Primeiro, a boa notícia: você não precisa seguir cinquenta regras de segurança, trocar todas as senhas todo mês, nem decorar sequências como kX9#mQ2v. A maioria das invasões de contas acontece de uma forma bem específica, e três passos — todos possíveis em uma única noite — fecham esse caminho quase por completo.
Como as contas são realmente invadidas
Os atacantes raramente "quebram" a sua senha por tentativa e erro. Em vez disso, algum site em que você se cadastrou anos atrás sofre uma violação, sua lista de senhas vaza e, então, ferramentas automatizadas testam esse mesmo par de e-mail e senha em centenas de outros serviços — banco, e-mail, compras, redes sociais. O setor chama isso de credential stuffing, e funciona por um único motivo: a maioria das pessoas reutiliza senhas. Perceba o que isso significa. A força da sua senha quase não importa se você a reutilizou; uma obra-prima de vinte caracteres digitada em duzentos sites está a uma única violação de abrir todos os duzentos.
Passo 1 — Torne o e-mail e o banco únicos, ainda hoje
Sua conta de e-mail é a chave-mestra de todo o resto, porque é lá que caem os links de "esqueci minha senha": quem controla a sua caixa de entrada consegue redefinir o acesso ao restante da sua vida. Então, mesmo que você não mude mais nada, dê ao seu e-mail principal e à senha do seu banco senhas que não existam em nenhum outro lugar do mundo. Duas contas, dez minutos, e a reação em cadeia de qualquer futura violação para na porta que realmente importa.
Passo 2 — Deixe um gerenciador de senhas lembrar por você
Senhas únicas para tudo é um conselho impossível para a memória humana — e é exatamente por isso que os gerenciadores de senhas existem. O gerenciador gera uma senha aleatória diferente para cada site, preenche por você e tranca todo o cofre atrás da única frase-senha forte que você de fato decora. As opções integradas ao seu navegador ou celular (iCloud Keychain, Gerenciador de Senhas do Google) são ótimos pontos de partida; aplicativos dedicados acrescentam compartilhamento e um acabamento multiplataforma. O ponto não é qual deles usar — é que, depois da configuração, "qual é a minha senha?" deixa de ser um problema seu, e a reutilização desaparece como efeito colateral.
Passo 3 — Ative a autenticação em duas etapas nas contas que importam
A autenticação em duas etapas significa que uma senha roubada, por si só, já não basta para entrar. Ative-a no e-mail, no banco e nas suas principais redes sociais. Um aplicativo autenticador (ou o próprio aviso integrado do seu celular) é mais seguro do que os códigos por SMS — mensagens de texto podem ser interceptadas por golpes de troca de chip (SIM swap) —, mas o SMS ainda é muito melhor do que nada. E, onde um site oferecer chaves de acesso (passkeys), aceite-as: você entra com o rosto ou a impressão digital, não há senha para roubar, e páginas de phishing não têm nada para capturar.
A autorização: o que você pode parar de fazer
As orientações oficiais alcançaram a realidade anos atrás, e são mais tranquilas do que a lenda popular. As diretrizes atuais do NIST — os padrões seguidos pelas agências dos EUA — recomendam comprimento em vez de complexidade forçada (uma frase como "café-cavalo-janela-terça" vence "P@ssw0rd!") e não recomendam mais trocas programadas de senha: a rotação forçada só empurra as pessoas para Senha2024!, Senha2025!. Troque uma senha quando houver um motivo — um aviso de violação, um dispositivo compartilhado, um login suspeito — e não porque o calendário mandou.
- Hoje à noite (20 minutos): senhas únicas no e-mail + banco, duas etapas em ambos.
- Esta semana: ative o gerenciador de senhas e deixe-o capturar os logins conforme você os usa.
- Continuamente: quando um site oferecer uma chave de acesso (passkey), diga sim; quando chegar um e-mail de violação, troque aquela senha e todo lugar em que você a tinha reutilizado.
Três passos, uma noite, e o ataque responsável pela maior parte das invasões de conta do mundo real encontra todas as portas importantes trancadas.