Ninguém acorda a pensar que hoje lhe vão roubar a conta do email. A coisa costuma começar de forma muito mais aborrecida. Chega uma mensagem com um código de verificação que não pedimos. Encolhemos os ombros, apagamos e seguimos para o pequeno-almoço.
Esse código não apareceu por acaso. Alguém, algures, acabou de escrever a nossa palavra-passe num ecrã de início de sessão.
Quem ataca raramente adivinha
Há uma ideia antiga de que os ataques a palavras-passe são feitos por génios da informática a testar combinações durante noites inteiras. Isso existe, chama-se força bruta, mas hoje é a técnica menos usada contra pessoas comuns. Dá demasiado trabalho.
O mais frequente é aproveitar palavras-passe que já foram roubadas noutro lado. Sempre que um site é atacado, listas com milhões de emails e palavras-passe acabam à venda. Os atacantes pegam nessas listas e experimentam as mesmas combinações em dezenas de outros serviços, de forma automática. Chama-se credential stuffing, e funciona por um motivo simples: muita gente usa a mesma palavra-passe no email, no Facebook e na loja online onde comprou um aspirador em 2019.
Depois há o password spraying, que faz o inverso. Em vez de muitas palavras-passe para uma conta, testa uma ou duas palavras-passe muito comuns em milhares de contas diferentes. “Benfica2024”, por exemplo. Ou “Portugal123”. Infelizmente, rende.
E há o phishing, que continua a ser o clássico. Um email que parece dos CTT, uma mensagem que parece do banco, um link que leva a uma página igualzinha à verdadeira.
Os sinais de que alguém está a tentar entrar
Códigos de verificação que não pediram. É o sinal mais claro de todos. Se o código chegou, a palavra-passe muito provavelmente já foi usada por outra pessoa. O que travou a entrada foi a verificação em dois passos, e ainda bem que estava ligada.
Pedidos de aprovação repetidos no telemóvel. Algumas apps mandam uma notificação a perguntar “É você a tentar entrar?”. Quando aparecem cinco, dez, vinte seguidas, estamos perante uma técnica com nome próprio: a fadiga de MFA. O atacante aposta que, cansados ou distraídos, acabamos por carregar em “Sim” só para aquilo parar. Foi assim que, em 2022, alguém entrou nos sistemas internos da Uber.
Emails de “repor palavra-passe” que não pediram. Às vezes é só um engano. Às vezes é alguém a testar se o email existe e se a conta está mal protegida.
Alertas de início de sessão de sítios estranhos. Uma ligação a partir de outro país, de um telemóvel que não reconhecemos, às quatro da manhã.
Amigos a dizer que receberam mensagens esquisitas da nossa parte. Aqui o ataque já não é tentativa, já aconteceu. Em Portugal, o golpe do “Olá mãe, mudei de número” no WhatsApp tornou-se conhecido precisamente por começar com contas comprometidas e contactos enganados.
O que fazer quando um destes sinais aparece
Primeiro, não entrar em pânico. Segundo, não clicar em nada que tenha chegado por email ou SMS. Abram a app oficial ou escrevam o endereço do site à mão.
Depois, mudem a palavra-passe da conta afetada e de todas as outras onde usavam a mesma. É chato, mas é exatamente aí que o problema se espalha. Terminem todas as sessões abertas; a maioria dos serviços tem essa opção nas definições de segurança. E, se ainda não o fizeram, liguem a verificação em dois passos, de preferência com uma app de autenticação em vez de SMS.
Vale também a pena ir ao Have I Been Pwned, um site gratuito criado pelo investigador Troy Hunt, e escrever lá o vosso email. Diz-vos em que fugas de dados conhecidas o vosso endereço apareceu. A primeira vez costuma ser uma surpresa desagradável.
Uma palavra-passe forte não é o que nos ensinaram
Durante anos disseram-nos que uma boa palavra-passe tinha maiúsculas, números, símbolos e era mudada a cada três meses. O NIST, o instituto norte-americano que define muitas destas regras, já mudou de posição há algum tempo. O que conta mais é o comprimento, e as mudanças obrigatórias e frequentes acabam por levar as pessoas a escolher palavras-passe mais fracas e previsíveis.
Na prática, uma frase longa e estranha (“cadeira-azul-come-tremoços-ao-domingo”) é muito mais difícil de quebrar do que “P@ssw0rd!” e muito mais fácil de lembrar. Melhor ainda é usar um gestor de palavras-passe, que cria e guarda uma diferente para cada site. Esta regra aplica-se a todos os serviços online, desde as redes sociais e lojas virtuais até plataformas como a crowngreen, onde convém manter credenciais únicas e ativar todas as opções de segurança disponíveis. Muitos serviços já aceitam também chaves de acesso (passkeys), que dispensam a palavra-passe e não podem ser apanhadas num site falso.
Se a conta já foi levada
Contactem o serviço pelos canais oficiais e avisem os vosso contactos de que qualquer mensagem pedindo dinheiro não é vosso. Se houver burla ou prejuízo financeiro, apresentem queixa às autoridades. O Centro Nacional de Cibersegurança (CNCS) tem informação útil e canais para reportar incidentes.
E da próxima vez que chegar um código que não pediram, não o apaguem logo. Abram a conta, vejam as sessões ativas e mudem a palavra-passe ali mesmo. São dois minutos. Quem estava do outro lado contava que não os gastasse.
