Passwords, MFA e Gestores de Passwords: Guia para Equipas

Se a segurança digital de uma equipa fosse um edifício, as passwords seriam a porta da rua — e na maioria das empresas essa porta está fechada com um laço de presente. A causa raramente é negligência grave; é a acumulação de pequenas conveniências: a mesma password "forte" em vinte sítios, o pós-it digital no bloco de notas, o "123" acrescentado quando o sistema obriga a mudar. Este guia arruma o assunto de uma vez: o que realmente protege, o que é teatro, e como pôr uma equipa inteira em ordem numa semana.

O que mudou: já não adivinham, roubam

O modelo mental de "password forte contra adivinhação" está desatualizado. O ataque dominante hoje é outro: credenciais roubadas em massa a um serviço qualquer (aquele fórum de 2017) e testadas automaticamente em centenas de outros, o chamado credential stuffing. Contra este ataque, a força da password é irrelevante; o que conta é a unicidade. A password mais forte do mundo, reutilizada, vale zero no dia em que um dos sites onde vive é comprometido. E com a IA a industrializar o phishing, roubar diretamente também nunca foi tão barato.

A hierarquia do que funciona

1. Gestor de passwords (a fundação). Gera e lembra passwords únicas e longas para tudo; você decora uma única password-mestra. Resolve o problema humano (memória) que causa o problema técnico (reciclagem). Os receios habituais têm resposta: sim, é mais seguro pôr os ovos num cofre auditado do que espalhá-los em vinte cestos furados; e as versões de equipa permitem partilhar acessos sem enviar passwords pelo chat, que é onde hoje vivem, à vista de qualquer intruso futuro.
2. MFA onde importa (o multiplicador). O segundo fator torna a password roubada insuficiente. Prioridade: email primeiro (é a chave de recuperação de tudo o resto), depois banca, armazenamento de ficheiros, redes sociais da empresa e ferramentas com dados de clientes. Nota de qualidade: app de autenticação ou chave física valem mais do que SMS, mas SMS vale infinitamente mais do que nada.
3. Passkeys (o futuro que já chegou). O login sem password, ligado ao seu dispositivo e à sua biometria, imune a phishing por construção. Onde o serviço oferecer ("iniciar sessão com passkey"), adira; nos próximos anos será o normal.

O plano de uma semana para equipas

• Dia 1: decisão e comunicação. Escolhe-se o gestor (opções estabelecidas como 1Password, Bitwarden ou Dashlane são apostas razoáveis; a melhor é a que a equipa vai mesmo usar) e explica-se à equipa o porquê da mudança, não apenas a ordem.
• Dias 2-3: instalação e migração das contas críticas. Cada pessoa move primeiro email, banco e ferramentas de trabalho. O resto migra organicamente à medida que se usa.
• Dias 4-5: MFA nas contas da lista de prioridade, a começar pelo email de todos.
• Fim da semana: a regra daqui para a frente. Password nova é gerada pelo gestor; password partilhada vai pelo cofre de equipa, nunca pelo chat.

Treinar o hábito, não só a ferramenta

Ferramentas instaladas sem hábitos instalados degradam-se em meses. O curso Ciber-Higiene: Segurança no Mundo Digital, parte do percurso de Segurança Digital, treina este bloco em contexto, ao lado dos outros hábitos que fazem de uma equipa um alvo caro, do phishing à utilização segura de IA no trabalho. Uma semana de arrumação, uma camada de MFA, e a porta da rua deixa de estar fechada com um laço.