A cena se repete: a senha do e-mail vazou, e alguém entrou. Não foi um ataque sofisticado — foi a mesma senha usada num site pessoal, ou digitada sem desconfiança numa página que parecia legítima. Bastou isso. Sem mais nenhuma barreira depois da senha, quem a roubou entrou de qualquer lugar do mundo, e ninguém percebeu na hora.
Segundo o relatório de 2026 sobre violações de dados no mundo, da Verizon, o roubo de credenciais foi durante anos o caminho mais comum para um invasor entrar num sistema. Neste ano ele caiu para 13% dos casos analisados, ultrapassado pela exploração de falhas em programas de computador, que já responde por 31%. A queda não quer dizer que a senha ficou mais segura — quer dizer que existem hoje outras portas fáceis de arrombar, e que a senha continua entre as mais usadas.
Para quem decide o orçamento de TI, isso muda a pergunta. Não é "nossa senha é forte o bastante" — senha forte também vaza: foi digitada no lugar errado, ficou salva no navegador de um computador pessoal, ou foi reaproveitada num serviço que sofreu um vazamento. A pergunta certa é o que a empresa tem depois que a senha, mesmo a mais forte, cai em mãos erradas.
Por que a senha sozinha não resolve
Uma senha é só uma coisa que a pessoa sabe. Se ela souber, pode contar para outra pessoa sem querer — numa tela compartilhada, num anexo aberto sem cuidado, numa ligação que se passa por suporte técnico. E se houver um programa malicioso instalado no computador de casa do funcionário, ele copia a senha no instante em que ela é digitada, sem que ninguém perceba.
Existe hoje um tipo de programa feito só para isso: colher senhas e códigos de acesso guardados em navegadores e aplicativos, em escala, e alimentar com esse material um mercado de dados roubados. Segundo o Microsoft Digital Defense Report 2025, publicado em outubro de 2025 pela Microsoft, e-mail falso ou outra forma de engano direto com um funcionário esteve por trás de 28% das violações registradas naquele levantamento — e programas desse tipo, feitos para colher credencial, seguem alimentando esse mercado.
O problema cresce quando a mesma senha é usada em mais de um lugar. É comum: decorar dezenas de senhas diferentes é impraticável, então o funcionário cria a senha do sistema de trabalho a partir da mesma raiz da pessoal. Quando um desses outros serviços vaza — e vazamentos de serviços pequenos acontecem toda semana, sem manchete — quem tem a lista de senhas vazadas testa a mesma combinação no e-mail corporativo, no acesso remoto, no portal do banco. Não precisa acertar todo mundo; precisa acertar uma pessoa.
Ao contrário de uma invasão que derruba um sistema, essa entrada não faz barulho. Quem chega com a senha certa não precisa arrombar nada — só faz login, do jeito normal, de qualquer lugar do mundo. Sem um sinal específico avisando que aquele acesso é estranho, a empresa só descobre quando o estrago já apareceu: um pagamento fora do padrão, um cliente reclamando de um e-mail esquisito, um sistema com dado sumido.
O jeito comum não fecha a porta
O jeito mais comum de lidar com isso, na empresa que ainda não parou para pensar no assunto, é pedir senha "forte" — letra maiúscula, número, símbolo — e trocá-la a cada 90 dias. Parece disciplina. Na prática, é quase o oposto: quando a troca é só por calendário, sem motivo real, as pessoas trocam do jeito mais fácil de lembrar — mudam um número no fim, anotam num papel colado na mesa, repetem a mesma senha em ciclo.
O instituto de padrões dos Estados Unidos que define as regras internacionais de identidade digital, o NIST, mudou essa recomendação. No documento mais recente sobre autenticação, publicado em julho de 2025, o NIST diz que a senha não deve mais ser trocada por calendário — só quando existe sinal concreto de que ela vazou. O mesmo documento recomenda pelo menos 15 caracteres para uma senha usada sozinha, sem depender de mistura forçada de símbolo e número: mais longa importa mais do que mais complicada.
Isso não quer dizer "não trocar nunca". Quer dizer que trocar por trocar não é proteção — é trabalho que dá a sensação de segurança sem entregar segurança. O que protege de verdade é notar rápido quando algo vazou e reagir naquele momento, não seguir um calendário que não sabe se a senha está comprometida.
