Tomada de conta (account takeover) é evitável com defesas em camadas. Implemente todas:
1. Higiene de Credenciais (Fundação)
- Senhas únicas 16+ chars por serviço — use gerenciador (Bitwarden, 1Password, KeePassXC).
- Sem reuso — vazamento de um ≠ vazamento de todos.
- Frases-senha (4–6 palavras aleatórias) > senhas complexas curtas.
2. Autenticação de Dois Fatores (2FA) — Obrigatório
- Ordem de Prioridade: Chave hardware FIDO2/WebAuthn (YubiKey) > App Autenticador (TOTP) > Push (Duo, Microsoft) > SMS/Voz (último recurso).
- Ative em: Email, bancário, social, nuvem, registrador domínio, gerenciador senhas.
- Guarde códigos backup offline (papel, USB criptografado).
3. Resistência a Phishing
- Chaves hardware previnem phishing (origin-bound).
- Verifique URLs:
https://, domínio correto, sem punycode.
- Nunca insira credenciais de email/link — navegue direto.
- Email: DMARC/SPF/DKIM nos seus domínios; reporte phish.
4. Segurança Rede e Dispositivo
- VPN em Wi-Fi público (Mullvad, IVPN, Proton — no logs, WireGuard).
- Auto-updates em OS, navegador, apps, firmware roteador.
- EDR/AV (Windows Defender + Malwarebytes, ou comercial).
- Criptografia Disco Completo (BitLocker, FileVault, LUKS).
- Bloqueio Tela + timeout curto + biométrico/PIN.
5. Defesa Engenharia Social
- Verifique identidade via segundo canal (ligue número conhecido).
- Nenhum compartilhamento credenciais — nunca. TI nunca pede senha.
- Limite OSINT: aperte privacidade social, remova de data brokers (DeleteMe, Optery).
- Perguntas segurança: trate como senhas (respostas aleatórias no vault).
6. Endurecimento Recuperação Conta
- Email/telefone recuperação: seguro, acessível só a você.
- Remova recuperação SMS onde possível (risco SIM swap).
- Imprima códigos recuperação; guarde em cofre.
7. Monitoramento
- HaveIBeenPwned alertas (email + domínio).
- Congelamento crédito (Equifax, Experian, TransUnion) — grátis.
- Logs atividade conta (Google, Microsoft, GitHub, AWS).
Segurança é processo, não produto. Automatize o que puder; habitue o resto.
