A proteção das passwords continua a ser um dos pilares da segurança de qualquer organização. Ao longo dos anos, surgiram vários métodos de camuflagem de passwords, como acrescentar caracteres aleatórios, trocar letras por símbolos ou dividir a password em partes. Contudo, estas técnicas têm limites importantes e não substituem as boas práticas atuais de criação, armazenamento e proteção de credenciais.
Neste artigo, explicamos o que são os métodos de camuflagem de passwords, porque são insuficientes por si só e que medidas as empresas devem adotar para proteger o acesso aos seus sistemas e às plataformas de gestão documental.
O que são os métodos de camuflagem de passwords
A camuflagem consiste em tornar uma password menos óbvia através de transformações simples. Por exemplo, pode substituir-se o “a” por “@” e o “o” por “0”, acrescentar números no fim ou inserir símbolos entre as letras. A ideia é criar uma password que pareça aleatória, mas que o utilizador consiga recordar.
Durante muito tempo, muitos especialistas recomendaram estas técnicas. No entanto, os atacantes conhecem bem estas transformações. Por isso, as ferramentas de ataque testam automaticamente variações como “P@ssw0rd!” a partir de dicionários de palavras comuns. Assim, um atacante pode descobrir uma password camuflada muito mais depressa do que parece.
Porque a camuflagem não chega
Os ataques atuais raramente tentam adivinhar passwords uma a uma. Pelo contrário, usam listas com milhares de milhões de passwords divulgadas em fugas de dados e regras automáticas que aplicam substituições, prefixos e sufixos. Consequentemente, padrões previsíveis, como uma palavra seguida do ano, estão entre as primeiras combinações que os atacantes testam.
Além disso, a camuflagem não resolve dois problemas frequentes: a reutilização da mesma password em vários serviços e o roubo de credenciais através de phishing. Se o utilizador entregar a password num site falso, pouco importa quão camuflada esteja.
O que funciona: Passwords longas e únicas
As recomendações atuais de cibersegurança, como as do NIST e do Centro Nacional de Cibersegurança, privilegiam o comprimento e a unicidade em vez de regras complexas. Na prática, isto significa:
- usar passwords longas, idealmente com 15 ou mais caracteres;
- preferir frases-passe com várias palavras sem relação entre si;
- usar uma password diferente para cada serviço;
- recorrer a um gestor de passwords para criar e guardar credenciais;
- alterar a password apenas quando houver suspeita de comprometimento, e não em intervalos fixos.
Dessa forma, as passwords tornam-se difíceis de adivinhar e, ao mesmo tempo, mais fáceis de gerir.
Como guardar as passwords nos servidores
Do lado das organizações, a proteção das passwords não passa por as “camuflar”. As organizações nunca devem guardar passwords em texto simples nem com encriptação reversível. Em vez disso, devem transformá-las com funções de hash próprias para passwords, como Argon2id, scrypt ou bcrypt, sempre com um valor aleatório diferente para cada utilizador, conhecido como salt.
| Prática | Avaliação |
|---|---|
| Texto simples | Inaceitável |
| Encriptação reversível | Desaconselhado para passwords |
| Hash rápido (MD5, SHA-1) | Inseguro |
| Argon2id, scrypt ou bcrypt com salt | Recomendado |
Assim, mesmo que um atacante obtenha a base de dados, terá muita dificuldade em recuperar as passwords originais.
Autenticação multifator: A camada essencial
Nenhuma password é infalível. Por isso, a autenticação multifator deve estar ativa em todas as plataformas com dados sensíveis, incluindo as plataformas de gestão documental. Sempre que possível, convém preferir métodos resistentes a phishing, como chaves de segurança FIDO2 ou passkeys. Desse modo, mesmo que alguém roube a password, dificilmente consegue entrar.
Como criar uma frase-passe forte
Uma frase-passe é uma sequência de palavras fácil de lembrar, mas difícil de adivinhar. Por exemplo, quatro ou cinco palavras sem relação entre si, separadas por hífenes, formam uma combinação longa e resistente. Ao contrário das passwords camufladas, não exige memorizar símbolos em posições específicas.
Contudo, há cuidados a ter. As palavras não devem formar uma frase conhecida, como um provérbio ou a letra de uma música, nem incluir dados pessoais, como nomes de familiares ou datas. Além disso, cada serviço deve ter a sua própria frase-passe. Nesse sentido, o gestor de passwords continua a ser a forma mais prática de gerir várias credenciais.
Verificar passwords comprometidas
Nos últimos anos, as fugas de dados expuseram milhares de milhões de credenciais. Por conseguinte, uma password pode parecer forte e, ainda assim, já constar das listas usadas pelos atacantes. Por esse motivo, as boas práticas recomendam que os sistemas verifiquem as novas passwords contra listas de credenciais comprometidas e recusem as que lá aparecem.
