Senhas previsíveis: uma receita para o fracasso

As senhas são uma dor de cabeça para todos, mas convenhamos, precisamos delas. E elas não vão desaparecer tão rápido quanto a Microsoft gostaria. Por enquanto, contaremos com elas para o futuro imprevisível. Você pode ter 50, 100 ou até 200 contas online, mas quantas senhas você tem? Todasa são únicas? Aqui está uma anedota que sugere que as pessoas ainda usam poucas senhas personalizadas para acessar a maioria de suas contas.

Há alguns meses, participei de uma conferência organizada por uma empresa de gestão de patrimônio para a qual fui convidado para falar sobre segurança cibernética. A plateia era de mais de 50 pessoas, e quando mencionei “senhas”, eles fizeram o que a maioria das pessoas faz quando falo sobre o assunto: começaram a olhar de lado, evitando contato visual, esperando que não apontassem para eles falarem. Percebi instantaneamente que a linguagem corporal deles estava me dizendo que eles não estavam seguindo as práticas recomendadas quando se tratava de usar e criar senhas, então decidi me aprofundar um pouco mais e fiz perguntas sobre como eles gerenciavam suas credenciais. Algumas respostas foram muito interessantes.

Em primeiro lugar, perguntei se alguém usava um gerenciador de senhas. Um membro da platéia levantou a mão e disse que só estava fazendo isso porque tinha ouvido uma de minhas palestras no passado (fiquei honrado!). Portanto, 98% das pessoas na sala não usavam um gerenciador de senhas ou tinham um sistema para cuidar de suas contas. Perguntei então como eles gerenciavam suas contas online, e vários disseram que usavam as mesmas três ou quatro senhas, incluindo informações pessoais como datas especiais ou nomes significativos. Sim, foi terrível.

Decidi realizar um pequeno experimento em tempo real com a ajuda de um voluntário. Comprovei em várias ocasiões que em momentos como esses experimentos da “vida real” fazem maravilhas porque, se funcionarem, fazem com que os membros da platéia façam sua lição de casa antes de ir para a cama naquela mesma noite.

Com sua permissão, procurei este senhor no Facebook e rapidamente o encontrei. Localizei todo o seu conteúdo público e fiz uma lista no quadro de possíveis senhas que imaginei que ele poderia estar usando. Anotei lugares de interesse, nomes de animais de estimação, nomes de crianças, datas de interesse, times esportivos, livros, música... bem, todas as possibilidades clássicas. Eu tinha cerca de 20 palavras e números diferentes em uma lista e aqui vem a parte chocante em que senti como se tivesse encontrado um tesouro enterrado.

Enquanto ele olhava para mim boquiaberto, disse que não apenas eu havia decifrado uma de suas senhas, mas também encontrado iterações de três das quatro senhas que ele "usa para tudo". Mais tarde, descobri que faltava às iterações uma letra maiúscula no início e um número no final (típico, certo?). Esse número era sempre o mesmo: a data do mês em que ele nasceu. A multidão ficou intrigada por eu ter decifrado suas senhas, mas eu não. Esse é um comportamento padrão, e os cibercriminosos também sabem disso.

Então surge a pergunta: por que uma pessoa, e especialmente se ela tem acesso a uma grande quantidade de riqueza, dados e meios de subsistência, ainda hoje escolhe usar uma senha que é fraca em tantos níveis?

O futuro

Qual é o futuro das senhas? Somos realmente capazes de ir onde os humanos ainda não se aventuraram e tentar viver em uma sociedade sem senhas? Ou você acredita, como eu, que as senhas e o uso de senhas realmente têm um lugar na cibersociedade e, quando bem usados, são realmente uma vantagem? Ao contrário dos dados biométricos, não há limite para o número de senhas que uma pessoa pode ter. Além disso, é possível armazená-las em um gerenciador de senhas e até usá-lo para gerar chaves. Também é extremamente fácil acessar a uma conta usando uma senha em combinação com a autenticação de dois fatores, como pode ser o uso de um aplicativo de autenticação ou uma chave de segurança, mesmo para um usuário básico. Na verdade, meus pais, na casa dos 70 anos, usam gerenciadores de senhas junto com aplicativos de autenticação baseados em telefone para todas as contas que permitem, e sempre me dizem como é fácil para eles!

Uma violação de dados em um serviço no qual você tem uma conta pode ser suficiente para um criminoso obter acesso a todas as suas contas, caso você reutilize suas senhas regularmente. Portanto, você pode querer manter suas senhas em um local seguro. Muitas pessoas usam o gerenciador de chaves da Apple ou simplesmente os salvam no navegador. No entanto, se o seu dispositivo for roubado e não tiver criptografia completa de disco, se ele cair em mãos erradas, os criminosos ainda poderão ter acesso ao mesmo, apesar de não saber qual é a senha. Por esse motivo, usar um gerenciador de senhas de terceiros em vários dispositivos pode ser mais benéfico.

Em dispositivos Apple, outra dica importante para manter seus dados protegidos de olhares indiscretos ou vazamentos de dados é usar um recurso que permite ocultar seu endereço de e-mail para externos. “Entrar com a Apple” permite anonimizar seu endereço ao fazer login em serviços que suportam o recurso. De fato, foi lançada recentemente uma atualização que permite aos usuários do iCloud fazer uso do recurso “Hide My Email”, que faz exatamente o que o nome sugere, permitindo que você gere um endereço único, que encaminha os e-mails recebidos para sua conta real. Dessa forma, se seus dados forem comprometidos, seu endereço de e-mail permanecerá seguro!