Entregava o seu telemóvel desbloqueado a um especialista em cibersegurança? E, se lhe desse apenas alguns minutos para o analisar, onde acha que ele encontraria as primeiras fragilidades?
Sérgio Silva começaria pelo código que protege o aparelho. Depois iria ao email, à conta Apple ou Google, às atualizações, às cópias de segurança e até às mensagens que aparecem no ecrã sem ser necessário desbloqueá-lo.
Porque aquele pequeno objeto que levamos para todo o lado guarda hoje “muitas das chaves da nossa vida”. E há erros aparentemente insignificantes que podem abrir portas importantes.
“A data de nascimento pode ser muito importante para a família, mas não precisa de ter uma segunda carreira como código de segurança.”
Em entrevista à ‘Executive Digest’, o especialista em cibersegurança, Inteligência Artificial e segurança quântica Sérgio Silva faz uma espécie de auditoria à vida digital do leitor: dez coisas que verificaria, o que mudaria e aquilo que gostaria que fizéssemos antes de chegar uma fraude, perdermos o telemóvel ou descobrirmos que alguém entrou numa das nossas contas.
1. O seu telemóvel está realmente bloqueado?
É aí que Sérgio Silva começa.
“Começaria por verificar o bloqueio do aparelho, garantindo um código suficientemente forte, biometria e bloqueio automático rápido, porque naquele pequeno objeto estão muitas das chaves da nossa vida.”
Logo depois vêm o email e a conta principal associada ao telemóvel. Importa perceber também como recuperar o acesso se o aparelho desaparecer.
E ainda há aquilo que mostramos sem perceber.
“Confirmaria também as atualizações, as cópias de segurança, as funções de localização e bloqueio remoto e a informação que aparece nas notificações com o ecrã bloqueado, porque um telefone bloqueado não deve continuar a mostrar códigos e mensagens sensíveis a quem o tiver na mão.”
2. Password, dois fatores ou passkey: o que escolheria para a própria família?
A resposta de Sérgio Silva é clara: “Passkeys sempre que o serviço as disponibilizasse.”
São mais resistentes ao phishing porque estão associadas ao serviço legítimo, em vez de dependerem de uma password que podemos ser convencidos a escrever numa página falsa.
Onde ainda não existam, recomenda passwords longas e diferentes para cada serviço, geradas por um gestor, acompanhadas por autenticação de dois fatores — de preferência através de aplicação ou chave de segurança.
E nem o SMS deve ser desprezado quando é a alternativa disponível: “Continua a ser melhor do que não ter segundo fator.”
3. Recebeu uma mensagem urgente? Talvez seja precisamente a altura de parar
Tem o seu nome. O logótipo está certo. O português é perfeito. E o banco, as Finanças ou outra entidade parecem estar a exigir uma ação imediata.
Nada disso chega para provar que a mensagem é verdadeira.
“Até o número apresentado numa chamada pode ser falsificado.”
Sérgio Silva aconselha a sair da própria mensagem e confirmar por outro caminho: abrir diretamente a aplicação do banco, escrever o endereço conhecido do portal ou telefonar para um número que já estava guardado.
E inverte a lógica habitual da urgência: quanto mais alguém nos pressiona para agir, maior deve ser a vontade de confirmar.
“Se alguém nos diz que temos de pagar imediatamente para evitar uma catástrofe, vale a pena gastar um minuto a confirmar, porque esse minuto pode ser a parte mais rentável do nosso dia.”
4. A voz é mesmo da sua filha? Crie uma regra antes de precisar dela
Uma voz perfeitamente familiar deixou de ser prova suficiente de identidade.
Com ferramentas de Inteligência Artificial capazes de imitar vozes, Sérgio Silva aconselha as famílias a estabelecerem antecipadamente uma regra: qualquer pedido inesperado de dinheiro, códigos ou informação sensível deve ser confirmado através de outro contacto.
“Pode também existir uma palavra ou frase privada combinada em família, desde que não seja algo que se descobre nas redes sociais.”
Mas talvez a melhor proteção seja normalizar a desconfiança saudável dentro da própria família.
“O essencial é deixar combinado que ninguém fica ofendido por ser verificado, porque ouvir ‘sou mesmo eu’ duas vezes é um incómodo bastante mais pequeno do que fazer uma transferência para um desconhecido.”
5. Se só pudesse proteger cinco contas, quais escolheria?
Email. Conta Apple ou Google. Gestor de passwords. Banco. Operadora móvel.
São as cinco escolhas de Sérgio Silva porque todas podem funcionar como portas para outras partes da vida digital.
E há uma que considera particularmente desvalorizada.
“O email é provavelmente a conta mais subestimada, porque muitas pessoas olham para ele como uma caixa de correio, quando também é o local onde chegam os pedidos de recuperação de grande parte da sua vida digital.”
