Ismael Rocha, Especialista em Inteligência de Ameaças da ISH Tecnologia, analisa o uso massivo de senhas fracas no Brasil, revela as principais limitações das práticas tradicionais, os desafios da autenticação multifator e o papel da biometria na segurança digital corporativa e pessoal.
Confira!
IT Section: O que os dados sobre o uso massivo de senhas fracas no Brasil indicam sobre a maturidade das práticas de segurança da informação no país?
Ismael Rocha: Se muitas pessoas ainda usam senhas fracas como “123456” ou “senha123”, isso revela que tanto as empresas quanto os usuários carecem de práticas sólidas de segurança digital. Senhas simples e previsíveis facilitam a ação de criminosos virtuais, que podem explorar rapidamente essas vulnerabilidades para acessar contas pessoais, corporativas ou até mesmo sistemas críticos. É como trancar a porta de casa, mas deixar a chave embaixo do tapete: a sensação de segurança é ilusória, pois qualquer pessoa minimamente mal-intencionada pode descobrir a “porta de entrada” sem esforço. Adotar senhas fortes, únicas e atualizadas, aliadas a métodos adicionais de autenticação, é essencial para reduzir o risco de invasões e proteger dados sensíveis.
Explicação Técnica
O uso massivo de senhas fracas indica baixa maturidade em segurança da informação no Brasil por três motivos:
- Educação insuficiente sobre gestão segura de credenciais.
- Ausência ou má implementação de políticas técnicas, como bloqueio de senhas fracas e obrigatoriedade de MFA.
- Cultura organizacional reativa com foco em resolver incidentes, não em preveni-los.
IT Section: Quais são as principais limitações das abordagens tradicionais de criação e gerenciamento de senhas que ainda impactam a segurança corporativa?
Ismael Rocha: Principais limitações das abordagens tradicionais de criação e gerenciamento de senhas:
As antigas orientações de “trocar a senha todo mês” ou “misturar letras, números e símbolos” já não são tão eficazes como antes. Essas práticas, além de serem difíceis de manter, levam muitas pessoas a esquecer suas senhas, anotá-las em papéis ou criar variações previsíveis que facilitam o trabalho de invasores.
Explicação Técnica
- Memorização humana limitada – usuários tendem a simplificar.
- Reuso de senhas entre contas pessoais e corporativas.
- Políticas baseadas em complexidade artificial incentivam padrões previsíveis (“Senha2025!”).
- Ausência de integração com gerenciadores de senha e MFA.
Exemplo prático
Trocar a senha “Verão2023!” por “Verão2024!” cumpre a regra de complexidade, mas não aumenta a segurança real.
IT Section: Na sua experiência, por que as campanhas de conscientização em segurança não conseguem reduzir o uso de senhas vulneráveis de forma efetiva?
Ismael Rocha: Falar sobre o perigo não é suficiente, é como orientar alguém a dirigir com cuidado, mas deixar as estradas cheias de buracos, sem sinalização e mal iluminadas. Todos sabem que a situação é arriscada, mas, sem condições adequadas e um sistema que apoie de fato a segurança, o risco permanece alto.
Explicação Técnica
- Desalinhamento entre discurso e prática, campanhas isoladas sem mudanças estruturais.
- Ausência de reforço técnico, sem bloqueio de senhas fracas, o usuário mantém o hábito.
- Falta de métricas de impacto, não há acompanhamento para medir melhora real.
Exemplo prático
Mesmo após campanhas internas, usuários continuam usando “Empresa@123” porque o sistema aceita.
IT Section: Até que ponto o design e a experiência do usuário nas plataformas influenciam na escolha de senhas frágeis e reutilização?
Ismael Rocha: Se criar uma senha forte for um processo chato e complicado, a maioria das pessoas vai optar pela opção mais simples possível. É como pedir que todos usem um enorme e pesado cadeado para trancar a bicicleta, por mais seguro que seja, muitos não vão querer o incômodo e acabarão escolhendo alternativas menos seguras.
IT Section: Considerando o cenário atual, como seria uma arquitetura ideal de autenticação que balanceasse segurança robusta e usabilidade para ambientes corporativos?
Ismael Rocha: Está não é um pergunta simples. Porém, uma arquitetura ideal de autenticação corporativa deve unir segurança robusta e boa usabilidade. Isso inclui MFA adaptativa, solicitando fatores extras apenas em situações de risco; Single Sign-On (SSO) para reduzir a fadiga de senhas; integração com provedores de identidade modernos (SAML, OAuth, OpenID Connect); e autenticação sem senha (biometria, FIDO2, links mágicos) para eliminar vulnerabilidades associadas a senhas. Complementa-se com monitoramento contínuo e análise comportamental, garantindo proteção sem comprometer a experiência do usuário.
IT Section: Quais os principais desafios técnicos para a implementação em larga escala da autenticação multifator, especialmente em ambientes legados?
Ismael Rocha: A implementação em larga escala de autenticação multifator em ambientes corporativos enfrenta desafios significativos, especialmente quando há sistemas legados. Muitos desses sistemas não foram projetados para suportar MFA, exigindo soluções intermediárias como gateways ou integrações customizadas, o que aumenta a complexidade e o custo. Além disso, aplicações críticas sem suporte a padrões modernos dificultam a integração direta. Há também o desafio de manter uma boa experiência do usuário, evitando fricções que possam impactar a produtividade.
É como tentar instalar airbag num carro de 1975, possível, mas complicado e caro.
IT Section: Como você avalia o papel da autenticação sem senha (passwordless) e da biometria na evolução dos modelos de segurança, e quais riscos técnicos ainda precisam ser superados?
Ismael Rocha: Estamos caminhando para um futuro em que ninguém precisará decorar senhas. Tecnologias como biometria (impressão digital, reconhecimento facial) e dispositivos confiáveis (celulares, chaves de segurança) tornam o acesso mais rápido e seguro.
Mas, como qualquer tecnologia, existem riscos e eles precisam ser controlados.
Vantagens
- Fim do reuso de senhas: elimina uma das maiores causas de invasões.
- Menos vulnerável a phishing: sem senha para roubar, ataques por e-mail e sites falsos perdem força.
Melhoria da experiência do usuário (UX): login mais rápido, sem lembrar combinações complexas.
Riscos
- Roubo de dados biométricos: ao contrário de senhas, impressões digitais e rostos não podem ser “trocados” caso sejam expostos.
- Dependência de hardware: se o celular ou chave de segurança for perdido ou danificado, pode haver dificuldade de acesso.
- Fraudes e spoofing biométrico: sensores podem ser enganados por impressões falsas ou imagens 3D do rosto, se não houver proteção avançada.
