As palavras-passe têm sido um pilar da segurança desde que a linguagem humana evoluiu. Este segredo partilhado pode ser usado para abrir portas, tanto físicas como digitais. Mas, tal como qualquer segredo, se for revelado à pessoa errada, pode ser usado para fins maliciosos.
As palavras-passe oferecem aos cibercriminosos uma forma de contornar a barreira de segurança. Essa barreira fica totalmente aberta se uma palavra-passe for insegura, partilhada ou obtida através de phishing. A gestão das palavras-passe ajuda a reduzir o risco numa organização.
Aqui tens uma visão geral de alguns dos riscos associados à utilização de palavras-passe e algumas dicas sobre como gerir as tuas palavras-passe.
O problema das palavras-passe
As palavras-passe continuam a ser utilizadas porque os utilizadores as compreendem; são compreendidas pelos programadores de aplicações e da Web e oferecem segurança básica. Por estas razões, as palavras-passe vão continuar a ser utilizadas, mesmo com iniciativas como o sistema sem palavras-passe, o FIDO.
Uma palavra-passe segura é a credencial de acesso mais importante, mas as palavras-passe estão longe de ser uma medida de segurança robusta. Por causa das portas que uma palavra-passe pode abrir, esta credencial tornou-se um alvo frequente de ciberataques. O Relatório de Investigação de Fugas de Dados (DBIR) de 2022 identificou o roubo de credenciais como um dos quatro principais métodos utilizados para violar dados.
O Relatório Anual sobre a Exposição de Identidades de 2022 revelou algumas estatísticas impressionantes sobre as palavras-passe:
● 1,7 mil milhões de credenciais (combinações de endereço de e-mail e palavra-passe ou nome de utilizador e palavra-passe) foram exploradas por hackers em 2021
● Um ano depois, 70% dos utilizadores ainda usavam palavras-passe que tinham sido comprometidas
● A palavra-passe mais utilizada em texto simples (ou seja, não encriptada) foi «password»
● 60% dos utilizadores reutilizam as mesmas palavras-passe. Um inquérito do Google revelou que 52% reutilizam as mesmas palavras-passe em várias contas.
● Só 20% dos utilizadores têm um gestor de palavras-passe
Os custos decorrentes da exposição de palavras-passe, do roubo e do acesso não autorizado vão-se acumulando. O relatório de 2022 do Ponemon Institute sobre o custo das ameaças internas revelou que:
● O custo do roubo de credenciais aumentou 65%, passando de 2,79 milhões de dólares em 2020 para 4,6 milhões de dólares em 2021/2022
● Contar com uma ameaça interna demora cerca de 85 dias
● Os incidentes que demoraram mais de 90 dias a ser controlados custaram, em média, 17,19 milhões de dólares
Como é que as palavras-passe acabam nas mãos dos cibercriminosos
Algumas das formas mais comuns de as palavras-passe serem roubadas ou comprometidas incluem:
Infecção por malware
O malware concebido para roubar dados vai enviar todas as combinações de palavra-passe/nome de utilizador/e-mail introduzidas por um utilizador aos cibercriminosos que controlam o malware.
Um relatório da SpyCloud revelou que, em 2021, o malware «RedLine Stealer» foi amplamente utilizado para roubar credenciais e outros dados de utilizadores do Windows. O malware estava disponível para compra num site da dark web por 800 dólares ou através de uma subscrição de «malware como serviço» por 200 dólares por mês.
Violação de dados
As fugas de dados oferecem aos cibercriminosos uma forma de aceder a palavras-passe roubadas e a pares de nomes de utilizador ou e-mail, ou seja, credenciais de início de sessão. Por exemplo, a fuga de dados «Collection 1-5», de 2019, expôs 2,2 mil milhões de palavras-passe e endereços de e-mail.
As violações de dados ocorrem normalmente através do acesso não autorizado a uma base de dados, de uma configuração de segurança incorreta que deixa a base de dados vulnerável, da exposição acidental devido a um erro na entrega de e-mails ou de um ataque informático deliberado. Num ciclo de cibercrime, uma base de dados comprometida acaba por divulgar mais credenciais de acesso para realizar novos ataques.
Phishing
Uma forma comum de roubar palavras-passe é o phishing. Na verdade, o DBIR de 2022 apontou o phishing como um dos quatro principais métodos de violação de dados para obter acesso a dados de início de sessão. O spear-phishing é um problema específico para os administradores de sistemas e utilizadores com privilégios, que são alvo devido às suas credenciais de acesso privilegiado.
Os fornecedores externos são alvos dos hackers em ataques relacionados com palavras-passe. Por exemplo, no caso do ataque de ransomware à Colonial Pipeline, em 2021, uma única palavra-passe roubada a um ex-funcionário foi associada ao ataque que levou ao encerramento temporário de metade do abastecimento de combustível dos EUA.
