"Protegendo suas contas: senhas, 2FA e troca de chip"

Sua conta na corretora, e o e-mail por trás dela, são protegidos por um login. A maioria dos roubos de conta vem de senhas reutilizadas, métodos fracos de dois fatores e números de telefone sequestrados. Esta lição fecha essas brechas.

Senhas

Uma senha por conta. Quando qualquer site é invadido, os atacantes testam as senhas vazadas em todos os outros. Uma senha reutilizada é tão segura quanto o site mais fraco em que você a usou.

Use um gerenciador de senhas. Ele cria senhas longas e aleatórias e lembra delas. Você lembra de uma única senha mestra forte. O guia de segurança do ethereum.org diz: "Recomendamos fortemente usar um."

Faça uma senha mestra longa. Várias palavras aleatórias são mais difíceis de quebrar do que uma senha curta e complicada.

Uma exceção, da Lição 30: sua frase-semente não vai no gerenciador de senhas.

Autenticação em dois fatores

A autenticação em dois fatores, ou 2FA, pede algo que você tem, além da senha. Os métodos não são iguais. A agência de cibersegurança dos EUA, a CISA, os classifica:

Método	Força	Ponto fraco
Chave de segurança ou passkey	A mais forte. Resiste a phishing	Você precisa guardar uma reserva
App autenticador	Boa	Um site falso ainda pode capturar um código
SMS ou ligação	A mais fraca	Troca de chip e interceptação

Uma chave de segurança confere o endereço real do site antes de responder, então não faz login em um site falso. É por isso que a CISA chama esse tipo de "padrão ouro".

Use o método mais forte que cada serviço oferecer. Qualquer 2FA é melhor do que nenhuma.

Troca de chip (SIM swap)

Na troca de chip, um criminoso convence sua operadora a transferir seu número para o chip dele. Ele pode se passar por você, subornar um funcionário ou enganar o atendimento. Seu celular perde o sinal, e ele recebe suas ligações e SMS.

Depois ele pede ao seu e-mail ou à corretora para redefinir a senha, e o código chega no celular dele.

O FBI recebeu 1.611 queixas de troca de chip em 2021, com perdas de mais de US$ 68 milhões.

Defesas

Não use SMS como 2FA em contas que importam.
Tire seu número de telefone como opção de recuperação onde o serviço permitir.
Peça à sua operadora um bloqueio de portabilidade ou um PIN da conta.
Se seu celular perder o sinal sem motivo, fale com a operadora na hora, de outra linha.

Seu e-mail é a chave mestra

Quem controla seu e-mail consegue redefinir quase todo o resto. Dê a ele sua melhor proteção: senha única, chave de segurança ou app autenticador, e nenhuma alternativa por SMS.

O resto do checklist

Guarde os códigos de backup. Imprima os códigos de recuperação que cada serviço dá e guarde-os offline.
Ative listas de endereços permitidos para saque. Veja a Lição 35.
Mantenha os aparelhos atualizados. Instale logo as atualizações de sistema e de navegador.
Fique quieto. O FBI e a SEC aconselham a não contar às pessoas que cripto você tem. Exposição faz de você um alvo.
Nunca compartilhe um código. Nenhum funcionário de verdade vai pedir sua senha ou seu código de 2FA.