Serviços Google: Guia de Segurança

Segundo uma recente pesquisa feita pela Symantec, e divulgada pelo Jornal da Globo, 76% dos adultos brasileiros entrevistados disseram já ter sido vítimas de golpes. Em média, tiveram prejuízo de R$ 2.536,00.

A questão vai muito além de uma perda financeira. Quando nossa conta bancária é hackeada, o banco devolve nosso dinheiro. Mas e quando a situação envolve algo muito mais valioso que dinheiro, como uma vida online? Quem poderá nos devolver? A resposta é: ninguém.

Não há dinheiro no mundo que pague a perda de centenas ou milhares de mensagens trocadas, fotos hospedadas, recados dos amigos, trabalhos da empresa, contatos pessoais e profissionais… Não há dinheiro que pague uma vida. Mesmo que seja, ela, online.

Hoje, boa parte da minha vida digital está hospedada nos servidores da empresa de Mountain View. Ela deve manter minhas informações acessíveis e confidenciais. Deve primar pela segurança dos meus dados, não permitindo que terceiros tenham acesso aos mesmos. Deve investir em pessoal qualificado e tecnologia de ponta. A política de segurança da empresa pode ser encontrada aqui.

Mas do que adianta o Google gastar milhões e milhões de dólares no que há de mais moderno em segurança da informação se, do lado de cá, eu vacilo e permito que uma pessoa não autorizada acesse as minhas informações? Neste caso, a empresa não possui qualquer culpa. Eu vacilei. A culpa é minha e, assim sendo, eu devo pagar pelo meu vacilo. Mas o preço pode ser muito alto. Muito mesmo…

Simplesmente não consigo me imaginar sem a minha Conta Google e tudo relacionado a ela. São nada menos que cinco anos de vínculo com a empresa. Dezenas de milhares de e-mails trocados, centenas de contatos pessoais, outras dezenas de contatos profissionais… fotos e mais fotos no Picasa Web… uma história de buscas na internet… minhas páginas favoritas do Chrome e dezenas de documentos hospedados no Docs… Pois é. A perda da minha conta seria algo inimaginável e imensurável.

Possuir uma senha forte, manter os dados de recuperação atualizados, evitar acessar sua conta de computadores públicos, e não inserir os dados da sua conta Google em sites de terceiros, estão entre algumas das medidas que podem evitar futuros problemas.

Ao longo dos últimos meses, tenho notado, no Fórum do Gmail, um aumento significativo no número de reclamações de usuários que, de alguma maneira, tiveram suas contas comprometidas. Os relatos vão desde acessos indevidos, até a perda total de acesso à conta.

Com o intuito de ajudar nossos leitores a manter suas contas em segurança, abordarei, neste artigo, algumas medidas essenciais para mantê-las seguras e, caso o pior aconteça, dicas que ajudarão vocês a recuperar o acesso às mesmas.

Evitando o pior

Algumas medidas preventivas podem ser tomadas para deixar a conta mais segura:

Utilização de senha forte

• Uma senha forte pode ser entendida como um conjunto de no mínimo 8 caracteres, cuja composição seja feita de letras, números e caracteres especiais.

• Nunca utilizar nomes próprios, endereços, números de documentos, números de telefones e, principalmente, datas de nascimento na composição de uma senha.

• Se possível, alternar entre letras maiúsculas e minúsculas, o que tornará as tentativas de decifrá-la muito mais complicadas.

• Alterar, com uma certa frequência, a senha utilizada.

• Apesar de haver o método de força bruta, que tenta quebrar a senha do usuário efetuando centenas de combinações por minutos, o usuário não deve se preocupar muito com ele. Após algumas tentativas sem sucesso, o sistema de autenticação do Google passa a requerer o preechimento do captcha, o que é, teoricamente, impossível através de sistemas automatizados de acesso.

• Recomendo, também, a leitura do artigo Noções básicas: Como criar uma senha segura, disponível na Central de Ajuda do Google.

