Password123 é provavelmente uma das piores escolhas que podemos fazer quando pensamos na nossa segurança digital. Nesse sentido, para nossa proteção, aprendemos a criar palavras-passe maiores, com maiúsculas e minúsculas, números e símbolos. Deixámos também de utilizar sempre a mesma em todos os serviços e ganhámos outra camada de segurança ao ativar a autenticação de dois fatores.
Mas há um problema a ter em conta: um cibercriminoso não precisa necessariamente da nossa palavra-passe para entrar numa das nossas contas. Por vezes, tudo o que precisa de roubar é algo que diga ao serviço que já iniciámos sessão. Tão simples como isso!
Diariamente entramos no email, rede social ou noutra plataforma, introduzimos credenciais e, eventualmente, confirmamos o acesso através de um código ou de uma aplicação. Até aqui, nada de especial. Só que, depois disso, podemos continuar a utilizar o serviço durante horas, dias ou até mais tempo sem voltar a digitar a palavra-passe. Tão confortável!
O desassossego vem depois com a dúvida: como continua o website a saber que somos nós a utilizar o serviço? Depois de uma autenticação bem-sucedida, o serviço entrega ao browser uma espécie de comprovativo digital que permite manter aquela sessão ativa. Ora, parte desse processo pode envolver pequenos ficheiros conhecidos, nem mais nem menos, como cookies.
Estes cookies são, regra geral, perfeitamente legítimos e fundamentais para a nossa experiência digital. Permitem, entre muitas outras coisas, manter sessões iniciadas ou recordar determinadas escolhas. O problema começa quando alguém consegue roubar a informação que permite identificar uma sessão autenticada. Nesse momento, o atacante pode não precisar da palavra-passe. E, em determinadas situações, pode até nem precisar sequer da autenticação de dois fatores.
É esta ideia que torna o chamado session hijacking, ou sequestro de sessão, particularmente interessante do ponto de vista da segurança. Por exemplo, em vez de tentar descobrir a chave que abre a porta, o cibercriminoso aproveita uma sessão que já foi legitimamente aberta. Ou seja, não rouba a palavra-passe, mas sim, a confiança que veio depois dela.
Façamos um pequeno exercício: imagine que está num evento onde é necessária identificação à entrada. O segurança confirma quem é, entrega-lhe uma pulseira e, a partir desse momento, pode circular pelo espaço sem voltar a mostrar o documento de identificação. A pulseira passa a transmitir uma mensagem clara: esta pessoa já foi verificada. Agora imagine se alguém lhe roubar a pulseira.
Embora simples, o exemplo ajuda a perceber o problema. Na Internet, depois de provarmos quem somos, torna-se necessário (e mais confortável) que o serviço reconheça que aquela interação continua a pertencer ao mesmo utilizador. Assim, se um cibercriminoso conseguir apropriar-se dessa prova, pode tentar usurpar a nossa identidade.
É aqui que surge uma mudança importante na forma como pensamos a nossa segurança. Estamos demasiado habituados a tentar proteger a palavra-passe, o código recebido por SMS, os dados do cartão, entre outros. Mas, existem dados criados nos inícios de sessão que também podem ser valiosos para um atacante. É por isso que determinados programas maliciosos procuram não apenas palavras-passe, mas também informação armazenada nos browsers e dados associados a sessões autenticadas.
Isto não significa que a autenticação de dois fatores seja inútil. Muito pelo contrário. Continua a ser uma das medidas mais importantes para a nossa proteção digital. Significa apenas que nenhuma medida resolve todos os problemas.
Se um atacante tentar iniciar uma nova sessão com uma palavra-passe roubada, o segundo fator pode travá-lo. No entanto, se conseguir apropriar-se de uma sessão que já foi autenticada, o resultado pode divergir. Talvez tenhamos, por isso, de abandonar outra ideia confortável: a de que, depois de fazermos login, a parte da segurança terminou. Não terminou, de todo.
O computador onde navegamos, as extensões que instalamos, os programas que executamos e os ficheiros que abrimos continuam a fazer parte da equação. Manter o sistema e o browser atualizados, evitar software de origem duvidosa e parar antes de abrir ficheiros inesperados continua a ser importante, porque o objetivo de um ataque pode estar para além da palavra-passe.
Importa também não menosprezar as funcionalidades que muitos serviços disponibilizam para consulta de dispositivos e sessões ativas. Se um equipamento, uma localização ou uma sessão não nos for familiar, devemos terminar esses acessos e seguir os procedimentos de segurança disponibilizados pelos mesmos.
Perante um equipamento comprometido, alterar apenas a palavra-passe pode não resolver imediatamente o problema. É importante terminar as sessões existentes e garantir que o dispositivo utilizado para recuperar a conta é seguro. A principal mensagem, contudo, é bastante mais simples. Durante muito tempo ensinámos as pessoas a pensar na palavra-passe como a chave da sua vida digital. Fazia sentido e, continua a fazer. Mas o mundo, também odigital, evoluiu.
Hoje, os cibercriminosos procuram não apenas descobrir a chave, mas também as formas de entrar quando a porta já está aberta. É por isso que uma palavra-passe forte continua a ser importante e, claro, a autenticação de dois fatores também. Mas precisamos de compreender que a confiança digital não termina quando introduzimos as credenciais.
Porque nem sempre precisam da sua palavra-passe. Por vezes, basta roubarem a sua sessão.
Segurança não é técnica. É humana.
Os textos nesta secção refletem a opinião pessoal dos autores. Não representam a VISÃO nem espelham o seu posicionamento editorial.
