Os conselhos de segurança em cripto se concentram em chaves e carteiras, que é onde o valor está e não onde os ataques começam. O caminho realista até uma conta de negociação passa por um endereço de e-mail, uma senha reutilizada, ou um aparelho que também faz todo o resto, e nenhum dos três melhora com uma custódia melhor.
Cada conta que você tem possui um caminho de recuperação, e quase todos terminam num endereço de e-mail. Quem controla esse endereço consegue redefinir senhas nas plataformas, no gerenciador de senhas, na conta de telefonia, e nos serviços dos quais esses dependem por sua vez. É a raiz da árvore, e ela costuma ser protegida bem pior que as contas que pendem dela.
A assimetria merece ser dita porque é muito constante. Traders que usam carteira física, senha única em cada praça e um aplicativo autenticador frequentemente protegem o e-mail com uma senha que têm há anos e um número de telefone de recuperação. Um atacante não precisa vencer nenhuma das boas proteções; ele precisa do elo mais fraco, e a cadeia termina na caixa postal.
A correção é banal e é a mudança de maior valor disponível. Coloque o segundo fator mais forte disponível na conta de e-mail, de preferência uma chave de segurança física em vez de um aplicativo. Tire o número de telefone das opções de recuperação dela. E use para as contas financeiras um endereço que você não dá a ninguém, o que o retira de uma vez de todas as listas de vazamento e de alvos de phishing.
A sua conta de plataforma é tão segura quanto a sua conta de e-mail, seja lá o que você fez com a conta de plataforma.
Quando você faz login, o serviço emite um token de sessão para o seu navegador para não ter de perguntar em cada página. Esse token é uma credencial por direito próprio: quem tiver uma cópia está logado como você, e principalmente, trocar a sua senha não o invalida necessariamente. Muitos serviços mantêm sessões existentes vivas depois de uma troca de senha, o que significa que a resposta padrão a um comprometimento suspeitado deixa o atacante exatamente onde ele estava.
É assim que uma parcela substancial das tomadas de conta persiste depois de a vítima acreditar ter resolvido o problema. Software malicioso que rouba dados de navegador leva tokens em vez de senhas, precisamente porque tokens pulam o segundo fator por completo. Não há nada a phishar nem código a interceptar; a sessão já está autenticada.
A resposta prática é saber onde fica o comando de encerrar todas as sessões em cada plataforma que você usa, e usá-lo como primeiro passo de qualquer resposta de segurança em vez da redefinição de senha. Revisar periodicamente a lista de sessões ativas também vale o minuto que leva: locais e aparelhos desconhecidos nessa lista são o primeiro sinal visível de um problema.
O preenchimento de credenciais é o ataque mais comum contra contas financeiras e não tem nada de engenhoso. Grandes coleções de endereços e senhas de vazamentos em serviços sem relação são testadas, automaticamente, contra toda plataforma que valha a pena tentar. Funciona assim que alguém usou a mesma senha duas vezes, e gente suficiente faz isso para que o método continue economicamente compensador em escala industrial.
A defesa é uma senha única por serviço, o que só é praticável com um gerenciador, e a objeção levantada é que o gerenciador vira um ponto único de falha. Essa objeção está correta e a alternativa é pior: um gerenciador com senha mestra forte e um segundo fator é um alvo bem menor que uma dúzia de serviços compartilhando uma senha, e o modo de falha da reutilização não é hipotético, ele roda continuamente contra todos os formulários de login da internet.
Também vale conferir se os seus endereços aparecem em vazamentos conhecidos, o que vários serviços públicos informam. Um endereço que consta de uma lista de vazamento está recebendo tentativas dirigidas quer algo tenha funcionado ou não, e saber disso muda o quanto as proteções sobre ele importam.
Um computador que opera é também, para quase todo mundo, um computador que navega, instala coisas, abre anexos, e de vez em quando é usado por outra pessoa. Cada uma dessas atividades é um caminho até a máquina, e a máquina carrega as suas sessões, a sua área de transferência, e o que o seu navegador guardou.
O argumento pela separação é mais sólido do que soa e mais barato do que as pessoas esperam. Um perfil de navegador separado, usado só para contas financeiras, sem extensões e sem outra navegação, retira a maior parte da exposição a custo zero e trinta segundos de configuração. Uma conta de usuário separada na mesma máquina é melhor. Uma máquina separada é melhor ainda e vale de verdade acima de certo saldo, que cada um decide por si.
O risco específico que merece ser nomeado é o das extensões de navegador, porque são a única coisa que se instala com leveza e que tem permissão para ler e alterar cada página que você abre. Extensões mudam de dono, recebem atualizações escritas por alguém diferente do autor original, e fazem isso em silêncio. Qualquer extensão num perfil que toque contas financeiras deveria ser uma de que você precisa ativamente, revisada periodicamente, e a lista deveria ser curta o bastante para ser relida em um minuto.
Pegue um papel e escreva, para cada conta que importa, o que permitiria a outra pessoa entrar nela. A senha, depois o que redefine a senha, depois o que protege isso. Siga cada ramo até ele terminar em algo físico: um aparelho que você segura, uma chave numa gaveta, um telefone no seu bolso.
O exercício leva vinte minutos e sempre encontra algo. As descobertas habituais são um endereço de e-mail protegido só por uma senha, um número de telefone capaz de redefinir três coisas distintas, um gerenciador de senhas cuja recuperação volta ao e-mail, ou um segundo fator cujos códigos de backup estão guardados na conta que eles protegem. Cada um é um laço ou um ponto único que as proteções individuais escondiam.