Acesso via computador público

• A internet é, hoje, mais que um simples meio de comunicação. Ela é, sobretudo, um grande instrumento de disseminação da informação. Apesar de sua popularização, muitas pessoas ainda não têm acesso à rede mundial de computadores e acabam recorrendo a uma lan house, ou acessam os serviços online da escola ou faculdade.

• Apesar de o Google tomar todas as medidas necessárias para que seus usuários utilizem uma conexão segura, com a adoção de uma camada de segurança extra, fazendo com que tanto a autenticação, como a navegação, sejam feitas através do protocolo HTTPS, que criptografa as informações que são transmitidas entre o computador do usuário e seus servidores, não há como impedir que os caracteres digitados sejam capturados por programas conhecidos como keyloggers, caso o computador utilizado esteja infectado.

• Portanto, evitar ao máximo a utilização de computadores públicos, ajudará a manter a conta em segurança. Evite, sempre que possível, utilizar o computador de parentes e amigos. Ter plena confiança na segurança do computador do qual o usuário está acessando sua conta é fundamental. Por mais que confie em seus amigos, seus computadores podem estar infectados e, assim, permitir o comprometimento de sua conta.

Utilização dos dados da Conta Google em outros sites

• Muitos sites, com o objetivo de localizar, em suas bases, pessoas que o usuário possa conhecer, solicitam os dados da Conta Google para fazer uma comparação entre o catálogo de endereços do Gmail e suas bases. Outros, solicitam os dados para enviar convites aos amigos do usuário ou à seus contatos do Google.

• Em um primeiro momento, pode não parecer nada de mais. Mas, a partir do instante que o usuário informa os dados da sua conta, não há como saber de que maneira, na prática, os sites farão uso deles.

• Dar preferência, sempre, aos sites que permitem a conexão via OAuth é uma ótima medida. Através dela, o usuário não fornece nenhuma informação da sua conta ao site, e pode, facilmente, cancelar o acesso de qualquer aplicação à sua conta.

Utilização de senhas diferentes

• Da mesma forma que não é recomendável inserir os dados da Conta Google em sites que não sejam da empresa, é altamente recomendável a não utilização da mesma senha da conta em sites onde o endereço de e-mail cadastrado seja o mesmo da Conta Google.

• Imagine que o usuário se cadastrou no site xyz.com com o seu endereço de e-mail usuario@gmail.com. Se ele utilizar, no cadastro do site xyz.com, a mesma senha do Gmail, caso o site não seja confiável, ele poderá ter acesso a todas as informações da sua conta.

Sempre desmarcar a opção “Continuar conectado”

• Muitos usuários, por falta de atenção ou, inclusive, de maneira intencional, deixam a opção Continuar conectado marcada ao acessarem suas contas do Google. Esta é uma ação muito perigosa, pois permite que qualquer usuário daquele computador possa acessa a conta em questão e, muito além de poder simplesmente apagar as mensagens e contatos, pode inclusive excluir a conta do usuário. Caso você já tenha deixado a opção marcada, ou queira saber como desativar definitivamente a opção, recomendo a leitura do artigo Como desativar o login automático, disponível na Central de Ajuda do Gmail.

Verificação das últimas atividades da conta

• Mesmo não percebendo nenhuma atividade anormal em sua conta, como o envio de spam, surgimento de filtros ou marcadores estranhos, o usuário deve ficar atento às últimas atividades dela.

• Caso o usuário detecte qualquer acesso estranho, deve proceder a imediata alteração de sua senha.

Desconfie de arquivos anexados e links

• Desconfiar sempre que receber arquivos e links por e-mail, principalmente de pessoas desconhecidas.

• Desconfiar, também, de mensagens que solicitem dados pessoais ou bancários. Pode tratar-se de “phishing” ou “spoofing”.

Sempre clique em “Sair”

• Quando não for mais utilizar o Gmail ou qualquer serviço do Google, nunca fechar o navegador antes de clicar em Sair. Como os serviços trabalham com sessões, ao fechar simplesmente o navegador sem efetuar o logoff de sua conta, o usuário pode acabar, mesmo que involuntariamente, permitindo que outras pessoas tenham acesso às suas mensagens, podendo, inclusive, apagá-las. Ao clicar em Sair, o Gmail finaliza a sessão, garantindo, assim, a segurança da conta.

