Redbelt Security questiona por que ativos críticos ainda são protegidos com senhas fáceis?

Anos atrás, bastava inserir uma letra maiúscula, um número e formar uma palavra como “S3nH@” para despistar invasores. Hoje, o truque perdeu a eficácia. O que quer dizer que, por mais difícil que se acredite ser uma senha, há algoritmos inteligentes preparados para desvendá-la. Então, como criar senhas fortes?

É possível medir a ameaça que uma senha fraca pode trazer. Violações abrem portas para que cibercriminosos acessem dados valiosíssimos. São contas pessoais, empresariais ou sistêmicas que facilitam roubos, extorsão e fraudes que representam prejuízos financeiros devastadores e outros até imensuráveis, como reputação de marca e confiança de clientes. E tudo o que um criminoso cibernético precisa ter é uma senha em mãos.

“O conceito de senha segura mudou, porque a capacidade de criminosos de deduzir combinações se sofisticou. Agora é preciso tecnologias mais avançadas para proteger informações com senhas”, alerta *Thiago Barbosa – consultor de segurança em nuvem da Redbelt Security. Segundo ele, entre os métodos mais usados para descobrir as senhas dos usuários, atualmente, estão:

• Força bruta – é uma pesquisa exaustiva em que o cibercriminoso tenta todas as variáveis possíveis de senhas (letras minúsculas, maiúsculas, números e caracteres especiais), até encontrar uma solução. Para isso, o invasor utiliza um programa automatizado para testar todas as possibilidades até descobrir o segredo. Qualquer senha curta pode ser descoberta em segundos.
• Invasões baseadas em dicionários – outros métodos tentam restringir a quantidade de possíveis senhas usando um dicionário de termos. O atacante se aproveita das combinações de números e palavras de um dicionário, ou de listas de credenciais vazadas, disponíveis na dark web, para tentar descobrir a senha. Quanto mais comum ela for, mais fácil é de quebrá-la por meio desse método, uma vez que ele se utiliza de padrões de senhas óbvios.
• Informações pessoais compartilhadas em redes sociais – neste caso, tudo o que o criminoso precisa fazer é entrar em um perfil e descobrir, por exemplo, datas de aniversário, casamento, nome de filhos, time do coração, religião. Senhas usando esses temas são, de longe, as mais comuns. O motivo costuma ser a facilidade de memorizar combinações assim.

A resposta para quanto tempo um cibercriminoso leva para comprometer uma senha não é tão simples. Imagine que será utilizada somente uma máquina, com um software de brute force. Nesse cenário, a estimativa seria essa (o que está em verde é o considerado como recomendável quando falamos de criação de senhas, o restante deve ser evitado):

“Por que não considerar as combinações que levam 5 ou 41anos para serem quebradas? A tabela da Redbelt acima está considerando um cenário em que apenas uma máquina com um aplicativo está sendo utilizada. Os ataques reais são feitos com um número muito maior de equipamentos, o que afetaria as estimativas. Por isso, a área verde é a única opção”, explica Barbosa.

O grande problema é como uma pessoa pode decorar uma senha de 18 caracteres com maiúsculo, minúsculo, número e caracteres. Se uma única senha nesses parâmetros já é tão difícil de ser memorizada, de que maneira gerenciar todas as combinações, uma para o Facebook, outra para o Outlook, para o Gmail, para o e-mail do trabalho, para o Instagram, LinkedIn etc.? Não anote em um post-it ou em uma planilha de Excel.

“Nós recomendamos a utilização de um gerenciador de senhas. Há vários no mercado que são gratuitos e outros pagos com preços bem razoáveis. Com um cofre de senhas, é possível combinações com 30 caracteres seguindo os critérios que o usuário desejar”, explica o especialista da Redbelt Security. Segundo ele, com este tipo de aplicativo, o usuário precisa decorar somente uma senha, que é a senha mestra para abrir o gerenciador.