Há uma segunda pergunta que o mesmo diagrama responde, e é a que se adia. Se você não estivesse disponível, quem conseguiria alcançar essas contas, e como. Uma cadeia que só termina na sua cabeça é segura contra todo mundo incluída a sua família, e essa é uma decisão que merece ser tomada de propósito e não por omissão.
Cada conta tem uma cadeia que termina em algo físico. Ninguém a desenha, e desenhá-la sempre revela um elo fazendo bem mais trabalho que os outros.
A operação automatizada exige uma chave de API, e uma chave de API é um acesso que nunca expira, nunca pede segundo fator, e vive num arquivo de configuração. Ela sobrevive a cada troca de senha e a cada aparelho novo, e é invisível na maioria das telas de segurança de uma conta a menos que você a procure.
Os três ajustes que tornam isso administrável estão todos disponíveis e raramente são usados. Restrinja a chave a endereços de rede específicos, para que uma cópia dela seja inútil de qualquer outro lugar. Nunca conceda direitos de saque a menos que algo realmente precise, porque direitos de negociação sozinhos não conseguem tirar fundos da plataforma. E apague as chaves que nada usa, que são a maioria depois de um ano.
O mesmo raciocínio cobre qualquer outra coisa com acesso permanente: aplicativos conectados, rastreadores de carteira com acesso de leitura, ferramentas fiscais, e tudo o que um dia pediu uma chave e nunca mais foi revisto. Cada um é uma credencial que você emitiu, nas mãos de alguém cuja segurança você não controla, e a lista é mais longa do que qualquer um lembra.
A ordem importa mais que os passos separadamente, porque fazê-los na sequência errada deixa o atacante no lugar. Encerre todas as sessões primeiro, na plataforma afetada e na conta de e-mail, porque isso remove um acesso que uma troca de senha não removeria. Depois troque a senha. Depois rotacione o segundo fator se ele puder ter sido comprometido. Depois revise e revogue chaves de API e aplicativos conectados.
Só depois disso vale investigar o que aconteceu, e vale fazer em vez de pular. Confira o histórico de login procurando locais e aparelhos, confira se endereços de saque foram adicionados, e confira se regras de encaminhamento ou filtros de e-mail foram criados, que é um passo frequente para esconder os alertas que vêm depois.
A única ação a tomar antes de tudo isso, se há fundos em risco e a plataforma permite, é bloquear saques ou congelar a conta. A maioria das praças oferece um jeito de fazer isso instantaneamente, é reversível, e compra o tempo que todo o resto exige.
Nada do acima precisa ser feito continuamente, e tudo se degrada. Uma vez por ano, ou depois de qualquer incidente em qualquer parte das suas contas, percorra a lista. As sessões ativas em cada plataforma. As chaves de API e aplicativos conectados, apagando o que não é usado. As opções de recuperação do e-mail, confirmando que o número de telefone não está entre elas. As listas brancas de endereços de saque. E os códigos de backup de cada segundo fator, confirmando que existem e que não estão guardados dentro da conta que protegem.
A razão para agendar em vez de reagir é que as falhas se acumulam em silêncio. Uma chave criada para uma ferramenta abandonada há oito meses, uma sessão num notebook que foi vendido, um aplicativo autorizado uma vez e esquecido: nada disso se anuncia, e cada um é uma credencial permanente nas mãos de alguém. Uma hora por ano os remove, o que é um retorno melhor que quase todo o resto desta lista.
O endereço de e-mail para o qual as suas contas se recuperam. Ele fica na raiz de quase toda cadeia de recuperação, então quem o controla consegue redefinir as plataformas, o gerenciador de senhas, e os serviços dos quais esses dependem. Ele também costuma ser protegido pior que as contas que pendem dele.
Porque tokens de sessão frequentemente sobrevivem a uma troca de senha. Um token é uma credencial por direito próprio e pula o segundo fator por completo, e é por isso que software malicioso rouba tokens em vez de senhas. Encerre todas as sessões primeiro, troque a senha depois, não o contrário.
Sim, e a alternativa é pior. Um gerenciador com senha mestra forte e um segundo fator é um alvo bem menor que uma dúzia de serviços compartilhando uma senha, e o preenchimento de credenciais contra senhas reutilizadas roda continuamente e em escala industrial contra todos os formulários de login.
Um perfil de navegador separado sem extensões retira a maior parte da exposição a custo zero e trinta segundos de configuração. Uma conta de usuário separada é melhor, uma máquina separada melhor ainda. Onde traçar a linha depende do saldo em risco, e a versão barata captura a maior parte do benefício.
Porque têm permissão para ler e alterar cada página que você abre, e são instaladas com leveza. Extensões mudam de dono e recebem atualizações escritas por alguém diferente do autor original, em silêncio. Qualquer perfil que toque contas financeiras deveria carregar uma lista curta o bastante para ser relida em um minuto.
Bloquear saques ou congelar a conta se a plataforma permitir, já que é instantâneo e reversível. Depois encerrar todas as sessões na plataforma e no seu e-mail. Depois trocar senhas, rotacionar o segundo fator, e revogar chaves de API e aplicativos conectados. A ordem importa porque uma troca de senha sozinha deixa as sessões vivas.
Como acessos que nunca expiram e nunca pedem segundo fator. Restrinja cada uma a endereços de rede específicos, nunca conceda direitos de saque a menos que algo realmente precise, e apague as que nada usa, que são a maioria depois de um ano. Elas são invisíveis na maioria das telas de segurança se você não procurar.
Em qualquer lugar menos dentro da conta que eles protegem, que é o erro mais comum. Impressos e guardados fisicamente é a resposta comum. Guardá-los numa conta de e-mail que o mesmo segundo fator protege cria um laço que falha exatamente quando você precisa deles.