Vazamentos de dados acontecem com frequência, e muitas vezes envolvem empresas grandes e conhecidas. Quando um serviço é invadido, milhões de e-mails e senhas acabam circulando na internet. Se você usa a mesma senha em vários sites, um único vazamento pode dar acesso ao seu e-mail, às suas redes sociais e até a contas bancárias. A boa notícia é que três hábitos simples já te colocam muito à frente da maioria das pessoas: senhas fortes, um gerenciador de senhas e autenticação em dois fatores.
Como as senhas são descobertas
Para se proteger, vale entender como os criminosos agem. Os métodos mais comuns são:
- Vazamentos de dados: bancos de dados de sites invadidos são vendidos ou publicados, com e-mails e senhas.
- Credential stuffing: robôs testam automaticamente as combinações vazadas de e-mail e senha em centenas de outros serviços. Funciona porque muita gente repete a senha.
- Força bruta e dicionário: programas testam milhões de combinações, começando por senhas comuns como "123456", "senha123" e nomes seguidos de datas.
- Phishing: páginas e mensagens falsas que imitam bancos, lojas ou redes sociais para que você mesmo digite a senha.
O que faz uma senha ser forte?
O fator mais importante é o comprimento. Cada caractere adicional multiplica o número de combinações possíveis. Uma senha de 8 caracteres, mesmo com símbolos, é muito mais fácil de quebrar que uma de 16 caracteres só com letras.
Uma senha forte deve:
- Ter pelo menos 12 caracteres, de preferência 16 ou mais.
- Ser única: nunca reutilizada em outro serviço.
- Não conter informações pessoais, como nome, data de nascimento, nome do pet ou do time.
- Não seguir padrões previsíveis, como "Senha@2026" ou sequências do teclado.
A técnica da frase-senha
Para as poucas senhas que você precisa memorizar (como a senha mestra do gerenciador e a do computador), uma ótima técnica é a frase-senha: junte quatro ou mais palavras aleatórias que não tenham relação entre si, como "cadeira-nuvem-pipoca-telhado-verde". Ela é longa, difícil de adivinhar e muito mais fácil de lembrar que algo como "Xk9#qL2!".
O segredo é que as palavras sejam realmente aleatórias. Frases famosas, letras de música ou citações conhecidas estão nos dicionários usados pelos atacantes.
Por que usar um gerenciador de senhas
Ninguém consegue memorizar dezenas de senhas longas e únicas. É aí que entra o gerenciador de senhas: um aplicativo que guarda todas as suas senhas em um cofre criptografado, protegido por uma única senha mestra. As vantagens são muitas:
- Gera senhas fortes e aleatórias automaticamente.
- Preenche os logins no navegador e no celular, economizando tempo.
- Ajuda contra phishing: como o preenchimento automático só funciona no domínio correto, se ele não sugerir a senha em um site, pode ser sinal de que a página é falsa.
- Sincroniza entre computador e celular.
- Alerta sobre senhas fracas, repetidas ou vazadas.
Existem opções gratuitas e de código aberto, como o Bitwarden, e pagas, como o 1Password. Os gerenciadores integrados ao navegador e ao sistema (como o do Google Chrome ou o Senhas da Apple) também são uma boa opção para quem está começando, e muito melhores que repetir senhas.
"Mas e se o gerenciador for invadido?"
É uma preocupação válida. Os gerenciadores sérios usam criptografia de ponta a ponta: suas senhas são criptografadas no seu dispositivo, com uma chave derivada da senha mestra, que a empresa não conhece. Mesmo que os servidores sejam invadidos, os dados ficam ilegíveis sem essa senha. Por isso, a senha mestra precisa ser muito forte e exclusiva, e a conta do gerenciador deve ter autenticação em dois fatores. O risco de usar um bom gerenciador é muito menor que o risco de reutilizar senhas.
Autenticação em dois fatores (2FA)
A autenticação em dois fatores adiciona uma segunda camada de proteção: além da senha (algo que você sabe), o serviço pede algo que você tem, como o celular ou uma chave física. Assim, mesmo que alguém descubra sua senha, não consegue entrar sem o segundo fator.
Os principais tipos, do menos para o mais seguro:
- Código por SMS: melhor que nada, mas vulnerável a golpes de clonagem de chip (SIM swap).
- Aplicativo autenticador: apps como Google Authenticator, Microsoft Authenticator, Authy ou o próprio gerenciador de senhas geram códigos temporários que mudam a cada 30 segundos. É a opção recomendada para a maioria das pessoas.
- Notificação no app: você aprova o login tocando em uma notificação. Prático, mas cuidado para nunca aprovar um acesso que você não iniciou.
- Chaves de segurança físicas e passkeys: dispositivos USB/NFC (como YubiKey) ou chaves de acesso armazenadas no celular. São resistentes a phishing e representam o nível mais alto de proteção.
Passkeys: o futuro sem senhas
As passkeys (chaves de acesso) são um padrão apoiado por Google, Apple e Microsoft que substitui a senha por criptografia de chave pública. Você entra usando a biometria ou o PIN do seu dispositivo, e não existe uma senha que possa ser vazada ou digitada em um site falso. Cada vez mais serviços oferecem essa opção, e vale a pena ativá-la sempre que disponível.
Por onde começar hoje
- Proteja o seu e-mail principal com uma senha forte e única e ative o 2FA. Ele é a chave para recuperar todas as outras contas.
- Instale um gerenciador de senhas e crie uma senha mestra no formato de frase-senha.
- Ative o 2FA nas contas mais importantes: bancos, redes sociais, WhatsApp (verificação em duas etapas) e lojas onde você tem cartão salvo.
- Troque as senhas repetidas aos poucos, começando pelas contas mais críticas.
- Guarde os códigos de recuperação do 2FA em local seguro, para não perder acesso caso troque de celular.
Também vale consultar serviços como o Have I Been Pwned, que mostra se o seu e-mail apareceu em vazamentos conhecidos.
Conclusão
Segurança digital não precisa ser complicada. Senhas longas e únicas, guardadas em um gerenciador, combinadas com autenticação em dois fatores, bloqueiam a grande maioria dos ataques do dia a dia. Reserve uma tarde para organizar suas contas: é um investimento pequeno de tempo que pode evitar muita dor de cabeça no futuro.