Pesquisadores da Unit 42, divisão de inteligência da Palo Alto Networks, descobriram três novas técnicas que podem permitir que malwares contornem as proteções das passkeys armazenadas no Gerenciador de Senhas do Google no Chrome para Windows.

Os ataques, batizados de Pass-ta-key, Silver Pass-ta-key e Golden Pass-ta-key, não quebram a criptografia da tecnologia, mas exploram falhas na forma como o navegador gerencia a autenticação e as credenciais dos usuários.

Segundo os pesquisadores, todos os cenários dependem de uma condição importante: o computador da vítima já precisa estar infectado por um malware. Ainda assim, duas das técnicas podem permitir que invasores mantenham acesso permanente às contas da vítima, mesmo após perderem acesso ao dispositivo original.

A pesquisa não identificou evidências de exploração ativa nem vulnerabilidades registradas na National Vulnerability Database (NVD) até o início de agosto.

O que muda para o usuário?

• As passkeys são consideradas uma alternativa mais segura às senhas tradicionais por utilizarem criptografia de chave pública, tornando ataques de phishing e reutilização de credenciais muito mais difíceis;
• Segundo a própria documentação do Google, elas também não podem ser adivinhadas ou copiadas;
• A pesquisa da Unit 42, porém, mostra que a segurança das passkeys pode ser comprometida quando o computador já foi infectado;
• Os ataques afetam sistemas Windows equipados com o módulo Trusted Platform Module (TPM), componente responsável por armazenar informações criptográficas de forma segura;
• Em vez de atacar a criptografia das passkeys, as técnicas exploram o modo como o Chrome administra a confiança entre dispositivos, o processo de recuperação de contas e a validação da autenticação do usuário.

Pass-ta-key reutiliza identidade do dispositivo

A primeira técnica, chamada Pass-ta-key, permite que um malware utilize a identidade criptográfica protegida pelo TPM para solicitar autenticações válidas sem exigir PIN, biometria ou qualquer interação do usuário.

Apesar disso, o método não consegue ativar o indicador User Verified (UV), que informa ao serviço online que houve uma autenticação presencial do usuário. Segundo os pesquisadores, a eficácia do ataque depende da implementação de cada plataforma.

Durante os testes, o GitHub rejeitou corretamente as tentativas de autenticação por exigir a validação desse indicador. Já o eBay aceitou os acessos até corrigir o problema após ser informado pela Unit 42.

Silver Pass-ta-key pode manter acesso permanente

A segunda técnica, chamada Silver Pass-ta-key, explora o processo de registro de dispositivos no Gerenciador de Senhas do Google. Segundo a pesquisa, o malware força o Chrome a registrar novamente o computador e aproveita uma etapa intermediária do processo para instalar uma chave de verificação controlada pelo invasor.

Caso o serviço online aceite essa nova chave como válida, o atacante pode continuar acessando a conta da vítima a partir de outro computador, mesmo depois que o dispositivo original fique indisponível. A análise do código público do Chromium confirma a existência desse estado temporário durante o processo de registro, que pode ser explorado antes da conclusão da validação por hardware.

Golden Pass-ta-key extrai a “chave mestre”

A técnica considerada mais grave recebeu o nome de Golden Pass-ta-key. Nesse caso, o malware tenta extrair da memória do Chrome o chamado Security Domain Secret (SDS), um segredo criptográfico de 32 bytes utilizado para descriptografar todas as passkeys sincronizadas na conta Google.

Segundo a Unit 42, a obtenção desse segredo permite recuperar tanto as credenciais já existentes quanto futuras passkeys criadas na mesma conta.

Os pesquisadores explicam que o Google já removeu uma exposição anterior desse segredo nos logs internos relacionados ao protocolo FIDO. No entanto, a informação continua sendo carregada temporariamente na memória do navegador durante o registro e a recuperação de dispositivos, podendo ser capturada por um malware que já esteja em execução.

Outro ponto levantado pela pesquisa é que a documentação pública do Gerenciador de Senhas do Google permite alterar o PIN ou apagar todas as passkeys armazenadas, mas não informa a existência de um mecanismo para revogar ou substituir o Security Domain Secret caso ele seja comprometido.