Exposição acidental e ameaças internas
Os funcionários gostam de partilhar palavras-passe com os colegas e também de as reutilizar. Um inquérito recente revelou que quase 42% dos funcionários partilham palavras-passe com os colegas de trabalho. O mesmo estudo revelou que 1 em cada 4 funcionários ainda tinha acesso a contas antigas, mesmo depois de ter saído da empresa.
A divulgação acidental de palavras-passe ou o acesso não autorizado são fatores que contribuem significativamente para os ciberataques e as violações de dados; o DBIR de 2022 revelou que 82% dos ataques envolvem um ser humano.
Cinco dicas rápidas para gerir as tuas palavras-passe
Aqui estão cinco dicas para gerir as palavras-passe e reduzir os riscos:
Configurar e aplicar políticas de palavras-passe
As políticas de palavras-passe são o primeiro passo para reduzir os riscos associados à sua utilização. As políticas de palavras-passe abrangem tudo o que está relacionado com a gestão e a segurança das palavras-passe. Por exemplo, uma política deve incluir o armazenamento seguro das palavras-passe e a frequência com que estas têm de ser alteradas.
As políticas de palavras-passe também devem indicar claramente como os colaboradores devem criar e gerir as suas palavras-passe. Essas políticas devem ser distribuídas aos colaboradores, e a sua gestão deve ser automatizada ao longo de todo o ciclo de vida da política, para garantir que seja aceite e compreendida em toda a empresa.
Utiliza um gestor de senhas
Os gestores de palavras-passe, como o Lastpass, e os geradores de palavras-passe reduzem o cansaço associado às palavras-passe e, por isso, podem ajudar a eliminar a reutilização e a partilha de palavras-passe. Se estiveres a usar um gestor de palavras-passe, então, tecnicamente, só precisas de te lembrar de um conjunto de credenciais: a palavra-passe mestra para acederes ao teu gestor de palavras-passe.
Assim que iniciares sessão no gestor de palavras-passe com a tua palavra-passe principal, o gestor de palavras-passe trata do resto – guarda, gera, sincroniza e atualiza as palavras-passe. A tua palavra-passe principal é usada para encriptar as palavras-passe guardadas no teu cofre de palavras-passe.
Mas os gestores de palavras-passe ainda são pouco utilizados nas empresas. Existem muitos gestores de palavras-passe, mas os serviços baseados na nuvem podem ser mais fáceis de implementar e administrar. Procura um gestor de palavras-passe que também funcione em vários sistemas operativos e proteja outros tipos de dados, incluindo palavras-passe.
Usa uma autenticação de dois fatores (2FA/MFA)
Usar um segundo fator, como um código de autenticação no telemóvel, é uma forma útil de adicionar mais uma camada de segurança ao acesso a uma aplicação. No entanto, não deves confiar na autenticação de dois fatores (2FA) para garantir um controlo de acesso 100% isento de riscos.
Os cibercriminosos já estão a arranjar formas de contornar a autenticação de dois fatores. Se puderes, implementa a 2FA, mas complementa esta medida com as nossas duas dicas seguintes para reduzir os riscos associados às palavras-passe:
Dá formação aos funcionários sobre boas práticas de segurança com palavras-passe
As políticas de palavras-passe devem refletir as normas do setor da cibersegurança no que diz respeito à criação, utilização e gestão de palavras-passe. No entanto, para que esta política seja cumprida, é preciso que os funcionários percebam por que razão as palavras-passe seguras são essenciais.
Os programas de formação em sensibilização para a cibersegurança costumam incluir módulos sobre como criar palavras-passe fortes e mantê-las seguras.
Usa simulações de phishing para reduzir o roubo de palavras-passe
O phishing é um dos principais métodos para roubar palavras-passe e outras credenciais. Ao dar formação aos colaboradores sobre como funciona o phishing e quais são os sinais reveladores de uma mensagem de phishing, uma empresa pode ajudar a evitar o roubo de credenciais através do phishing.
As plataformas de simulação de phishing oferecem uma forma centralizada e configurável de enviar mensagens simuladas de phishing aos colaboradores. Uma plataforma avançada de simulação de phishing também te permite personalizar as mensagens simuladas de phishing para refletir as diferentes funções na tua empresa.
É provável que as organizações continuem a usar palavras-passe por algum tempo, o que aumenta o risco de um ciberataque. No entanto, ao aplicares as cinco dicas aqui apresentadas, podes reduzir os riscos associados ao uso de palavras-passe pelos teus colaboradores. Estas dicas ajudam a prevenir fugas de dados e infeções por ransomware, além de ajudarem a tua empresa a cumprir os regulamentos de proteção de dados.