A senha reutilizada: o hábito que abre a porta de tudo

Existe um costume de segurança que resolve um problema e cria outro. A reutilização de senha é o mais comum deles, e a razão é prática: ninguém lembra de dez senhas diferentes, então a pessoa usa uma em todos os lugares.

O problema é que a reutilização transforma cada vazamento em um ataque com alcance maior. Quando um serviço é invadido e as credenciais vazam, o atacante não para ali: ele testa exatamente aquela combinação em outros centenas de serviços, e o índice de tentativas é tão grande que a chance de acerto em algum serviço da pessoa é altíssima. E o acerto costuma ser em um serviço mais valioso.

A solução que resolve o problema sem criar um novo é o gerenciador de senhas, com senha única e longa por serviço. A objeção comum é que o gerenciador é um lugar único onde o atacante quer entrar. A resposta é que o gerenciador é o único lugar que a empresa consegue proteger com rigor, com segunda camada, com bloqueio por dispositivo e com registro de acesso. Uma senha reutilizada, em cem serviços, é cem portas abertas, e nenhuma delas tem como ser monitorada.

O que costuma decidir a adoção é o trabalho inicial, que é real: cadastrar todas as contas e gerar as senhas. Por isso a recomendação prática é começar pelas contas que importam, o e-mail principal, o banco, o provedor de e-mail corporativo e as contas de trabalho, e ir avançando. Em duas semanas dededication, o hábito está quebrado.

E vale a pena lembrar o motivo de fundo: a senha reutilizada não é um erro de usuário, é um erro de design do processo. Nenhum usuário tem obrigação de lembrar de trinta senhas, e a solução que exige isso da pessoa é uma solução que falha.