Google já corrigiu parte dos problemas

Segundo a Unit 42, algumas medidas já foram adotadas após a divulgação responsável das descobertas. O eBay passou a validar corretamente o indicador User Verified, impedindo o primeiro tipo de ataque. Já o Google removeu a exposição do Security Domain Secret nos logs internos do Chrome.

Apesar disso, até o início deste mês, não havia confirmação pública de que todas as técnicas descritas pelos pesquisadores haviam sido totalmente mitigadas, nem informações sobre versões específicas do Chrome eventualmente afetadas.

Pesquisadores reforçam que passkeys continuam mais seguras

Apesar das descobertas, a Unit 42 afirma que as passkeys continuam sendo significativamente mais seguras do que senhas tradicionais contra ataques de phishing e reutilização de credenciais.

Segundo os pesquisadores, o problema identificado não está na criptografia da tecnologia em si, mas na infraestrutura responsável por gerenciar dispositivos e sincronizar credenciais quando um computador já foi comprometido por malware.

Como medidas de proteção, a equipe recomenda que serviços online exijam obrigatoriamente a validação do indicador User Verified, reforcem a verificação de hardware durante o registro de dispositivos, fortaleçam os mecanismos de recuperação de contas e reduzam a exposição de informações sensíveis na memória e em registros internos do navegador.

O post Novo ataque pode contornar passkeys do Google Chrome e roubar contas apareceu primeiro em Olhar Digital.

Um ataque cibernético atingiu a plataforma Klue, fornecedora de tecnologia usada por equipes de grandes empresas, e acabou resultando no acesso indevido a informações de clientes do LastPass. A invasão ocorreu após a obtenção de tokens OAuth, que permitiram a entrada em sistemas de gestão de relacionamento com clientes.

Segundo relatos das próprias empresas envolvidas, a falha foi detectada em junho, quando atividades suspeitas foram identificadas na Klue, plataforma de inteligência de mercado integrada a ferramentas corporativas como Salesforce. O incidente teve efeito em cadeia e atingiu outras organizações além do LastPass.

As informações expostas incluem dados de contato e registros de atendimento ao cliente, embora os sistemas principais do LastPass, como os cofres de senhas dos usuários, não tenham sido comprometidos.

Detalhes do incidente e resposta das empresas

De acordo com a investigação descrita pelo LastPass, o ataque explorou credenciais temporárias da Klue, permitindo acesso indevido ao ambiente de gestão de clientes da empresa. A partir disso, invasores conseguiram visualizar dados armazenados em sistemas de relacionamento com consumidores.

A empresa afirma que informações afetadas se restringem a nomes, telefones, endereços de email e residenciais, além de registros de suporte e dados comerciais. O LastPass reforça que sua infraestrutura principal permaneceu isolada e sem violação direta.

Conforme comunicado, a companhia adotou medidas imediatas como o bloqueio de acessos ligados ao fornecedor, rotação de chaves de acesso e cooperação com autoridades para investigação do caso.

A Klue, responsável pelo serviço inicialmente comprometido, reconheceu a invasão e informou que o incidente envolveu a utilização indevida de tokens de acesso que permitiram a movimentação dentro de sistemas conectados de seus clientes.

Relatórios apontam ainda que outras empresas também foram afetadas pelo mesmo ataque, incluindo organizações do setor de segurança digital e inteligência de ameaças, indicando um impacto amplo na cadeia de fornecedores.

Embora o grupo responsável pela ação tenha reivindicado o ataque e ameaçado divulgar dados caso exigências não fossem atendidas, não há confirmação pública sobre a extensão total do vazamento nem sobre a identidade completa dos envolvidos.

O post Hackers roubam dados do LastPass, famoso sistema de gerenciamento de senhas apareceu primeiro em Olhar Digital.

No mundo da cibersegurança, as chaves de acesso – ou passkeys – estão ganhando espaço em um momento que usar senhas tradicionais, por mais complexas que possam ser, não é suficientemente para garantir a segurança do usuário.

Segundo o site passkeys.com, mais de 6 bilhões de logins, nomes de usuários e senhas estão disponíveis na dark web, sendo que a maioria dos usuários listados usam uma mesma senha em diversos aplicativos. Para esses usuários, as chaves de acesso se tornaram a solução para garantir que sua autenticação seja segura, ao mesmo tempo que simplifica o processo.