A lista pode mudar. Quem depende profissionalmente de uma rede social, por exemplo, poderá ter de a colocar entre as prioridades.
O princípio é outro: “Proteger primeiro os acessos cuja perda abre caminho à perda dos restantes.”
6. Quantas vezes já carregou em “lembrar mais tarde”?
O botão é tentador. O problema começa quando amanhã se transforma em semanas.
Nos equipamentos pessoais, Sérgio Silva colocaria em automático as atualizações do sistema operativo, navegador e aplicações.
E chama a atenção para um falso sinal de tranquilidade: um aparelho deixar de pedir atualizações não significa necessariamente que deixou de ter problemas.
“Deixar de receber avisos pode significar que o fabricante deixou de fornecer correções, e não que o aparelho atingiu finalmente a perfeição.”
Por isso, resume: “O botão ‘lembrar mais tarde’ dá muito jeito, mas não convém transformá-lo no responsável pela segurança cá de casa.”
7. Pode usar o Wi-Fi do café ou do aeroporto?
Pode — com cuidados.
Sérgio Silva começaria por confirmar qual é a rede verdadeira, manter o equipamento atualizado, desligar a partilha de ficheiros e impedir ligações automáticas a redes desconhecidas.
Também desmonta duas falsas garantias de segurança.
Uma página fraudulenta pode utilizar HTTPS. E uma VPN não impede o utilizador de entregar informação a um site falso.
Há, porém, um momento em que prefere simplesmente desistir da rede pública.
“Não devemos ignorar avisos de segurança nem instalar aplicações, certificados ou perfis de configuração só para entrar na rede.”
Se isso for exigido ou houver dúvidas sobre a origem da rede, a opção de Sérgio Silva é utilizar dados móveis.
8. Se o seu telemóvel desaparecesse agora, saberia o que fazer?
É uma pergunta que convém responder enquanto ainda temos o aparelho na mão.
Localização e bloqueio remoto devem estar ativos, assim como as proteções antirroubo disponíveis e as cópias de segurança automáticas.
Mas há um problema menos evidente: não podemos depender exclusivamente do telefone perdido para recuperar aquilo que estava dentro dele.
Sérgio Silva recomenda preparar antecipadamente códigos de recuperação guardados em segurança fora do dispositivo, outro equipamento de confiança ou uma chave de segurança de reserva.
E convém saber como bloquear o SIM e como ativar o modo de dispositivo perdido antes da emergência.
“Guardar o plano de emergência apenas no telemóvel parece muito prático, até o telemóvel decidir seguir viagem sem nós.”
9. Caiu numa fraude. O que faz nos primeiros minutos?
Primeiro: travar o dano.
Se houver dinheiro ou dados bancários envolvidos, contactar imediatamente o banco por um canal oficial. Se instalou software suspeito ou permitiu acesso remoto, desligar o equipamento da rede e passar para outro dispositivo de confiança.
Segundo: recuperar o controlo das contas. Alterar passwords comprometidas e reutilizadas, terminar sessões abertas e verificar novos acessos, métodos de recuperação ou até regras de reencaminhamento escondidas no email.
Terceiro: guardar provas e comunicar o sucedido.
Mas Sérgio Silva deixa dois alertas que podem ser tão importantes como os passos técnicos.
“O erro mais perigoso é continuar a seguir instruções de quem provocou o problema e agora se apresenta como a pessoa que o vai resolver.”
O outro é não deixar que a vergonha desperdice minutos preciosos.
“Quem foi enganado precisa de ajuda imediata, não de uma lição sobre como devia ter desconfiado.”
10. Só vai mudar uma coisa depois de ler isto? Comece pelo email
Se Sérgio Silva pudesse pedir ao leitor uma única alteração imediata, não seria comprar software nem passar horas a rever todas as contas.
Seria abrir as definições de segurança do email principal.
Ativar uma passkey ou, quando não estiver disponível, autenticação de dois fatores. E preparar uma forma segura de recuperar a conta caso perca o acesso.
O especialista diz continuar surpreendido com a facilidade com que pessoas extremamente cuidadosas noutras áreas entregam passwords, códigos ou autorizações perante uma história suficientemente convincente e urgente.
Mas recusa uma conclusão fácil: não é uma questão de inteligência.
“Significa que somos humanos, estamos ocupados e nem sempre tivemos preparação para reconhecer a manipulação.”
Talvez seja essa a melhor forma de terminar a auditoria ao telemóvel. Não é preciso transformar o leitor num especialista em cibersegurança. É preciso que as medidas de proteção sejam suficientemente simples para continuarmos a cumpri-las quando estamos cansados, distraídos ou com pressa.
Ou, como resume Sérgio Silva:
“Não precisamos de transformar toda a gente em especialista, precisamos de tornar a segurança compreensível e praticável, para que os bons hábitos sobrevivam à pressa de uma terça-feira normal.”
