Para proteger as contas de trabalho, o caminho em 7 passos é: listar todas as contas, blindar primeiro o e-mail que recupera as outras, instalar um gerenciador de senhas, trocar as senhas começando pelas contas críticas, ativar a verificação em duas etapas com aplicativo autenticador, guardar os códigos de recuperação fora do celular e revisar sessões e aparelhos conectados com regularidade. A ordem importa: cada passo depende do anterior, e começar pelo meio, como ativar a verificação em duas etapas num e-mail com senha fraca, deixa a porta principal aberta. Os nomes dos menus mudam de um aplicativo para outro e entre Android e iPhone, então, quando um caminho não aparecer igual na sua tela, procure a área de segurança ou de privacidade da conta.

Passo 1: liste todas as contas ligadas ao trabalho

Antes de mudar qualquer configuração, faça um inventário. Ele revela quantas portas existem e, principalmente, quais estão ligadas entre si. Anote, para cada conta: o serviço, o e-mail de login, o número de telefone cadastrado e se a verificação em duas etapas já está ativa.

Entram na lista as plataformas de assinatura, os perfis de divulgação, o e-mail de trabalho, o armazenamento em nuvem onde ficam os arquivos, o meio de recebimento e as ferramentas de edição ou agendamento que guardam conteúdo. O inventário costuma mostrar um problema que passa despercebido: várias contas recuperáveis pelo mesmo e-mail ou pelo mesmo número. Quem invade esse ponto central consegue redefinir a senha de todas as outras. Mantenha esse inventário só no seu aparelho, e não numa planilha solta na área de trabalho ou na nuvem sem proteção; no passo 3, ele pode ir para uma nota segura dentro do gerenciador de senhas.

Passo 2: proteja primeiro o e-mail de recuperação

O e-mail é a chave mestra, porque é para ele que chegam os links de redefinição de senha. Se você ainda usa o e-mail pessoal para o trabalho, este é o momento de criar um exclusivo, sem o seu nome civil no endereço, e migrar para ele o login das contas profissionais. Para o telefone de recuperação, avalie usar um número separado do pessoal, como um segundo chip dedicado ao trabalho. Ele reduz a ligação entre as contas profissionais e o número que familiares e amigos conhecem, embora continue registrado no seu nome na operadora.

No e-mail de trabalho, revise três pontos: a senha, que deve ser longa e usada só ali; o e-mail e o telefone de recuperação, que devem estar atualizados e sob seu controle; e as regras de encaminhamento automático. Esse último item merece atenção, porque uma regra de encaminhamento criada por um invasor continua enviando cópias das suas mensagens mesmo depois que você troca a senha. Nas configurações da conta, procure por filtros ou encaminhamento e apague o que você não reconhece.

Passo 3: instale e configure um gerenciador de senhas

O gerenciador de senhas é um cofre criptografado que cria e guarda uma senha diferente para cada conta, e você só precisa memorizar uma: a senha mestra. Ele resolve o problema mais comum de segurança, que é repetir a mesma senha em vários lugares. Quando um serviço vaza, quem obtém essa senha testa a combinação em outros sites, e cada repetição vira uma conta exposta.

Na configuração, três escolhas fazem diferença:

  • Senha mestra em forma de frase: quatro ou cinco palavras aleatórias, sem relação com você, são mais fáceis de lembrar e mais difíceis de adivinhar do que uma palavra curta com símbolos.
  • Verificação em duas etapas no próprio gerenciador: é a primeira conta em que ela deve ser ativada.
  • Desbloqueio por biometria no celular: evita digitar a senha mestra em público, onde alguém pode observar.

Vale saber o que o gerenciador revela: a lista de serviços que você usa fica dentro do cofre e, num gerenciador de boa reputação, criptografada antes de sair do aparelho. Evite guardar as senhas de trabalho no navegador de um computador compartilhado com outras pessoas da casa.

Passo 4: troque as senhas, começando pelas contas críticas

Com o gerenciador pronto, troque as senhas na ordem do risco, não na ordem alfabética. Comece pelo e-mail de trabalho, siga para o meio de recebimento e para as plataformas de assinatura, depois o armazenamento em nuvem e, por fim, perfis de divulgação e ferramentas.