Como as chaves de acesso funcionam?

• Chaves de acesso funcionam em pares: uma privada (no seu dispositivo) e uma pública (no site ou aplicativo).
• O site verifica se a chave privada corresponde à chave pública.
• Se a combinação for correta, o acesso é autorizado.
• Uma senha mestra, PIN, reconhecimento facial ou impressão digital também podem ser utilizados para a autenticação.

Dessa forma, eliminam o trabalho de criar, decorar e monitorar dezenas de senhas. Além disso, elas não podem ser compartilhadas, lembradas ou anotadas, o que as torna menos vulneráveis a ataques que visam sistemas baseados em senhas.

Será que as chaves de acesso funcionam em todas as plataformas?

Sim, as chaves de acesso são muito mais seguras e fáceis de usar, mas funcionam melhor dentro do mesmo ecossistema. No caso da Apple, o iCloud Keychan sincroniza chaves em todos os dispositivos da marca da maçã, mas não se conecta a dispositivos Android ou Windows.

Já o Google oferece um gerenciador de senhas que funciona em dispositivos Android, no navegador Chrome em computadores Windows e Mac, além de rodar também e iPhones. Porém, ele ainda não é compatível com computadores da Apple.

Leia mais:

• Mantenha suas senhas e outras informações em segurança com um gerenciador de senhas
• IA do WhatsApp vai espiar suas conversas? Corrente gera dúvida entre usuários
• Como polícia e órgãos da lei podem ter acesso a mensagens criptografadas no celular?

Um gerenciador de senhas de terceiros pode ajudar a solucionar problemas de compatibilidade de chave de acesso em sistemas operacionais diferentes.

Sean Captain, jornalista e escritor especializado em tecnologia em artigo para o WSJ.

Captain cita alguns exemplos, como o Bitwarden, 1Password e Dashlane, que funcionam em dispositivos Android, iOS, e computadores Apple. No Windows, é necessário integrá-los ao aplicativo Hello, já que a plataforma não possui recursos de chaves de acesso integrado.

Dúvidas dos usuários em relação ao uso de chaves de acesso

No artigo no WSJ, Captain lista algumas outras dúvidas que os usuários costumam ter em relação ao uso de chaves de acesso:

O post Como usar chaves de acesso: configure, proteja e esqueça suas senhas de vez apareceu primeiro em Olhar Digital.

Os gerenciadores de senha são comumente utilizados no celular e servem para guardar todas as chaves de acesso do usuário com um conjunto de criptografia. Dessa forma, você não precisa lembrar de cada acesso de login sempre que acessar um site diferente.

No entanto, nem sempre estes aplicativos tão práticos são seguros. O investigador de segurança independente Marek Tóth revelou falhas graves que permitiram o acesso de informações confidenciais por terceiros.

Até 40 milhões de pessoas podem ter ficado vulneráveis aos ataques

• Os problemas foram identificados em gerenciadores de senha populares, caso do Dashlane, Nordpass e 1Password.
• Segundo o portal, os invasores usaram clickjacking para acessar as informações.
• Este método incentiva o usuário a clicar em elementos indesejados na tela sem saber, fornecendo dados cruciais para a ação dos golpistas.
• Neste caso específico, a vulnerabilidade está nas extensões de navegador dos aplicativos que permitem a criação de elementos invisíveis na tela.
• Ao sobrepor o HTML visível, a vítima pensa estar navegando normalmente, mas acaba cedendo dados como número dos cartões de crédito, códigos de autenticação de dois fatores (2FA) e credenciais de acesso.

Leia mais

• Mantenha seus dados seguros com um gerenciador de senhas
• É seguro usar dica de senha nos serviços online?
• 2025 pode ser o pior ano para a proteção de dados, alerta empresa

Nem todos os aplicativos levaram o alerta a sério

O alerta aponta que o ataque consegue identificar qual gerenciador de senha é utilizado e se adaptar para o roubo. A ação pode ser efetiva mesmo que o usuário perceba que há algo errado e troque de aplicativo rapidamente.

As descobertas foram validadas pela empresa de cibersegurança Socket. Mesmo sendo avisadas em abril deste ano, algumas companhias não adotaram mudanças importantes para evitar a ação dos cibercriminosos. O Marek Tóth diz que os aplicativos 1Password e LastPass se limitaram a dizer que o clickjacking é um risco geral da internet. A LogMeOnce, por sua vez, não se pronunciou.

