A tranca barata que evita o prejuízo caro: senhas e verificação em duas etapas

Imagine que você chega no escritório numa segunda de manhã e descobre que alguém entrou no e-mail da empresa durante o fim de semana. Leu conversas, viu contratos, respondeu mensagens se passando por você, e mandou um boleto falso para um cliente pagar. Ninguém arrombou a porta. Ninguém invadiu o prédio. A pessoa simplesmente entrou com a senha certa, como se fosse dona da conta.

Essa cena acontece com empresas de todos os tamanhos, toda semana, e quase sempre a reação é a mesma: "mas como, se a senha era só minha?". A resposta incomoda, mas é importante entender, porque é ela que explica por que a senha, sozinha, não protege mais a sua empresa. E também explica por que existe uma proteção simples, barata e que a maioria das empresas ainda não usa direito.

Vamos por partes, em linguagem de dono de negócio, sem tecniquês.

Por que a senha sozinha não basta mais

A senha é como a chave da porta da sua empresa. Faz sentido ter uma. O problema é que, no mundo digital de hoje, essa chave vaza o tempo todo, e na maioria das vezes não é culpa de ninguém ter feito algo errado.

As senhas vazam de várias formas. A mais comum é o vazamento de dados de outros sites. Você e sua equipe usam o mesmo e-mail para se cadastrar em dezenas de serviços, lojas, sistemas. Quando um desses serviços é invadido, e isso acontece com frequência com empresas grandes que você nem imagina, os e-mails e senhas cadastrados lá vão parar em listas que circulam entre criminosos. Se alguém da sua equipe usou a mesma senha do e-mail da empresa naquele site que vazou, pronto: a chave da sua porta está numa lista, à venda.

Outra forma é o reuso de senha. As pessoas têm dificuldade de decorar muitas senhas, então repetem a mesma em vários lugares. Aí basta uma vazar para todas as portas que usam aquela senha ficarem abertas.

E tem o phishing, aquele golpe do e-mail falso que convence a pessoa a digitar a senha numa página que parece verdadeira mas é armadilha. A gente já falou em detalhe sobre como esses golpes funcionam no artigo sobre phishing, e vale a leitura, porque é um dos caminhos mais usados para roubar senhas de empresas.

O ponto é este: por mais forte que seja a senha, e por mais cuidadosa que seja a sua equipe, a senha é um segredo que pode ser descoberto, roubado ou vazado sem que você perceba. Confiar só nela é confiar que uma única tranca vai segurar a porta para sempre. E não vai.

A segunda tranca: o que é a verificação em duas etapas

Aqui entra a solução, e ela é mais simples do que parece. A verificação em duas etapas é, literalmente, uma segunda tranca na mesma porta. Depois de digitar a senha, o sistema pede uma segunda confirmação, algo que só você tem naquele momento.

Na prática, funciona assim: a pessoa digita a senha normalmente, e aí o sistema pede um código extra. Esse código pode chegar por mensagem no celular, ou ser gerado por um aplicativo no telefone (os chamados aplicativos autenticadores), ou ainda vir de uma notificação que você aprova com um toque na tela. Sem esse segundo passo, o acesso não é liberado, mesmo que a senha esteja correta.

Agora pense no criminoso que roubou ou comprou a senha da sua empresa numa daquelas listas. Ele senta na frente do computador, digita o e-mail e a senha certos, e o sistema pede o código que só chega no seu celular. Ele não tem o seu celular. A porta continua trancada. A senha, sozinha, não serviu para nada.

É isso que a verificação em duas etapas faz: ela transforma a senha roubada em algo inútil. O invasor teria que ter a sua senha e o seu celular na mão, ao mesmo tempo, o que é muito mais difícil. Para a imensa maioria dos ataques, essa segunda tranca simplesmente encerra o assunto.

A proteção com o melhor custo-benefício que existe

Aqui está a parte que mais surpreende o dono de empresa: essa proteção, que evita alguns dos prejuízos mais caros do mundo digital, é quase sempre gratuita e leva minutos para ativar.

A verificação em duas etapas já vem disponível, sem custo adicional, nos serviços que a sua empresa mais usa. O e-mail, o Microsoft 365, o WhatsApp, o banco, a maioria dos sistemas de gestão, todos oferecem o recurso. Não é preciso comprar nada, não é preciso instalar equipamento caro. É um recurso que já está lá, esperando ser ligado.

