O CERT.br, grupo de resposta a incidentes mantido pelo NIC.br, dedica um fascículo inteiro de sua Cartilha de Segurança para Internet à verificação em duas etapas — também chamada de autenticação em dois fatores ou 2FA —, o recurso opcional oferecido por webmail, redes sociais, internet banking e serviços de armazenamento em nuvem que exige uma segunda comprovação de identidade além da senha. Segundo a cartilha, a senha isolada pode não ser suficiente porque pode ser descoberta por engenharia social, observação direta, uso de senhas fracas, phishing, computadores infectados ou tráfego sem criptografia. Com a verificação em duas etapas ativada, um invasor precisaria tanto da senha quanto de vencer essa segunda camada — que pode ser algo que você sabe (um PIN), algo que você possui (um celular, token ou cartão) ou algo que você é (biometria) —, o que torna a invasão bem mais difícil mesmo com a senha em mãos.
Por que isso importa para uma PME brasileira: a maioria dos incidentes que afetam pequenas empresas não começa com um ataque sofisticado, mas com uma senha fraca, reutilizada ou roubada por phishing em um único e-mail corporativo, conta de internet banking ou painel de administração. Sem uma segunda camada de verificação, essa única senha vazada já é suficiente para o criminoso acessar a conta, desviar pagamentos, sequestrar o e-mail da empresa para aplicar golpes contra clientes e fornecedores, ou abrir caminho para um ataque maior. A verificação em duas etapas é, na prática, uma das defesas de maior custo-benefício disponíveis: na grande maioria dos serviços ela é gratuita, simples de ativar e reduz drasticamente a chance de uma senha comprometida se transformar em um incidente real.
O que fazer agora: ative a verificação em duas etapas hoje mesmo no e-mail corporativo, no internet banking da empresa, nos painéis de redes sociais e em qualquer serviço de nuvem que armazene dados de clientes — comece por essas contas, que costumam ser as mais críticas. Prefira um aplicativo autenticador a receber código por SMS sempre que o serviço oferecer essa opção, já que o SMS depende da operadora e pode falhar em viagens ou áreas sem cobertura. Gere e guarde os códigos de backup e a chave de recuperação em local seguro e físico (anotados ou impressos), nunca apenas no próprio celular, e nunca informe esses códigos por telefone ou e-mail para ninguém, mesmo que a pessoa diga representar o banco ou o serviço. Por fim, defina como política da empresa que todo colaborador com acesso a sistemas financeiros ou dados de clientes deve ativar a verificação em duas etapas em suas contas de trabalho.
Fonte primária: fascículo "Verificação em Duas Etapas" da Cartilha de Segurança para Internet, CERT.br/NIC.br.