Já a Bitwarden minimizou a gravidade do caso, mas voltou atrás e informou que corrigiu os problemas. Dashlane, NordPass, ProtonPass, Keeper e RoboForm também atualizaram as extensões para corrigir as vulnerabilidades detectadas.

A principal recomendação para evitar ser alvo deste tipo de ataque é desativar a função de preenchimento manual. O ideal é copiar e colar a senha sem o uso do aplicativo. Também é sugerido sempre usar a extensão mais atual dos gerenciadores.

O post Gerenciadores de senha: falha expôs dados de milhões de usuários apareceu primeiro em Olhar Digital.

Você já reparou quantas senhas, números de cartão de crédito, contas correntes e documentos precisa gerenciar? Neste mundo cada vez mais digital, apenas de contas online, é possível que tenha passado de dezenas de contas, desde redes sociais, aplicativos bancários a aplicativos de namoro. De acordo com o estudo 2024 NordPass, um usuário tem cerca de 168 senhas pessoais e 255 corporativas em média. Ufa, são informações que não acabam mais.

E quanto mais essas informações são necessárias para o dia a dia, mais importante encontrar um local seguro para armazená-las. E um gerenciador de senhas pode ser muito bem-vindo nessa hora.

Como o gerenciador de senhas pode proteger seus dados

Soluções modernas de gerenciadores de senha vão muito além do armazenamento dessas informações. Elas podem armazenar identidades digitais, credenciais de acesso a redes sem fio, dados de cartões de crédito e débito, informações bancárias, documentos pessoais, licenças de software, dados de autenticação e notas confidenciais. Tornando o acesso a essas informações muito mais cômodo, além de mais seguro.

No entanto, gerenciadores integrados ao smartphone, como os aplicativos nativos do Android e iOS, apesar de funcionarem bem para o que se propõem, ainda são limitados em relação a armazenar outras informações. Mas existem no mercado, gerenciadores de senha de terceiros que aliam o serviço de armazenar as senhas e outras informações a sistemas de segurança mais robustos.

Esses gerenciadores são baseados em uma arquitetura de conhecimento zero, em que apenas uma senha mestra consegue descriptografar as informações armazenadas no gerenciador. E é por isso que ele é o local ideal para guardar dados importantes em comparação a mantê-los espalhados por diversos aplicativos e servidores na nuvem. Além disso, permitem a ativação da autenticação de dois fatores (2FA), garantindo maior segurança.

Leia mais:

• Guarda senhas no Dropbox? É bom você transferir elas logo, avisa empresa
• Gov.br toma medida para aumentar segurança dos usuários
• Crimes digitais disparam no Brasil em 2024, revela Anuário de Segurança

Conheça alguns gerenciadores de senha

Gerenciadores de senha oferecem segurança e conveniência ao ajudar o usuário a manter uma vida digital organizada, além de funcionarem em qualquer plataforma.

• 1Password – Fornece aos usuários uma boa experiência devido a sua interface intuitiva. Também permite ocultar dados sensíveis, oferece suporte a cofres compartilhados, controle de acesso, autenticação de dois fatores e senhas de uso único (OTP). Não tem plano gratuito.
• Bitwarden – Baseado em código aberto, oferece bom nível segurança e um custo-benefício interessante. Pode ser usado em todas as plataformas e navegadores, conta com suporte a 2FA e armazenamento seguro de notas e cartões. O plano gratuito é completo e traz diversos recursos, como sincronização entre dispositivos. Mas sua interface pode ser confusa para muitos usuários.
• Dashlane – Com uma interface moderna e fácil de usar, o Dashlane inclui monitoramento de dark web, geração de relatórios de segurança e análise de senhas fracas, VPN integrada (no plano Premium), autopreenchimento e armazenamento eficientes. O plano gratuito é limitado a um dispositivo.
• NordPass – Voltado para usuários que desejam integração fácil com outros produtos da Nord, como o NordVPN, ele conta com criptografia de curva elíptica (XChaCha20), interface simples, geração e armazenamento de senhas, notas e cartões e suporte a autenticação biométrica e offline.
• Keeper – Oferece segurança de nível corporativo e com foco em empresas e compliance, como HIPAA e SOC 2. Traz recursos de armazenamento de arquivos, histórico de senhas e cofres compartilhados. Vem com monitoramento de dark web incluído, suporte a biometria, 2FA e autenticação por hardware, além de uma interface limpa com relatórios de segurança e controle de acesso. Pode ser confuso para usuários leigos e o plano gratuito é limitado.

