Ative a autenticação de dois fatores em e-mail, contas de pagamento e redes sociais; prefira confirmação por pop-up no celular e só depois código por SMS

Autenticação de dois fatores significa que, no login, além da senha, você confirma de novo que é você. Com um pop-up no celular em que você toca para confirmar, mais de nove em cada dez roubos de conta por phishing são barrados. O código por SMS é mais fácil de ser enganado e levado do que o pop-up. Métodos antigos, como responder «onde você entrou da última vez» ou «qual é o e-mail reserva», no caso que menos barra, só impedem uma em cada dez roubos de conta por phishing.

Custo

Não custa nada. Cada conta se configura uma vez; em dois ou três minutos está pronto.

Benefício

O Google analisou 350000 tentativas reais de roubo de conta (também chamado sequestro de conta). Um tipo verifica pelo dispositivo, por exemplo um pop-up no celular para você confirmar, ou uma chave de segurança que se conecta. Esse tipo barrou «mais de 94% das tentativas de sequestro originadas de phishing e 100% das tentativas automatizadas de sequestro». Phishing é enganar você para digitar a senha num site falso; automatizado é a máquina testar em massa senhas vazadas. Outro tipo verifica por respostas a perguntas, por exemplo onde você entrou da última vez ou qual é o e-mail reserva. Esse «só barrou algo tão baixo quanto 10% dos sequestros por phishing e 73% dos sequestros automatizados». Dentro da verificação por dispositivo, o código por SMS é mais fraco que o pop-up no celular. Quem faz phishing acertou 4% dos códigos por SMS; o pop-up só foi enganado em 1%. Em ataques dirigidos a uma pessoa específica, o SMS só barrou 76% e o pop-up barrou 90%.

Notas

O mesmo estudo também viu que essa verificação às vezes impede o próprio titular. 52% dos usuários reais não entraram na primeira tentativa, mas no fim 97% conseguiram. Ative primeiro no e-mail, porque a maioria das outras contas recupera a senha por e-mail. O código de verificação é só seu; o que você assume se ler o código ou fizer reconhecimento facial no lugar de outra pessoa está na seção 8, item 45 (ditar o código).

Fontes · 1

1. Doerfler P, Thomas K, Marincenko M, et al. (2019). Evaluating Login Challenges as a Defense Against Account Takeover. The World Wide Web Conference (WWW '19). doi.org/10.1145/3308558.3313481