.

Porque funciona?

Se houver uma fuga num serviço, os atacantes vão experimentar a tua palavra-passe no teu email, no teu banco e nas tuas ferramentas de trabalho. Se cada conta tiver uma palavra-passe diferente, o estrago fica limitado ao serviço afetado.

Como se aplica?

Com um gestor de palavras-passe, que gera e guarda palavras-passe únicas de forma automática. E para saberes se algum dos teus endereços de email já apareceu numa fuga conhecida, podes consultar o Have I Been Pwned.

Prática 2: um gestor de palavras-passe

Um gestor de palavras-passe (1Password, Bitwarden ou KeePass, entre outros) guarda todas as tuas credenciais num cofre cifrado. Acedes com uma palavra-passe mestra, a única de que tens de te lembrar.

Funções principais

• Geração de palavras-passe aleatórias para cada serviço.
• Preenchimento automático do início de sessão em sites e aplicações.
• Sincronização entre dispositivos.
• Armazenamento de outros dados sensíveis (chaves de API, números de conta).
• Partilha de credenciais com a equipa sem que ninguém tenha de ver a palavra-passe.
• Alertas de palavras-passe fracas, repetidas ou divulgadas.

O que acrescentam as versões para empresas

• Políticas de palavras-passe obrigatórias (comprimento mínimo, tipos de caracteres).
• Relatórios de quem tem acesso a quê.
• Revogação de acessos quando alguém sai da empresa.
• Integração com o início de sessão único (SSO) da empresa.

Como implementar

1. Escolhe o gestor. O Bitwarden é de código aberto e económico; o 1Password destaca-se pela facilidade de utilização. O LastPass sofreu uma falha de segurança grave em 2022, por isso, se o estás a considerar, informa-te bem antes de decidir.
2. Migra as palavras-passe. Cada pessoa transfere as suas; as ferramentas de importação a partir do browser facilitam muito.
3. Define a política. A partir de hoje, todas as palavras-passe novas vão para o gestor. As antigas são migradas e alteradas de forma progressiva, a começar pelas contas críticas.
4. Dá formação à equipa. Basta uma sessão de 30 minutos para ensinar a usar o preenchimento automático, gerar palavras-passe e partilhá-las.

Prática 3: autenticação de dois fatores (2FA ou MFA)

A palavra-passe é algo que sabes. O segundo fator é algo que tens (o telemóvel, uma chave física) ou algo que és (a tua impressão digital). Mesmo que alguém consiga a tua palavra-passe, sem o segundo fator não consegue entrar.

Métodos de 2FA, do mais seguro para o menos seguro

1. Chaves de segurança físicas e passkeys (YubiKey, Titan Security Key ou as chaves de acesso do próprio telemóvel). São a opção mais robusta e a única realmente resistente ao phishing: só respondem ao site legítimo, por isso uma página falsa não as consegue aproveitar.
2. Aplicações de autenticação (Google Authenticator, Microsoft Authenticator, Authy). Geram códigos temporários no próprio dispositivo. São mais seguras do que o SMS porque os códigos não passam pela rede telefónica.
3. Código por SMS ou chamada. Melhor do que nada, mas vulnerável à duplicação fraudulenta do cartão SIM (SIM swapping).
4. Email como segundo fator. É fraco: se comprometerem o teu email, comprometem os 2 fatores ao mesmo tempo.

Onde ativar o 2FA obrigatoriamente

• Email da empresa: quem controla o email consegue redefinir quase todas as outras palavras-passe.
• VPN e acessos remotos a sistemas.
• O próprio gestor de palavras-passe, que é a chave de tudo o resto.
• Sistemas com dados sensíveis (CRM com dados de clientes, ERP, contabilidade).
• Contas de administração da infraestrutura: alojamento, domínios e DNS, servidores, painel do site.
• Banca online.

Como implementar

A maioria dos serviços atuais permite ativar o 2FA nas definições de segurança da conta. Tem de ser feito serviço a serviço, a começar pela lista anterior. Se algum serviço crítico não o permitir, pondera se o risco justifica mudar de fornecedor. E explica à equipa como ler o código QR inicial e onde guardar os códigos de recuperação.

Resistências habituais e como lhes responder

“É incómodo procurar a palavra-passe no gestor sempre que preciso”

Os gestores atuais preenchem o início de sessão automaticamente. Acaba por ser mais rápido do que escrever. A adaptação mede-se em dias, não em meses.

“Se me esquecer da palavra-passe mestra, perco tudo”

Por isso os gestores oferecem mecanismos de recuperação: códigos de recuperação, um kit de emergência para imprimir e guardar num local seguro ou, nas versões para empresas, a recuperação de contas por um administrador.

