Cibersegurança para iniciantes: proteja-se em uma noite
Em 29 de outubro de 2026, cerca de US$ 6,3 bilhões saíram das hot wallets da Binance em poucas horas, o maior roubo de cripto já registrado. Pela primeira versão da corretora, ninguém quebrou a blockchain: os atacantes tomaram o notebook de trabalho de um engenheiro e por ele chegaram ao serviço que envia os saques. Grandes ataques começam pelas pessoas e seus aparelhos, e os pequenos também. A boa notícia: a proteção básica barra quase todos os ataques contra pessoas comuns e cabe em uma noite. Esta é a ordem.
Curso grátis sobre o temaCibersegurança do zero: curso grátisComeçar o curso →
Passo 1: entenda por que você é um alvo
A maioria dos ataques é em massa, não pessoal. Vaza o banco de dados de algum site, robôs testam esses pares de e-mail e senha em todo lugar, e onde a senha bate, eles entram. Os atacantes usam três portas: sua conta (senha adivinhada ou roubada, código SMS interceptado), seu aparelho (malware, roubo, celular sem bloqueio) e você (convencido a passar um código ou instalar um programa).
"Não tenho nada para roubar" é mito: uma conta roubada é usada para pedir dinheiro aos seus amigos no seu nome. Comece pelas três chaves de tudo: seu e-mail, seu número de telefone e seu aparelho principal. Aula: Como um notebook custou US$ 6,3 bilhões
Passo 2: uma senha diferente por site, e o tamanho vence
Quando um site vaza, robôs testam a mesma senha no e-mail, no banco e na corretora. Isso se chama credential stuffing, e uma senha repetida abre todas as portas. "Dan2004!" parece complexa, mas os robôs testam nomes e anos primeiro. Seis palavras aleatórias de uma lista de 7.776 dão cerca de 2·10²³ combinações: fácil de lembrar, impossível de adivinhar. Escolha as palavras com um gerador, não com a cabeça.
O NIST, instituto de padrões dos EUA, diz que o tamanho vence a "complexidade", que uma senha que protege sozinha deve ter pelo menos 15 caracteres e que trocas periódicas não são necessárias, só quando há sinal de vazamento. Confira seu e-mail no Have I Been Pwned: se ele aparecer num vazamento, troque essa senha em todo lugar onde ela se repetia. Aula: Senhas que ninguém adivinha
Passo 3: deixe um gerenciador lembrar por você
Você não consegue lembrar 100 senhas diferentes, nem precisa. Um gerenciador de senhas guarda uma senha aleatória de mais de 20 caracteres para cada site num cofre criptografado, e você lembra só uma frase-mestra longa. Há opções nativas, como o Senhas da Apple e o Gerenciador de Senhas do Google, e independentes, como Bitwarden, 1Password e Proton Pass.
Bônus: ele pega phishing. O gerenciador liga cada senha ao endereço exato, então num site clonado ele fica calado. Se ele não oferecer a senha num site "conhecido", pare e confira o endereço. Mude primeiro as senhas do e-mail, do banco e da corretora, e o resto no próximo login. Aula: Gerenciador de senhas: lembrar só uma
Passo 4: ative o 2FA, de preferência uma passkey
Num estudo do Google de 2019, contra ataques direcionados o código SMS barrou 76% das tentativas, a confirmação no aparelho 90% e uma chave de segurança 100%. O SMS é o degrau mais fraco: em janeiro de 2024 golpistas convenceram uma operadora a passar o número da SEC dos EUA para o chip deles e sequestraram a conta da agência no X. Um app autenticador é melhor. A passkey é o melhor: ela é ligada ao endereço exato do site e simplesmente não funciona numa cópia falsa. Guarde os códigos de backup no papel, em casa. Aula: 2FA: do SMS à passkey
Passo 5: tranque seu e-mail e seu número
Quase todo link de "Esqueceu a senha?" vai para o seu e-mail, então quem controla o e-mail entra em quase tudo. Faça uma checagem de 10 minutos: senha única mais passkey ou autenticador, e-mail e telefone de recuperação seus, nenhuma regra de encaminhamento ou filtro que você não criou, e saia dos aparelhos desconhecidos.