Do mesmo modo, a empresa pode subscrever serviços que alertam quando endereços de e-mail do seu domínio surgem em novas fugas de dados. Dessa forma, consegue pedir a alteração das passwords afetadas antes de os atacantes as usarem.
Credenciais de prestadores externos
Nas plataformas de gestão documental, muitos utilizadores pertencem a empresas prestadoras. Estes utilizadores nem sempre têm as mesmas práticas de segurança da empresa contratante. Por isso, convém exigir autenticação multifator também para contas externas, definir contas individuais em vez de contas partilhadas por empresa e desativar automaticamente os acessos quando o contrato termina. A recuperação de acesso deve, igualmente, exigir verificação adequada, para evitar que alguém se faça passar por um prestador.
Recuperação de acesso segura
Muitos ataques não tentam adivinhar a password, mas sim explorar o processo de recuperação. Por exemplo, um atacante pode ligar para o suporte a fingir ser um colaborador e pedir a reposição do acesso. Como tal, a recuperação deve exigir uma verificação robusta da identidade, como a confirmação através de um segundo fator já registado ou a validação por uma chefia. As perguntas de segurança tradicionais, como o nome do primeiro animal de estimação, devem, aliás, ser evitadas, porque as respostas são muitas vezes fáceis de descobrir nas redes sociais.
Formação dos utilizadores
A tecnologia resolve grande parte do problema, mas os utilizadores continuam a ter um papel central. Nesse contexto, a formação deve explicar de forma simples porque as passwords longas são mais seguras, como usar o gestor de passwords e como reconhecer tentativas de phishing. Do mesmo modo, os colaboradores devem saber a quem reportar a suspeita de que uma password foi comprometida. Assim, a política de passwords deixa de parecer uma obrigação burocrática e passa a funcionar como uma proteção para todos.
Exemplo prático: Uma política de passwords atualizada
Imagine uma empresa cuja política obrigava a passwords com oito caracteres, maiúsculas, números e símbolos, alteradas de três em três meses. Na prática, os colaboradores usavam variações como “Empresa@2025”, “Empresa@2026” e assim sucessivamente.
A empresa decide rever a política. Em primeiro lugar, passa a exigir frases-passe com pelo menos 15 caracteres e deixa de impor alterações periódicas. Em seguida, disponibiliza um gestor de passwords a todos os colaboradores. Por fim, ativa a autenticação multifator na plataforma de gestão documental e no e-mail. Consequentemente, as passwords tornam-se mais fortes e os pedidos de recuperação de acesso diminuem.
Erros comuns na gestão de passwords
O erro mais frequente é confiar em regras de complexidade que levam a padrões previsíveis. Outro erro é partilhar contas entre vários colaboradores, o que impede saber quem fez cada ação. Também é comum guardar passwords em folhas de cálculo ou em papel junto ao computador. Por fim, muitas empresas não verificam se as passwords dos seus utilizadores constam de listas de credenciais divulgadas em fugas de dados.
Lista de verificação para proteger as credenciais da empresa
- As passwords exigidas têm comprimento mínimo adequado?
- Os utilizadores dispõem de um gestor de passwords aprovado?
- A autenticação multifator está ativa nas plataformas críticas?
- As passwords são guardadas com Argon2id, scrypt ou bcrypt?
- As novas passwords são verificadas contra listas de credenciais comprometidas?
- Existem contas partilhadas que devam ser eliminadas?
Perguntas frequentes
Os métodos de camuflagem de passwords são inúteis?
Não são inúteis, mas oferecem pouca proteção contra ataques modernos. Uma frase-passe longa e única é muito mais eficaz do que uma palavra comum com símbolos.
A empresa deve obrigar os colaboradores a mudar a password todos os meses?
As recomendações atuais não aconselham alterações periódicas obrigatórias, porque levam a passwords mais fracas. A alteração deve acontecer quando há suspeita de comprometimento.
Os gestores de passwords são seguros?
Sim, quando são de fornecedores reconhecidos e protegidos por uma frase-passe forte e autenticação multifator. Permitem, ainda, usar passwords diferentes em todos os serviços sem esforço.
As passkeys vão substituir as passwords?
Em muitos serviços, as passkeys já permitem entrar sem password, com mais segurança e conveniência. Contudo, a transição será gradual, pelo que as boas práticas de passwords continuam necessárias durante vários anos.
Conclusão: Para além dos métodos de camuflagem de passwords
Os métodos de camuflagem de passwords tiveram o seu lugar, mas já não são suficientes perante os ataques atuais. Hoje, a proteção eficaz assenta em passwords longas e únicas, gestores de passwords, armazenamento com funções de hash adequadas e autenticação multifator. Assim, as empresas protegem melhor as suas plataformas de gestão documental e os dados que nelas circulam.
Leia também: Permissões de acesso em plataformas de gestão documental e O que é o IAM e para que serve.
Para recomendações nacionais sobre cibersegurança, consulte o Centro Nacional de Cibersegurança (CNCS).