“A minha equipa não é técnica, não vai usar isto”

Com formação adequada e uma política clara, vai usar. Torna-o obrigatório: sem gestor da empresa, não há acesso aos sistemas.

“O 2FA atrasa o dia a dia”

São cerca de 5 segundos: abrir a aplicação e escrever 6 dígitos. É insignificante comparado com o tempo que exige recuperar uma conta comprometida. E muitos serviços permitem marcar um dispositivo como de confiança durante algum tempo.

“E se perder o telemóvel com o autenticador?”

As principais aplicações de autenticação permitem fazer cópia de segurança ou transferir as contas para outro dispositivo. E os códigos de recuperação que cada serviço dá quando ativas o 2FA devem ser guardados no gestor de palavras-passe.

Política de segurança mínima para equipas

Um documento simples, de uma página, que cada pessoa da equipa lê e assina:

1. Palavras-passe: uso obrigatório do gestor da empresa. Uma palavra-passe única por serviço, nunca reutilizada. A palavra-passe mestra, longa, memorizada e nunca apontada no computador nem em post-its.
2. 2FA: ativado em todos os serviços que o permitam e obrigatório no email, na VPN, no gestor de palavras-passe e nos sistemas críticos. Aplicação de autenticação ou chave física em vez de SMS.
3. Dispositivos: ecrã bloqueado com PIN ou biometria sempre que te levantas do posto de trabalho. Atualizações do sistema operativo aplicadas num prazo máximo de 7 dias.
4. Phishing: nunca partilhar credenciais por email, chat ou telefone. Confirmar o endereço do site antes de iniciar sessão. Comunicar qualquer email suspeito.
5. Incidentes: se suspeitas que a tua conta foi comprometida, avisa de imediato o responsável de sistemas ou o teu fornecedor. Ninguém será penalizado por comunicar um erro de segurança.

Como confirmar que está a ser aplicada

• Relatórios do gestor: utilização real, palavras-passe fracas detetadas, palavras-passe repetidas.
• Simulações de phishing: envia emails de teste. Quem cair recebe formação adicional, não um raspanete.
• Revisão de acessos: registos de início de sessão que mostrem se o 2FA está a ser usado (ou se não está).
• Checklist de integração: uma pessoa nova não tem acesso a nada até ter o gestor configurado e o 2FA ativado nos sistemas críticos.

Perguntas frequentes

Quanto custa implementar isto?

O Bitwarden tem uma versão gratuita para uso pessoal, e os planos para empresas começam em cerca de 4 dólares por utilizador por mês. Para uma equipa de 10 pessoas, falamos de 40 a 60 dólares mensais, conforme o plano. Os preços mudam, por isso confirma-os no site de cada fornecedor. Comparado com o que custa uma falha de segurança (horas de trabalho, reputação, possíveis coimas ao abrigo do RGPD), é um valor pequeno.

Quanto tempo demora?

A migração inicial, de 1 a 2 horas por pessoa. A formação, de 30 a 60 minutos. A partir daí, passa a fazer parte da rotina.

O que acontece quando alguém sai da empresa?

Com um gestor empresarial, revogas o acesso dessa pessoa à conta e aos cofres partilhados. Não é preciso mudar todas as palavras-passe que foram partilhadas através do gestor, embora convenha mudar as dos sistemas mais críticos a que tinha acesso.

É 100% seguro?

Nada é. Os gestores também podem ter falhas, mas o risco de os usar é muito menor do que o de viver com palavras-passe repetidas e apontadas em post-its.

E se o pior já aconteceu e alguém entrou no teu site, vê aqui o que fazer quando o teu site foi pirateado.

Conclusão

Palavras-passe únicas, gestor de palavras-passe e 2FA. Não são medidas avançadas, são básicas. Mas fecham a porta ao vetor de ataque mais comum: as credenciais comprometidas.

Implementá-las não exige ser especialista em segurança: exige decisão, as ferramentas certas e uma formação mínima. E reduz muito a probabilidade de uma fuga de dados alheia acabar por se tornar um incidente teu.

A segurança das contas é só uma parte. Também convém saber onde ficam realmente guardados os dados dos teus clientes e quem tem acesso a eles.

Se queres implementar um gestor de palavras-passe empresarial, tornar o 2FA obrigatório nos teus sistemas ou dar formação básica de segurança à tua equipa, na Baqueiro ajudamos-te a fazê-lo sem complicações. A decisão de lhe dar prioridade é tua, mas quanto mais cedo, melhor. Vamos falar.