Em cada conta, use o gerador do próprio gerenciador, com pelo menos 16 caracteres, e salve a nova senha antes de confirmar a troca no site. Esse detalhe evita o erro mais frustrante do processo: trocar a senha, fechar a página e descobrir que ela não foi salva. Um teste verificável ao fim de cada troca é sair da conta e entrar de novo usando o preenchimento automático do gerenciador. Se funcionar, marque a conta como concluída no inventário do passo 1.

Algumas contas ainda usam perguntas de segurança, como o nome do primeiro animal de estimação ou a cidade onde você nasceu. Respostas verdadeiras costumam ser fáceis de descobrir em redes sociais pessoais. Trate essas respostas como uma segunda senha: crie uma resposta aleatória e guarde-a no gerenciador, junto com o login daquela conta.

Passo 5: ative a verificação em duas etapas com aplicativo autenticador

A verificação em duas etapas pede, além da senha, um segundo fator, em geral um código temporário. Mesmo que a senha vaze, quem a tem não entra sem esse código. O ponto de atenção é o tipo de segundo fator:

  • Código por SMS: é melhor do que nada, mas depende do número de telefone, que pode ser transferido para outro chip por meio de golpe na operadora. Além disso, o número costuma estar ligado ao seu CPF.
  • Aplicativo autenticador: gera os códigos no próprio aparelho, sem depender da operadora. É a opção recomendada para a maioria das contas.
  • Chave física de segurança: um pequeno dispositivo conectado por USB ou aproximação. É a opção mais resistente a sites falsos, mas nem todas as plataformas aceitam.

Na área de segurança de cada conta, escolha o aplicativo autenticador quando ele estiver disponível e, depois de ativar, desative o SMS como alternativa, se o serviço permitir. Faça a ativação uma conta por vez e teste o login logo em seguida, antes de passar para a próxima. Alguns gerenciadores de senhas também geram esses códigos; é prático, mas concentra senha e segundo fator no mesmo lugar, então, para o e-mail de trabalho e para o meio de recebimento, prefira um aplicativo autenticador separado. Para entender como essa camada se encaixa no restante da proteção da identidade, veja o texto sobre segurança digital para proteger a identidade e evitar vazamentos.

Passo 6: guarde os códigos de recuperação fora do celular

Ao ativar a verificação em duas etapas, a maioria dos serviços oferece códigos de recuperação de uso único. Eles são a saída se o celular for perdido, roubado ou trocado sem que o autenticador seja transferido. Sem eles, recuperar a conta pode levar dias de contato com o suporte, com envio de documentos.

Guarde esses códigos em dois lugares independentes do celular principal: por exemplo, uma cópia dentro do gerenciador de senhas e outra num pendrive guardado em local seguro em casa. Antes de trocar de aparelho, use a função de transferência do aplicativo autenticador e só apague o celular antigo depois de confirmar que os códigos aparecem no novo. Faça um teste simples ao terminar: confira se você sabe onde está o código de recuperação de cada conta crítica sem precisar abrir o celular.

Passo 7: revise sessões e aparelhos conectados a cada mês

A última etapa transforma a configuração em rotina. Quase todos os serviços mostram, na área de segurança, uma lista de sessões abertas e aparelhos autorizados, com local aproximado e data do último acesso. Uma vez por mês, abra essa lista nas contas críticas e encerre o que você não reconhece ou não usa mais, como o computador de um lugar onde você trabalhou uma vez ou um celular antigo.

Na mesma revisão, confira os aplicativos de terceiros com acesso às contas, como ferramentas de agendamento ou de análise. Remova os que você não usa: cada integração esquecida é uma porta extra. Se o serviço oferece alerta por e-mail a cada novo login, deixe-o ligado; ele avisa no mesmo dia, sem esperar a revisão mensal. Se aparecer um acesso suspeito, troque a senha daquela conta, encerre todas as sessões e verifique se dados de pagamento ou de recuperação foram alterados. Esse hábito mensal leva poucos minutos quando o inventário do passo 1 está atualizado.