Agora compare isso com o tamanho do prejuízo que ela evita. Uma conta de e-mail invadida pode virar um golpe de boleto que custa dezenas de milhares de reais a um cliente seu, e mancha a sua reputação. Um WhatsApp clonado pode ser usado para pedir dinheiro em nome da empresa a fornecedores e clientes. Um acesso indevido ao sistema de gestão pode expor dados sigilosos e gerar um problema sério de vazamento, com todas as consequências que isso traz.

Do lado do custo, poucos minutos e nenhum ou quase nenhum dinheiro. Do lado do risco evitado, prejuízos que podem chegar a valores que assustam. Não existe muita coisa em segurança com um retorno tão claro. É a tranca barata que evita o prejuízo caro.

Por onde começar: os pontos mais críticos

Ativar a verificação em duas etapas em tudo de uma vez pode parecer trabalhoso, então o caminho certo é começar pelos pontos onde um acesso indevido causaria o maior estrago. Esses são as prioridades:

O e-mail da empresa é o número um. O e-mail é a chave-mestra do mundo digital, porque é por ele que se recupera a senha de quase todos os outros serviços. Quem controla o seu e-mail consegue, com paciência, chegar em quase tudo o mais. Proteger o e-mail com a segunda tranca é a ação de maior impacto.

O Microsoft 365 ou o Google Workspace vêm logo em seguida, porque concentram os e-mails, os arquivos, o Teams e boa parte da operação. Vale lembrar que configurar esse ambiente com segurança vai além da verificação em duas etapas, e a gente detalhou isso no artigo sobre como configurar o Microsoft 365 com segurança, que trata das proteções que todo ambiente deveria ter.

O WhatsApp usado pela empresa também merece a segunda tranca, porque o golpe do WhatsApp clonado, em que o criminoso se passa pela empresa para pedir dinheiro, é um dos mais comuns hoje. O próprio WhatsApp tem essa proteção nas configurações, e ativar leva um minuto.

E, por fim, os acessos ao banco e aos sistemas de gestão que guardam dados sensíveis ou movimentam dinheiro. Onde há dinheiro ou dado crítico, a segunda tranca não é opcional.

O que separa ativar de proteger de verdade

Aqui chegamos a um ponto importante, e honesto. Ativar a verificação em duas etapas num aparelho, na sua conta, é fácil e você mesmo consegue fazer. Mas proteger uma empresa inteira, com toda a equipe, de forma organizada e sem virar bagunça, é outra história.

Numa empresa, surgem perguntas que não têm resposta óbvia. Como garantir que todos os funcionários ativaram, e não só alguns? O que acontece quando um funcionário troca de celular, ou perde o aparelho, e fica travado para fora da própria conta? Como ativar essa proteção sem atrapalhar o dia a dia de quem precisa trabalhar rápido? Como manter isso funcionando quando entra gente nova e sai gente da equipe?

É aqui que um parceiro de TI faz a diferença. Não se trata só de ligar um recurso. Trata-se de implantar a proteção em toda a empresa de forma planejada, garantindo que todos estão cobertos, deixando um caminho definido para quando alguém troca de aparelho, e fazendo tudo isso sem travar a operação. É a diferença entre "a gente ativou numa conta ou outra" e "a empresa inteira está protegida, de forma organizada e monitorada".

Uma tranca só na porta da frente, enquanto os fundos ficam abertos, não protege a casa. A segurança de verdade é garantir que todas as portas certas estão trancadas, e que continuam assim conforme a empresa muda.

Vale checar como está a sua empresa hoje

A verificação em duas etapas é uma das proteções mais simples e mais poderosas que existem, e mesmo assim é comum encontrar empresas onde ela está ativa só em algumas contas, ou em nenhuma. Não porque os donos não se importam, mas porque no corre-corre do dia a dia ninguém parou para organizar isso.

Se você não tem certeza de como está a sua empresa, de quais contas estão protegidas e quais estão com só uma tranca na porta, vale fazer uma verificação. É melhor descobrir a porta aberta antes que alguém entre por ela.

A Hype oferece um diagnóstico de segurança que mostra, em linguagem de negócio, onde a sua empresa está protegida e onde está exposta, incluindo a questão dos acessos e das senhas. Faça o diagnóstico e descubra quais portas da sua empresa ainda estão com uma tranca só.