Proteja seu número do SIM swap: peça à operadora um PIN de portabilidade ou um bloqueio de troca de chip (muitas chamam de Number Lock ou SIM Protection) e coloque um PIN no próprio chip. Se o sinal sumir sem motivo, ligue para a operadora de outro telefone na hora. Aula: E-mail e número: as chaves-mestras
Passo 6: atualize, nada de "lembrar amanhã"
A Microsoft corrigiu uma falha do Windows em 14 de março de 2017. Em 12 de maio o ransomware WannaCry usou essa mesma falha para atingir mais de 200 mil computadores em 150 países. No mesmo ano a Equifax perdeu os dados de 147 milhões de pessoas por um bug que já tinha correção. Ative as atualizações automáticas no celular, no notebook, no navegador e nos apps do banco, e não mantenha apps de dinheiro num aparelho que não recebe mais atualizações de segurança. Aula: Atualizações: o superpoder chato
Passo 7: proteja o celular contra roubo
O golpe mais feio: o ladrão vê você digitar o código de desbloqueio, depois rouba o celular e redefine suas contas. Use seis dígitos ou mais (quatro são só 10 mil combinações), cubra a tela ao digitar e ative a Proteção de Dispositivo Roubado no iPhone ou a proteção contra roubo no Android. Esconda a prévia das mensagens na tela bloqueada para os códigos não aparecerem e instale apps só pela App Store e pelo Google Play. Aula: O celular: bloqueio, roubo e apps
Passo 8: reconheça phishing e suporte falso
Leia o endereço da direita para a esquerda até a primeira "/": em binance.com.login-check.io o dono é login-check.io. Melhor ainda, um único hábito: nunca siga links de e-mails ou mensagens para onde você faz login ou paga; abra você mesmo o app ou o favorito. Aula: Phishing: como não morder a isca
O suporte de verdade nunca pede código, senha ou frase-semente, nunca pede para instalar apps de acesso remoto como o AnyDesk e nunca manda transferir dinheiro "para uma conta protegida". Ouviu uma dessas, desligue. Aula: Suporte falso
Passo 9: tenha um plano se for hackeado
Ordem vale mais que pressa. Pegue um aparelho limpo, bloqueie a conta afetada (na corretora, pelas configurações de segurança ou pelo suporte no app), troque a senha do e-mail e saia de todos os aparelhos. Ignore os "especialistas em recuperar cripto" que aparecem quando você posta sobre o ataque: o FBI já alertou sobre esses golpes com pagamento adiantado. Registre a ocorrência na corretora e na polícia: às vezes dá para congelar os fundos roubados. Aula: Seu plano se te hackearem
Perguntas frequentes
Por onde um iniciante deve começar em cibersegurança?
Pelas suas próprias contas: uma senha única por site num gerenciador de senhas, 2FA (passkey, se possível) no e-mail, no banco e na corretora, e atualizações automáticas. Isso fecha as portas que a maioria dos ataques usa e leva mais ou menos uma noite.
Qual a dica de cibersegurança mais importante?
Proteja primeiro o seu e-mail. Por ele se redefinem as senhas de todo o resto, então dê a ele uma senha única, uma passkey ou app autenticador e confira se não há regras de encaminhamento que você não criou.
A verificação em duas etapas por SMS é segura?
É muito melhor que nada, mas é a opção mais fraca: seu número pode ser roubado com um SIM swap e os códigos vão para o golpista. Use um app autenticador ou uma passkey sempre que o serviço permitir.
Curso grátis sobre o temaCibersegurança do zero: curso grátisComeçar o curso →