Se você busca por maior praticidade e segurança para acessar informações, um gerenciador de senhas pode ser a solução ideal, mas é necessário ter em mente que não basta manter esses dados armazenados, é fundamental criar uma senha mestre longa e forte para garantir que outras pessoas tenham acesso.

O post Mantenha suas senhas e outras informações em segurança com um gerenciador de senhas apareceu primeiro em Olhar Digital.

É tanta senha que precisamos memorizar, que ter lembretes, uma dica de senha pode ajudar, não é mesmo? Não, não é não. Usar dicas de senha em serviços online pode ser uma prática arriscada e nem sempre é seguro. Embora as dicas de senha possam ajudar a lembrar a senha, elas podem acabar fornecendo pistas fáceis para invasores.

Dicas de senha como “meu time favorito” ou “nome do meu animal de estimação” podem ser descobertas com informações básicas sobre você, muitas vezes disponíveis em redes sociais. Desta forma, o que poderia ser um auxílio, pode se transformar em uma dor de cabeça maior do que apenas decorar a senha.

O que é dica de senha?

Uma dica de senha é uma pista ou frase curta que serve para ajudar o usuário a lembrar uma senha esquecida sem revelá-la diretamente. Geralmente, a dica é configurada quando o usuário cria a senha para uma conta e aparece como um lembrete caso o usuário tenha dificuldade em lembrar da senha ao tentar fazer login.

A dica de senha pode ser uma palavra, uma frase, ou até mesmo uma associação pessoal que ajude a lembrar a senha sem a deixar óbvia. Por exemplo:

• Dica de senha: “Minha viagem favorita”
• Senha: “Paris2021!”

A ideia é que a dica seja útil apenas para o próprio usuário, mas ainda assim há um certo risco, pois dicas muito óbvias podem facilitar tentativas de acesso por pessoas não autorizadas.

Se você decidir usar uma dica, escolha algo que apenas você entenderia, como uma frase que só faça sentido para você.

Leia mais:

• Gerenciador de senhas: os 5 melhores apps para você usar
• Como criar senha forte e segura [com exemplos]
• 123456 ainda é a senha mais usada no mundo, diz pesquisa

As dicas de senha surgiram como uma solução prática para ajudar as pessoas a lembrarem suas senhas, especialmente quando as senhas começaram a ser uma exigência comum para proteger contas e informações em ambientes digitais. 

Com o aumento do uso de sistemas de computadores e a necessidade de segurança, as dicas de senha apareceram como uma forma simples de permitir que os usuários relembrassem suas senhas sem precisar armazená-las em locais inseguros ou recorrer a redefinições constantes.

Se você tem um pouco mais de idade, como eu, deve se lembrar das perguntas que deveria responder para provar que você era você ao acessar um site ou serviço online. Eram perguntas mais específicas, como: “Qual o nome de solteira da sua mãe”. 

Vamos contextualizar para os mais novos, que talvez não estejam familiarizados com esse tipo de prática. Nos primeiros dias da computação e da internet, as senhas eram frequentemente curtas e simples, uma vez que as ameaças digitais eram limitadas e os sistemas não eram interconectados como são hoje. 

Com o tempo, a necessidade de senhas mais fortes e complexas aumentou, e as pessoas passaram a ter dificuldades em lembrar senhas longas e variadas para diferentes serviços. As dicas de senha então foram criadas como uma funcionalidade de apoio, oferecendo uma “pista” para ajudar o usuário a recordar a senha original sem expor diretamente a informação.

A segurança evolui e os ataques também

À medida que os métodos de ataque evoluíram, tornou-se evidente que as dicas de senha poderiam ser um ponto de vulnerabilidade. Invasores que conseguiam acessar uma dica de senha tinham uma chance maior de adivinhar a senha, especialmente se a dica fosse algo facilmente dedutível (como informações pessoais). Com isso, a segurança desse método foi questionada, e outros meios mais seguros, como autenticação de dois fatores e gerenciadores de senha, começaram a ser incentivados.