Outro jeito comum, e mais arriscado, é achar que só a caixa de e-mail da diretoria merece cuidado extra, e deixar o resto — acesso remoto, sistema financeiro, conta de administrador da rede — só com senha. É o contrário do que deveria acontecer: quanto mais um acesso pode mexer em dinheiro, em configuração da rede ou em dado sensível, mais cedo ele precisa ganhar uma camada a mais de proteção.
O que precisa existir na prática
Um ambiente de TI bem cuidado não resolve isso com aviso interno pedindo cuidado com a senha. Resolve com mecanismos que seguem funcionando mesmo quando alguém erra.
Um segundo passo de confirmação em todo acesso que move dinheiro, dado ou configuração. Mesmo que a senha certa caia em mãos erradas, esse segundo passo — um código, uma notificação no celular — não vai para quem a roubou. A conta continua fechada.
Prioridade para quem decide, quem mexe com dinheiro e quem administra o sistema. Se só der para começar por um grupo, comece pela diretoria, pelo financeiro e por quem tem acesso de administrador — são as contas que, invadidas, custam mais caro.
Um plano para quando o aparelho troca de dono. Celular perdido, trocado ou roubado é rotina, não exceção. A empresa precisa de um jeito de desligar aquele segundo passo de confirmação no mesmo dia e religar num aparelho novo, sem deixar a conta sem proteção nem sem uso por dias.
Senha trocada por sinal de vazamento, não por calendário. Trocar a cada três meses sem motivo cansa a equipe e não impede nada; trocar assim que existe suspeita concreta é o que realmente fecha a porta.
Um único responsável olhando os acessos da empresa inteira, em vez de cada sistema com login separado e ninguém revisando quem ainda tem acesso ao que já não usa.
É assim que a Skills IT trabalha: priorizando o segundo passo de confirmação nos acessos que decidem dinheiro e configuração, e revisando quem ainda tem acesso a cada sistema antes que vire um problema esquecido.
O ganho para a empresa
O ganho não é abstrato. Uma conta protegida por um segundo passo de confirmação continua fechada mesmo quando a senha vaza — e isso corta, na origem, o tipo de invasão que ainda responde por uma fatia relevante das violações registradas no mundo, segundo o mesmo levantamento da Verizon citado acima.
Tem um ganho de tempo que não aparece em relatório nenhum: a equipe de TI para de gastar hora reagindo a pânico — trocar a senha de todo mundo às pressas porque uma vazou, vasculhar sistema por sistema atrás de acesso indevido — porque o segundo passo de confirmação já fecha a maior parte desses casos antes de virar incidente.
Tem também um lado financeiro direto. O mesmo levantamento da Verizon mediu, num grupo de fornecedores terceirizados que atendem clientes na nuvem, quanto tempo essas empresas levavam para corrigir a ausência desse segundo passo de confirmação depois de identificada a falha: sete dias depois, 58% ainda estava sem correção; noventa dias depois, 42%; e passados oito meses, quase um terço da amostra continuava exposto. Cada mês de atraso é um mês a mais de porta aberta, e o custo de corrigir depois de um incidente é sempre maior que o custo de configurar antes.
E tem o ganho de decisão: quando um acesso estranho aparece, alguém sabe na hora que precisa agir — não descobre semanas depois, por acidente, quando o estrago já apareceu em outro lugar.
Um roteiro para começar
Antes de aprovar mais um treinamento sobre senha forte, vale colocar isso em prática:
- Liste os cinco acessos que, invadidos, causariam mais dano. E-mail da diretoria, sistema financeiro, acesso remoto, administrador de rede e o banco costumam estar nessa lista.
- Ligue o segundo passo de confirmação nesses cinco primeiro. Não espere ter tempo de fazer todo mundo de uma vez; comece pelo que dói mais se vazar.
- Defina quem desliga o acesso quando um celular é trocado ou perdido, e em quanto tempo isso acontece — sem esse plano, o dia da troca de aparelho pode virar semana de conta sem segundo passo.
- Pare de trocar senha por calendário sem motivo. Troque quando houver sinal real de vazamento; o esforço economizado vai para o que realmente protege.
- Pergunte quem, hoje, ainda tem acesso a sistemas que já não usa. Ex-funcionário, fornecedor antigo, projeto encerrado — cada acesso esquecido é uma porta que ninguém está olhando.
