O fascículo "Autenticação" da Cartilha de Segurança para Internet, mantida pelo CERT.br (NIC.br), reúne orientações sobre como criar e armazenar senhas de forma segura e sobre o papel dos gerenciadores de senhas. Segundo a cartilha, usar uma senha diferente para cada conta é essencial, pois a reutilização permite que um invasor que descubra uma única senha — por vazamento, phishing ou força bruta — tente a mesma combinação em outras contas da vítima. Senhas fortes devem ser longas (a cartilha sugere, por exemplo, a combinação de três palavras aleatórias), misturar letras maiúsculas, minúsculas, números e símbolos, e evitar sequências de teclado, nomes, sobrenomes, datas e qualquer informação que a pessoa divulgue em redes sociais. Para não depender da memória, o documento recomenda o uso de um aplicativo gerenciador de senhas, que cria e armazena senhas únicas e complexas para cada conta, evitando que o usuário recorra a senhas fracas "para não esquecer" ou guarde as credenciais de contas importantes diretamente no navegador.
Por que isso importa para uma PME brasileira: na prática da maioria das pequenas empresas, funcionários reutilizam a mesma senha (ou pequenas variações dela) entre o e-mail corporativo, sistemas internos, redes sociais da empresa e até contas pessoais — exatamente o cenário que um vazamento em qualquer um desses serviços transforma em porta de entrada para todos os outros. Como mostram as próprias matérias de vazamento de dados que o AZ News acompanha, basta uma senha reaproveitada aparecer em um vazamento de terceiros para que ela seja testada, de forma automatizada, contra o e-mail e os sistemas da empresa (uma técnica chamada "credential stuffing"). Um gerenciador de senhas resolve esse problema na raiz, sem exigir que ninguém memorize dezenas de combinações complexas.
O que fazer agora: adote um gerenciador de senhas — pago ou gratuito — como padrão para todos os colaboradores e defina como política que cada sistema da empresa (e-mail, ERP, internet banking, redes sociais, nuvem) tenha uma senha única e gerada pelo próprio gerenciador. Oriente a equipe a nunca salvar senhas de contas críticas diretamente no navegador, a nunca permitir login automático em contas importantes e a trocar imediatamente qualquer senha reutilizada que apareça em um vazamento conhecido (o próprio haveibeenpwned.com permite checar isso). Reforce também que senhas e códigos de verificação nunca devem ser compartilhados por telefone, e-mail ou mensagem, mesmo que o contato pareça legítimo — e combine esse hábito com a verificação em duas etapas, que o AZ News já abordou em outro guia, para uma defesa em camadas.
Fonte primária: fascículo "Autenticação" da Cartilha de Segurança para Internet, CERT.br/NIC.br.