Hoje em dia, muitos serviços optaram por não oferecer dicas de senha, focando em autenticação multifatorial, recuperação de conta por e-mail ou número de telefone e uso de gerenciadores de senha. Esses métodos ajudam a manter a segurança sem expor o usuário ao risco adicional que uma dica de senha poderia representar.

Dica da dica

Se ainda quiser usar a dica de senha de uma forma mais segura, procure usá-la para senhas longas e complexas, que são mais difíceis de lembrar. Use algo não tão evidente e preferencialmente pessoal, que apenas você entenderia. 

Evite referências a informações públicas ou facilmente descobertas, como nomes de familiares, datas de nascimento ou gostos pessoais muito comuns. Ainda assim, o problema (e alta probabilidade) é você também esquecer dessa dica.

Em geral, são mais seguras quando usadas com senhas complexas e métodos de segurança adicionais, como autenticação de dois fatores (2FA). Um gerenciador de senhas tambem pode ser uma alternativa, já que armazena todas as suas senhas com segurança e elimina a necessidade de usar dicas.

É seguro usar dica de senha nos serviços online?

Em geral, usar dicas de senha em serviços online pode ser inseguro, afinal elas podem fornecer pistas que facilitam o trabalho de invasores, especialmente se a dica é algo fácil de adivinhar ou relacionado a informações públicas sobre você.

Dicas baseadas em informações comuns (como “time favorito” ou “nome do pet”) podem ser fáceis de descobrir, especialmente para alguém com acesso a suas redes sociais. Lembre-se que estamos em constante exposição na internet, seja por vontade própria ou não.

Invasores podem usar a dica para adivinhar a senha ou conduzir ataques de phishing, tentando coletar mais dados para obter acesso à conta. Em um ataque de phishing, um invasor pode usar a dica para fazer perguntas pessoais que o ajudem a adivinhar a senha ou coletar outras informações sensíveis.

Risco em caso de vazamento de dados, porque se um serviço for invadido e a dica de senha for exposta junto com outras informações, isso pode facilitar o trabalho dos invasores.

Em resumo, se possível, evite usar dicas de senha para serviços online, especialmente em contas importantes ou sensíveis. Gerenciadores de senha e autenticação multifatorial são alternativas mais seguras e eficazes para proteger suas contas.

O post É seguro usar dica de senha nos serviços online? apareceu primeiro em Olhar Digital.

É tanta senha que precisamos memorizar, que ter lembretes, uma dica de senha pode ajudar, não é mesmo? Não, não é não. Usar dicas de senha em serviços online pode ser uma prática arriscada e nem sempre é seguro. Embora as dicas de senha possam ajudar a lembrar a senha, elas podem acabar fornecendo pistas fáceis para invasores.

Dicas de senha como “meu time favorito” ou “nome do meu animal de estimação” podem ser descobertas com informações básicas sobre você, muitas vezes disponíveis em redes sociais. Desta forma, o que poderia ser um auxílio, pode se transformar em uma dor de cabeça maior do que apenas decorar a senha.

O que é dica de senha?

Uma dica de senha é uma pista ou frase curta que serve para ajudar o usuário a lembrar uma senha esquecida sem revelá-la diretamente. Geralmente, a dica é configurada quando o usuário cria a senha para uma conta e aparece como um lembrete caso o usuário tenha dificuldade em lembrar da senha ao tentar fazer login.

A dica de senha pode ser uma palavra, uma frase, ou até mesmo uma associação pessoal que ajude a lembrar a senha sem a deixar óbvia. Por exemplo:

• Dica de senha: “Minha viagem favorita”
• Senha: “Paris2021!”

A ideia é que a dica seja útil apenas para o próprio usuário, mas ainda assim há um certo risco, pois dicas muito óbvias podem facilitar tentativas de acesso por pessoas não autorizadas.

Se você decidir usar uma dica, escolha algo que apenas você entenderia, como uma frase que só faça sentido para você.

