Segurança operacional: boas práticas para proteger ativos digitais

A segurança de criptoativos depende menos de um único produto e mais de hábitos: autenticação forte nas contas (de preferência com chave de segurança física), atenção a mensagens e links, proteção do número de celular contra troca de chip (SIM swap), dispositivos atualizados e limpos, e divisão de funções para que nenhuma pessoa ou aparelho concentre todo o poder. Como as transações em blockchain em geral não podem ser revertidas, a prevenção pesa mais do que a correção.

Por que a segurança “operacional” importa

Segurança operacional é o conjunto de rotinas e controles com que alguém usa, guarda e movimenta ativos no dia a dia. A criptografia da rede pode ser sólida e, ainda assim, o patrimônio ser perdido por uma senha fraca, um link falso ou um telefone clonado. O ethereum.org afirma que as transações não podem ser revertidas e que não há suporte ao cliente como numa conta bancária; por isso, o cuidado precisa vir antes.

Este artigo trata de práticas gerais de segurança da informação aplicadas a ativos digitais. Para o ponto específico das chaves, veja autocustódia: responsabilidades e cuidados.

1. Autenticação: senhas e segundo fator

• Senhas longas e únicas, em gerenciador de senhas. O ethereum.org recomenda senhas longas, sem dados pessoais, e uso de gerenciador, e afirma que a maioria dos casos de contas invadidas decorre de senhas fracas ou roubadas.
• Autenticação multifator (MFA) em tudo que importa, começando por e-mail, exchanges e contas administrativas. A CISA diz que “qualquer MFA é melhor do que nenhuma”, mas ordena os métodos, do mais ao menos seguro: chaves de segurança físicas, aplicativos autenticadores com confirmação por número, aplicativos com códigos temporários, biometria e, por último, códigos por SMS ou e-mail.
• Chave de segurança física (padrão como FIDO/WebAuthn). A CISA a descreve como a melhor proteção contra phishing. O NIST, em seu guia de autenticação, explica que métodos em que o usuário digita um código (OTP, SMS) não são resistentes a phishing, enquanto a autenticação criptográfica vinculada ao site legítimo é.
• Evitar SMS como segundo fator. O NIST classifica o uso de rede telefônica para autenticação como “restrito” e prevê verificar sinais de troca de chip ou portabilidade; a CISA o coloca como último recurso; o ethereum.org o considera inseguro.

O e-mail merece atenção especial: quem controla o e-mail costuma controlar a recuperação de todas as outras contas. Proteja-o com o fator mais forte disponível.

2. Phishing e engenharia social

Phishing é a tentativa de enganar a vítima, por mensagem, ligação ou site falso, para que entregue senhas, códigos ou a frase de recuperação. Segundo a FTC, os sinais incluem saudação genérica, alegação de problema na conta (que pressiona a agir) e convite para clicar em link para atualizar dados de pagamento; empresas legítimas não pedem isso por mensagem. Se houver dúvida, contate a empresa por canal que você mesmo localizou, não pelo que veio na mensagem.

Regras úteis, também apontadas pelo ethereum.org:

• Nenhum serviço legítimo, suporte ou “equipe” pede a frase de recuperação ou a chave privada.
• Não abra links ou anexos de remetentes desconhecidos; acesse os serviços digitando o endereço ou por favorito salvo.
• Desconfie de ofertas de retorno certo, de “suporte” que chega por mensagem direta e de pedidos de pressa. Veja mais em como reconhecer golpes com criptoativos.
• Leia o que está assinando: aprovações de gasto a contratos e assinaturas de mensagens podem esvaziar uma carteira.

3. SIM swap: proteja o número de celular

SIM swap é a transferência fraudulenta do seu número para um chip controlado por criminosos. O FBI (IC3) explica que isso pode ocorrer por engenharia social contra a operadora, por funcionário corrompido ou por phishing de funcionários; com o número, o criminoso recebe chamadas e SMS, pede redefinição de senhas e captura códigos de verificação. O IC3 registrou, em 2021, 1.611 reclamações nos Estados Unidos, com perdas ajustadas acima de US$ 68 milhões. Os números são americanos e de um ano específico; servem como ilustração, não como retrato do Brasil.

Medidas indicadas pelo IC3:

• Não divulgar patrimônio em criptoativos em redes sociais e fóruns, nem expor telefone e endereço.
• Nunca informar senha ou PIN a quem ligar; desligue e contate a operadora por canal oficial.
• Usar senhas diferentes por conta e não guardá-las em aplicativos do celular sem proteção.
• Observar perdas súbitas de sinal ou de SMS.
• Preferir chaves físicas, aplicativos autenticadores ou biometria ao SMS.

Em caso de suspeita, o IC3 orienta contatar a operadora de imediato, trocar senhas, avisar instituições financeiras e registrar a ocorrência. No Brasil, isso inclui a operadora, as plataformas e a autoridade policial; confirme os canais com os próprios serviços.

4. Higiene de dispositivos

• Atualizações automáticas do sistema, navegador e carteiras. A FTC e o Bitcoin.org recomendam manter o software atualizado.
• Dispositivo separado (ou perfil dedicado) para operações de maior valor, sem instalar programas desnecessários, extensões duvidosas ou software pirata.
• Carteira de hardware de canal oficial do fabricante. O Bitcoin.org a descreve como bom equilíbrio entre segurança e facilidade de uso, por rodar sem programas instaláveis.
• Backups em mais de um local, criptografados quando online; a FTC também recomenda backup regular dos dados do computador e do telefone.
• Sem capturas de tela ou fotos da frase de recuperação, que podem ser sincronizadas na nuvem (ethereum.org).
• Wi-Fi público e computadores de terceiros: evite para operações financeiras.

5. Segregação de funções e limites

Concentrar tudo em uma pessoa, um dispositivo e uma conta cria um ponto único de falha. Princípios aplicáveis a famílias e empresas:

• Separar valores por finalidade: uma carteira para uso frequente, com saldo limitado, e outra de guarda mais restrita.
• Quem propõe não é quem aprova. Em empresas, exigir duas pessoas para saques; o multisig permite impor essa regra tecnicamente.
• Menor privilégio: dar a cada pessoa ou sistema o acesso mínimo necessário e revisar acessos quando alguém sai.
• Registro e conciliação: guardar um inventário atualizado (sem as chaves) e conferir saldos periodicamente.
• Revisar aprovações concedidas a contratos inteligentes e revogar as que não são mais usadas.

Lista de verificação

Limites: o que não é verdade

• “Chave física elimina o risco.” Reduz o risco de phishing de credenciais, mas não protege quem aprova uma transação maliciosa ou perde o dispositivo sem alternativa.
• “Só grandes patrimônios são alvo.” Golpes de phishing são em massa; o ataque dirigido, porém, tende a mirar quem expõe o que possui.
• “Segurança máxima é segurança ideal.” Controles excessivos podem travar o próprio titular e a família; é preciso equilibrar proteção e acesso.

O que observar

• Se cada conta crítica tem o fator de autenticação mais forte que ela admite.
• Se alguém além de você conseguiria agir em caso de emergência, sem receber poder total no dia a dia (veja continuidade de acesso).
• Se as rotinas são testadas e revisadas, e não apenas definidas uma vez.
• Se há um procedimento para o caso de golpe: quem acionar, quais contas bloquear e como registrar a ocorrência.

Quem quer estruturar controles de segurança, guarda e continuidade do patrimônio digital pode conhecer a consultoria para pessoas. Este conteúdo é informativo, não é recomendação de investimento e não substitui orientação jurídica, tributária ou especializada em segurança da informação.