Segurança digital no dia a dia

1. Por que começar por você

Quem trabalha em TI tem acesso a sistemas, servidores e dados de outras pessoas. Se a sua conta pessoal cai, o atacante pode chegar ao seu e-mail de trabalho, ao seu GitHub ou à nuvem da empresa. Muitos ataques grandes começaram assim: uma senha repetida, um link falso, uma chave esquecida num repositório.

A boa notícia é que poucos hábitos bloqueiam a maior parte dos ataques comuns. Esta lição passa por eles na ordem em que vale a pena aplicar.

2. Senhas: uma por serviço, num gerenciador

Mais comum do que a senha fraca é a senha repetida. Quando um site vaza, criminosos testam o mesmo e-mail e senha em outros serviços, de forma automática. Se você repete, uma senha vazada abre várias contas.

A solução prática é um gerenciador de senhas: um aplicativo que cria e guarda uma senha forte e diferente para cada site. Você só precisa lembrar de uma, a senha mestra.

• Opções: Bitwarden (tem plano gratuito e é de código aberto), 1Password, Proton Pass, ou o gerenciador do Google ou da Apple, que já vem no celular.
• Senha mestra: longa e fácil de lembrar. Uma frase com quatro ou cinco palavras aleatórias funciona bem, como cadeira-vulcão-limão-tarde (não use esta).
• Comece pelas contas que importam: e-mail principal, banco, celular (conta Google ou Apple) e GitHub.

Para saber se seu e-mail apareceu em vazamentos conhecidos, consulte o site Have I Been Pwned.

3. Passkeys: login sem senha

As passkeys (chaves de acesso) substituem a senha por uma chave criptográfica guardada no seu celular, computador ou gerenciador de senhas. Para entrar, você confirma com a digital, o rosto ou o PIN do aparelho.

• Não dá para ser enganado por site falso: a passkey só funciona no site verdadeiro para o qual foi criada.
• Não tem o que vazar: o site guarda só uma parte pública da chave, que não serve para entrar.

Google, Apple, Microsoft, GitHub e vários outros serviços já aceitam passkeys. Procure por "passkey" ou "chave de acesso" nas configurações de segurança da conta.

4. Verificação em duas etapas

A verificação em duas etapas (2FA) pede algo além da senha. Mesmo que alguém descubra sua senha, não entra sem o segundo fator. Do mais fraco ao mais forte:

5. Golpes e phishing

Phishing é a mensagem falsa que tenta fazer você clicar num link, baixar um arquivo ou passar dados. Chega por e-mail, SMS, WhatsApp, ligação ou rede social. Os sinais mais comuns:

• Urgência: "sua conta será bloqueada hoje", "última chance", "pague agora para evitar multa".
• Pedido fora do normal: um "parente" com número novo pedindo PIX, o "banco" pedindo senha ou código por telefone.
• Endereço estranho: domínio parecido com o verdadeiro, como itau-seguranca.com ou gooogle.com.
• Oferta boa demais: vaga de emprego que paga muito por pouco, produto com desconto absurdo.

Como se proteger:

• No computador, passe o mouse sobre o link sem clicar e veja o endereço real no canto da tela. No celular, segure o dedo sobre o link.
• Em vez de clicar, abra o aplicativo ou digite o endereço do site você mesmo.
• Confirme pedidos de dinheiro por outro canal: ligue para o número que você já tinha.
• Banco não pede senha, token ou código por telefone, mensagem ou e-mail.

Golpes com voz e vídeo falsos, feitos com IA, já existem. Combine uma palavra-chave com a família para confirmar pedidos urgentes.

6. Atualizações e backup

Atualizações corrigem falhas de segurança que já são conhecidas, inclusive pelos atacantes. Deixe as atualizações automáticas ligadas no sistema, no navegador e nos aplicativos. Aparelhos que não recebem mais atualizações, como celulares muito antigos, ficam cada vez mais expostos.

O backup protege contra o que a prevenção não segura: o ransomware (programa que sequestra seus arquivos), o celular roubado, o disco que pifa. Uma regra simples e muito usada é a 3-2-1:

• 3 cópias dos seus arquivos importantes,
• em 2 tipos de mídia diferentes (o computador e um HD externo, por exemplo),
• com 1 cópia fora de casa, como num serviço de nuvem.

Teste a restauração de vez em quando: backup que nunca foi restaurado é só uma esperança.

7. Wi-Fi público e redes

• Hoje a maioria dos sites usa HTTPS, o que protege o conteúdo mesmo no Wi-Fi público. Ainda assim, evite fazer login em contas importantes em redes abertas e desconfie de redes com nomes genéricos, como "Wi-Fi Grátis".
• Prefira o 4G ou 5G do celular para coisas sensíveis.
• Em casa, troque a senha padrão do roteador e mantenha o firmware (o programa interno do aparelho) atualizado.

8. Para quem trabalha em TI: segredos e acessos

Ao começar a programar e a usar a nuvem, você passa a lidar com segredos: senhas de banco de dados, chaves de API, tokens de acesso. Eles exigem cuidados próprios:

• Nunca coloque segredos no código nem faça commit deles (não os registre no histórico do Git). Use variáveis de ambiente (valores guardados no sistema, fora do código) e um arquivo .env listado no .gitignore, o arquivo que diz ao Git o que ignorar, ou um cofre de segredos, como o Secret Manager do Google Cloud.
• Repositório público é público para sempre. Robôs varrem o GitHub atrás de chaves o tempo todo. Apagar o arquivo no commit seguinte não resolve, porque o segredo continua no histórico.
• Ative a proteção do GitHub. A push protection do secret scanning bloqueia o envio de vários tipos de chave conhecidos. Em repositórios públicos, ela já vem ligada.
• Menor privilégio: dê a cada pessoa, sistema ou chave só o acesso necessário, pelo tempo necessário.
• Não compartilhe contas. Cada pessoa com o seu login, para saber quem fez o quê.

9. Se algo vazar, o que fazer

1. Troque a senha ou revogue a chave na hora. Não espere confirmar se alguém usou.
2. Encerre as sessões abertas. A maioria dos serviços tem a opção "sair de todos os dispositivos".
3. Confira a atividade recente da conta: logins, e-mails enviados, regras de encaminhamento criadas.
4. Avise quem precisa saber. No trabalho, o time de segurança ou a liderança. Avisar rápido é sempre melhor do que esconder.
5. Golpe financeiro: fale com o banco imediatamente. No caso de PIX, peça o uso do Mecanismo Especial de Devolução (MED) e registre um boletim de ocorrência.

10. Missão final

printf '\n.env\n*.pem\n*.key\n' >> .gitignore