Como ativar a verificação em duas etapas nas contas da empresa

Uma senha vazada, um funcionário que anotou o acesso num papel, um código repassado "para o suporte". Basta isso para alguém entrar no e-mail, no WhatsApp ou nas redes da sua empresa. Saber como ativar a verificação em duas etapas é a forma mais barata de fechar essa porta: mesmo com a senha em mãos, o invasor ainda precisa de uma segunda prova de que é você.

O problema é que, numa empresa, ninguém sabe ao certo quais contas existem, em nome de quem estão e quem recebe o código. Este guia resolve as duas coisas: o passo a passo e a organização.

O que é a verificação em duas etapas

Verificação em duas etapas, também chamada de autenticação de dois fatores, é pedir uma segunda confirmação além da senha para entrar numa conta. Na definição do Google, ela adiciona uma camada a mais de segurança à sua conta caso a senha seja roubada. A segunda etapa pode ser uma notificação no celular, um código, uma chave de acesso ou uma senha extra.

O CERT.br, centro brasileiro de resposta a incidentes de segurança, resume a recomendação em uma frase: ative a verificação em duas etapas sempre que disponível.

Por onde começar: as contas que mais importam

1. E-mail principal da empresa. É por ele que se recuperam quase todas as outras senhas. Quem entra nele entra no resto.
2. WhatsApp da empresa. É onde os clientes conversam e pagam. Uma conta tomada vira pedido de Pix em nome da empresa.
3. Redes sociais e gerenciador de anúncios. Invasão aqui significa perfil apagado ou cartão da empresa usado em anúncios de terceiros.
4. Domínio e site. Quem controla o domínio controla o e-mail e o endereço da empresa na internet.
5. Sistemas internos e bancos. Confira se a segunda etapa está ligada para cada usuário, não só para o dono.

Como ativar a verificação em duas etapas no WhatsApp Business

A central de ajuda do WhatsApp descreve o caminho no Android assim:

1. Toque nos três pontos e em Configurações, depois em Conta e em Verificação em duas etapas.
2. Toque em Ativar a verificação em duas etapas.
3. Crie uma senha forte e confirme.
4. Informe um e-mail que você possa acessar, ou pule esta etapa.
5. Escolha se quer confiar no aparelho atual.

A mesma central avisa que o PIN de seis dígitos usado antes está sendo substituído por uma senha. Para a empresa, três cuidados fazem diferença:

• Não pule o e-mail. Use um e-mail da empresa, não o pessoal de quem configurou. Ele fica ligado à segurança da conta e não pode ir embora junto com um funcionário.
• Guarde a senha num cofre de senhas da empresa, não na memória de uma pessoa.
• Confie só no aparelho principal, o que fica com o chip da empresa.

A Febraban, federação dos bancos, também indica a medida contra a clonagem: habilitada a verificação, é possível cadastrar uma senha que será solicitada periodicamente pelo app, e essa senha não deve ser enviada a ninguém.

Como ativar a verificação em duas etapas na conta Google

Segundo a ajuda do Google, o caminho é: abra a sua Conta do Google, toque em Segurança e login e, em "Como você faz login no Google", selecione Ativar a verificação em duas etapas. Depois, siga as etapas na tela.

Na escolha da segunda etapa, o Google recomenda as notificações no celular e explica que elas também podem ajudar a proteger contra troca de chip e outras invasões que usam números de telefone. Código por SMS funciona, mas é o método mais exposto a esse tipo de ataque.

Dois avisos da mesma página valem ouro para a equipe: nunca compartilhe códigos de verificação com ninguém, e o Google não liga para confirmar código. Também é possível imprimir ou baixar códigos alternativos de oito dígitos para usar se o celular for perdido. Guarde-os em lugar seguro, fora do computador.

Nas outras contas

Redes sociais, bancos, plataformas de anúncio e sistemas de gestão costumam oferecer o recurso na área de segurança ou de login das configurações, às vezes com o nome de autenticação de dois fatores. A regra do CERT.br vale para todas: se está disponível, ative. E, junto com ela, não repasse códigos de autenticação, nem para quem diz ser do suporte.

Cuidados que só empresa precisa ter

O último item vem da própria ajuda do Google, que orienta marcar "não perguntar novamente" apenas em dispositivos usados regularmente e não compartilhados. Se a sua empresa usa o WhatsApp em vários aparelhos, revise também quem tem acesso a cada um; o guia de WhatsApp com vários atendentes ajuda nessa organização.

Monte o registro das contas

Antes de sair ativando, faça uma lista simples, guardada em lugar protegido, com uma linha por conta. Sugestão de colunas:

• nome do serviço e para que a empresa usa;
• e-mail ou número de login;
• quem é o responsável e quem é o substituto;
• qual é a segunda etapa (aplicativo, notificação, código por SMS, chave de acesso);
• onde estão os códigos reserva;
• data da última revisão.

Revise a lista a cada troca de celular, entrada ou saída de funcionário e, no mínimo, uma vez por semestre.

Erros comuns ao ativar a segunda etapa

• Ativar e não registrar. Se ninguém anota onde está o segundo fator, a empresa se tranca do lado de fora na primeira troca de celular.
• Centralizar tudo numa pessoa. A segurança melhora, mas a dependência piora. Tenha sempre um segundo responsável com acesso aos códigos reserva.
• Usar o mesmo número para tudo. Se o chip for perdido ou trocado indevidamente, todas as contas caem juntas.
• Achar que a senha forte dispensa a segunda etapa. Senha forte também vaza. A segunda etapa existe justamente para esse dia.

Próximo passo

Faça hoje uma lista das contas da empresa, marque em quais a segunda etapa está ligada e comece pelo e-mail principal e pelo WhatsApp. Mais temas de segurança e gestão estão no guia de gestão e tecnologia. Se quiser uma visão de fora sobre onde a operação está mais exposta, a 1i faz uma sessão gratuita de 30 minutos de diagnóstico.