Segurança das tuas contas: phishing, palavras-passe e 2FA

Antes de Clicar · Mês da Cibersegurança 3/5

A segurança das tuas contas assenta em três hábitos simples: parar antes de responder a mensagens com pressa, usar uma palavra-passe diferente em cada serviço e ativar a verificação em dois passos. Com isto em dia, um clique errado já tem um plano de resposta.

Outubro é o Mês Europeu da Cibersegurança, e este guia faz parte da série “Antes de Clicar”. Vai por ordem. Primeiro percebes como funciona a isca, depois fechas as portas e, no fim, ficas a saber o que fazer se alguém entrar.

Primeiro, aprende a reconhecer a isca

Uma mensagem de phishing imita alguém em quem confias. Pode parecer o teu banco, a operadora, uma loja online ou uma transportadora com uma encomenda à tua espera. O objetivo é levar-te a entregar um dado que abre uma conta.

O sinal mais fiável está naquilo que a mensagem te pede. Desconfia quando te pede para agir já, com um prazo curto ou uma ameaça de bloqueio. Desconfia quando pede a palavra-passe, um código, o PIN ou os dados do cartão. O mesmo vale para a página que pede login logo à entrada e para o contacto que não bate certo com o habitual.

Um logótipo bem copiado e um português correto já não chegam para separar o verdadeiro do falso. A regra prática fica assim: quando uma mensagem te pede alguma coisa, fechas a mensagem e vais tu ao sítio certo.

Uma mensagem sem links também pode ser isco

Há burlas que chegam sem link nenhum, feitas para passar por quem já aprendeu a desconfiar deles.

Um exemplo conhecido: um SMS avisa que foi feita uma compra que não reconheces e pede-te para ligares para um número “para cancelar”. Do outro lado, alguém simpático e muito seguro guia-te até lhe dares um código. Outra versão diz apenas “mais detalhes online” e espera que procures a página errada.

A defesa serve para todos os casos: confirma por um canal que tu escolhes. Abre a app do banco, liga para o número que está no verso do cartão ou entra no site escrevendo tu o endereço. O número ou o contacto que vem na mensagem fica de fora, mesmo que pareça oficial.

MB WAY e códigos por SMS: onde está o sinal

Pedir ou enviar dinheiro pelo MB WAY entre pessoas que se conhecem é normal. Dividir um jantar ou pagar a tua parte de um presente faz parte do dia a dia.

A burla aparece quando alguém te pede para “confirmar”, “receber” ou “validar” uma operação com um código ou com o PIN. Para receberes dinheiro, não tens de introduzir código nenhum. Outra variante chega de alguém que diz ser o teu filho ou a tua mãe, com um número novo e muita urgência. Aí, liga para o número que já tinhas guardado antes de fazeres seja o que for.

Com os códigos por SMS passa-se o mesmo. Um código só é legítimo se foste tu que o pediste, naquele momento. Nenhum banco, loja, operadora ou estafeta te liga ou escreve a pedir que o leias em voz alta. Se alguém o pede, a conversa acaba ali.

Uma palavra-passe diferente para cada porta

Quando a mesma palavra-passe serve em vários sites, basta uma fuga de dados num deles para as outras contas ficarem expostas. Os burlões experimentam as combinações roubadas noutros serviços, de forma automática.

A saída prática é um gestor de palavras-passe. Ele cria palavras-passe longas e únicas para cada serviço e guarda-as por ti. Tu só precisas de memorizar uma, a que abre o próprio gestor.

Para essa, usa uma frase-passe feita de várias palavras escolhidas ao acaso, sem ligação entre si. Evita tudo o que tenha a ver contigo: nomes da família, a rua onde cresceste, datas, anos ou números com significado. É isso que um burlão experimenta primeiro, porque muitas vezes está à vista nas tuas redes sociais.

Começa pelas contas que abrem as outras: o email principal e o banco. Quem controla o teu email consegue pedir a recuperação de quase tudo o resto.

A verificação em dois passos, explicada sem susto

A verificação em dois passos (também chamada 2FA) junta uma segunda prova à palavra-passe. Mesmo que alguém descubra a tua palavra-passe, fica parado à porta sem essa segunda prova.

Há várias formas de a receber. Uma app de autenticação no telemóvel é a opção mais sólida, porque os códigos ficam no teu aparelho. O código por SMS é melhor do que nada e continua a valer a pena quando é a única opção que o serviço te dá.

Ativa-a primeiro no email, depois no banco e nas redes sociais. Guarda os códigos de recuperação num sítio seguro, fora do telemóvel, para o dia em que o trocas ou o perdes.

Se algo correr mal, segue esta ordem

Clicaste, respondeste ou deste um código? Acontece a pessoas atentas, e estes esquemas são montados por quem faz disto profissão. O que conta agora é a rapidez e a ordem.

Um: muda a palavra-passe a partir de outro dispositivo, de preferência um que saibas que está limpo. Dois: termina as sessões abertas nas definições da conta, para expulsar quem lá esteja. Três: ativa a verificação em dois passos, se ainda não estava ligada.

Quatro: liga ao banco pelo número oficial, para bloquear o cartão ou travar operações. Cinco: guarda as provas (mensagens, números, capturas de ecrã e horas). Seis: apresenta queixa na PSP, na GNR ou na PJ, com as provas que juntaste.

Contar cedo ao banco e às autoridades dá-te mais hipóteses de travar o problema.

Três coisas para fazer hoje

Se tratas de dinheiro no telemóvel, estes hábitos protegem-te em cada app que usas. Hoje mesmo dá para fazer três coisas em pouco tempo: instalar um gestor de palavras-passe, trocar a palavra-passe do email e ligar a verificação em dois passos por app.

A partir daí, que resposta dás a uma mensagem com pressa? Fechas a mensagem sem tocar em nenhum link, abres tu a app oficial do serviço e confirmas lá se o pedido existe mesmo.

Para a semana: engenharia social a fundo, e como ajudar os teus pais.