Leia mais:

• Gerenciador de senhas: os 5 melhores apps para você usar
• Como criar senha forte e segura [com exemplos]
• 123456 ainda é a senha mais usada no mundo, diz pesquisa

As dicas de senha surgiram como uma solução prática para ajudar as pessoas a lembrarem suas senhas, especialmente quando as senhas começaram a ser uma exigência comum para proteger contas e informações em ambientes digitais. 

Com o aumento do uso de sistemas de computadores e a necessidade de segurança, as dicas de senha apareceram como uma forma simples de permitir que os usuários relembrassem suas senhas sem precisar armazená-las em locais inseguros ou recorrer a redefinições constantes.

Se você tem um pouco mais de idade, como eu, deve se lembrar das perguntas que deveria responder para provar que você era você ao acessar um site ou serviço online. Eram perguntas mais específicas, como: “Qual o nome de solteira da sua mãe”. 

Vamos contextualizar para os mais novos, que talvez não estejam familiarizados com esse tipo de prática. Nos primeiros dias da computação e da internet, as senhas eram frequentemente curtas e simples, uma vez que as ameaças digitais eram limitadas e os sistemas não eram interconectados como são hoje. 

Com o tempo, a necessidade de senhas mais fortes e complexas aumentou, e as pessoas passaram a ter dificuldades em lembrar senhas longas e variadas para diferentes serviços. As dicas de senha então foram criadas como uma funcionalidade de apoio, oferecendo uma “pista” para ajudar o usuário a recordar a senha original sem expor diretamente a informação.

A segurança evolui e os ataques também

À medida que os métodos de ataque evoluíram, tornou-se evidente que as dicas de senha poderiam ser um ponto de vulnerabilidade. Invasores que conseguiam acessar uma dica de senha tinham uma chance maior de adivinhar a senha, especialmente se a dica fosse algo facilmente dedutível (como informações pessoais). Com isso, a segurança desse método foi questionada, e outros meios mais seguros, como autenticação de dois fatores e gerenciadores de senha, começaram a ser incentivados.

Hoje em dia, muitos serviços optaram por não oferecer dicas de senha, focando em autenticação multifatorial, recuperação de conta por e-mail ou número de telefone e uso de gerenciadores de senha. Esses métodos ajudam a manter a segurança sem expor o usuário ao risco adicional que uma dica de senha poderia representar.

Dica da dica

Se ainda quiser usar a dica de senha de uma forma mais segura, procure usá-la para senhas longas e complexas, que são mais difíceis de lembrar. Use algo não tão evidente e preferencialmente pessoal, que apenas você entenderia. 

Evite referências a informações públicas ou facilmente descobertas, como nomes de familiares, datas de nascimento ou gostos pessoais muito comuns. Ainda assim, o problema (e alta probabilidade) é você também esquecer dessa dica.

Em geral, são mais seguras quando usadas com senhas complexas e métodos de segurança adicionais, como autenticação de dois fatores (2FA). Um gerenciador de senhas tambem pode ser uma alternativa, já que armazena todas as suas senhas com segurança e elimina a necessidade de usar dicas.

É seguro usar dica de senha nos serviços online?

Em geral, usar dicas de senha em serviços online pode ser inseguro, afinal elas podem fornecer pistas que facilitam o trabalho de invasores, especialmente se a dica é algo fácil de adivinhar ou relacionado a informações públicas sobre você.

Dicas baseadas em informações comuns (como “time favorito” ou “nome do pet”) podem ser fáceis de descobrir, especialmente para alguém com acesso a suas redes sociais. Lembre-se que estamos em constante exposição na internet, seja por vontade própria ou não.

Invasores podem usar a dica para adivinhar a senha ou conduzir ataques de phishing, tentando coletar mais dados para obter acesso à conta. Em um ataque de phishing, um invasor pode usar a dica para fazer perguntas pessoais que o ajudem a adivinhar a senha ou coletar outras informações sensíveis.

Risco em caso de vazamento de dados, porque se um serviço for invadido e a dica de senha for exposta junto com outras informações, isso pode facilitar o trabalho dos invasores.

Em resumo, se possível, evite usar dicas de senha para serviços online, especialmente em contas importantes ou sensíveis. Gerenciadores de senha e autenticação multifatorial são alternativas mais seguras e eficazes para proteger suas contas.

O post É seguro usar dica de senha nos serviços online? apareceu primeiro em Olhar Digital.