Existe uma imagem de invasão que o cinema consolidou: alguém encapuzado digitando furiosamente, quebrando barreiras em tempo real.
A realidade é bem mais sem graça. Na maioria dos incidentes, ninguém quebrou nada. Alguém simplesmente entrou com usuário e senha válidos.
Por que as credenciais vazam
Raramente o vazamento acontece na sua empresa. Ele acontece em outro lugar.
A pessoa usa o e-mail corporativo para criar conta em um serviço qualquer — uma loja, um fórum, uma ferramenta que testou uma vez. Repete ali a mesma senha que usa no trabalho, ou uma variação previsível dela. Anos depois, aquele serviço sofre um vazamento e a combinação passa a circular.
A partir daí o processo é automatizado. Listas de credenciais são testadas em massa contra serviços corporativos expostos: webmail, VPN, portais de acesso remoto. Ninguém escolheu a sua empresa; ela apenas apareceu na lista.
É por isso que a pergunta "por que alguém atacaria a gente, somos pequenos?" parte de uma premissa errada. Não há escolha envolvida.
O que acontece depois
Um acesso legítimo não dispara alarme. O usuário existe, a senha confere, a sessão abre normalmente.
O que vem em seguida costuma ser discreto: leitura de e-mails por dias, mapeamento de quem autoriza pagamentos, observação de como a empresa se comunica com fornecedores. Muitos golpes financeiros nascem exatamente aí — uma mudança de conta bancária solicitada em uma conversa que parece perfeitamente normal, porque de fato está acontecendo dentro da caixa de e-mail verdadeira.
Quando alguém percebe, o acesso já dura semanas.
O segundo fator é a medida de maior efeito
Se fosse para escolher uma única providência, seria essa: exigir um segundo fator de autenticação em tudo que estiver exposto à internet.
A lógica é direta. Com segundo fator, a senha sozinha deixa de ser suficiente. Quem tiver a credencial vazada esbarra em uma etapa que exige algo que não está na lista comprada.
Vale dizer, no entanto, que nem todo segundo fator oferece a mesma proteção.
Código por SMS é melhor que nada, mas é o mais frágil: existe fraude de troca de chip, e a mensagem pode ser interceptada.
Aplicativo autenticador é o equilíbrio mais comum entre segurança e praticidade.
Chave física é o mais resistente, inclusive contra páginas falsas, porque a chave verifica o endereço do site antes de responder.
Segundo fator não é blindagem
Duas técnicas contornam o segundo fator, e vale conhecê-las.
A primeira é a página falsa que retransmite em tempo real: a vítima digita usuário, senha e o código na tela clonada, e o atacante usa tudo imediatamente no site verdadeiro.
A segunda é o cansaço. O atacante, já de posse da senha, dispara pedidos de aprovação repetidamente. Depois da décima notificação no celular durante uma reunião, alguém aprova só para o incômodo parar.
Contra ambas, ajuda usar métodos que exibam contexto — de onde vem a tentativa, para qual sistema — e conversar com a equipe: uma aprovação que você não pediu nunca deve ser confirmada, e precisa ser avisada a alguém.
Além do segundo fator
Reduza o número de senhas. Acesso centralizado significa uma identidade forte para proteger, em vez de dezenas espalhadas por sistemas com regras diferentes.
Cuide das contas que sobraram. Gente que saiu da empresa, prestadores de projetos encerrados, usuários genéricos que várias pessoas compartilham. Contas esquecidas são as preferidas de quem procura porta de entrada, porque ninguém repara na atividade delas.
Ofereça um gerenciador de senhas. Pedir senhas longas, únicas e diferentes para cada sistema sem dar ferramenta para isso é pedir que as pessoas anotem em algum lugar. E elas anotam.
Trate suspeita como incidente. Se alguém achou estranho aquele e-mail, precisa haver um canal simples para avisar — e a certeza de que ninguém será repreendido por ter clicado. Empresa onde as pessoas escondem o erro descobre tudo mais tarde.
O ponto de partida
Comece pelo inventário: o que da sua empresa está acessível pela internet com usuário e senha? Webmail, VPN, portais administrativos, ferramentas de acesso remoto, sistemas de terceiros.
Essa lista é a superfície exposta. Cada item dela sem segundo fator é uma porta que depende exclusivamente de uma senha — que talvez já esteja circulando há anos.