Mantendo seus dados atualizados

O Google disponibiliza ao usuário três alternativas para recuperar sua senha no caso de esquecimento ou comprometimento da conta. A página de recuperação de senha pode ser encontrada acessando a página Minha conta, e clicando em Opções de recuperação de alteração de senha. Abaixo, detalharei as opções.

E-mail secundário

• A função do e-mail secundário/alternativo é permitir o envio, ao e-mail cadastrado, de um link que permitirá, ao proprietário da conta, efetuar a redefinição da sua senha e, consequentemente, voltar a acessar a sua conta.

• Ao cadastrar um novo endereço secundário, um e-mail de verificação de titularidade será enviado ao endereço cadastrado, a fim de verificar se o mesmo existe e, também, se o usuário tem acesso ao mesmo.

• Verificar com frequência se o e-mail secundário cadastrado não foi alterado. Caso note um endereço de e-mail desconhecido, a conta em questão pode ser sido alvo de acesso indevido.

Número de telefone

• Caso a conta do usuário venha a ser bloqueada por conta de uma movimentação fora do normal, um SMS é enviado ao usuário, contendo um código de verificação, que deverá ser digitado na página solicitada pelo Google. Após a digitação do código, a conta será liberada.

• Da mesma forma que ocorre com o e-mail secundário, ao efetuar o cadastro de um número de telefone celular para o recebimento do SMS, uma mensagem será recebida pelo usuário, cujo conteúdo deverá ser digitado em um campo específico da página de opções de recuperação.

• Caso o usuário não tenha ou não queira fornecer o número de um celular, o Google dá a opção de a confirmação ser feita através de uma chamada de voz para um telefone fixo. Recomendo a leitura do artigo Verificação de conta via SMS ou Chamada de voz para maiores informações.

Pergunta de segurança

• A pergunta de segurança, ou pergunta secreta, deverá ser respondida pelo titular da conta, a fim de recuperar o acesso nos casos de comprometimento ou esquecimento.

• Ao cadastrá-la, algumas opções de perguntas são oferecidas. Caso o usuário queira, poderá definir sua própria pergunta. A resposta poderá ser uma simples palavra, ou uma complicada frase. Para não haver erro, ao digitá-la, ela ficará visível para o usuário. Mas, após seu salvamento, ela não mais será exibida.

• Da mesma forma que a senha, a resposta à pergunta de segurança deve ser alterada com frequência.

Dicas para recuperação de acesso

Caso o usuário tenha esquecido a sua senha, ou se alguém teve acesso não autorizado, através do comprometimento de uma conta, o Google dá três opções de recuperação. Detalharei, abaixo, como o usuário deve proceder para voltar a ter acesso à sua conta.

Não conseguindo, por qualquer motivo, acessar a sua conta, o usuário deverá clicar na opção Não consegue acessar a sua conta?, disponível na página de login do Gmail. Ela levará o usuário ao artigo Não consigo acessar minha conta.

Ao clicar na opção Esqueci a minha senha, o usuário deverá acessar a página de recuperação de senha e digitar seu login. Após responder ao CAPTCHA e clicar em Enviar, um e-mail será enviado ao endereço secundário, que foi explicado anteriormente. Esta é a forma mais rápida e fácil de recuperar o acesso.

Se o usuário não tiver um e-mail secundário cadastrado, ou por algum motivo não receber a mensagem de recuperação, deverá aguardar 24 horas após a última tentativa de conexão e retornar à página de recuperação. Digitando o endereço de e-mail e, posteriormente, o CAPTCHA, será dada ao usuário a opção de responder a pergunta secreta.

Caso o usuário não tenha uma resposta de segurança cadastrada, deverá acessar o formulário de recuperação de conta. Este é, talvez, o mais temido entre os formulários do Google e a última chance de o usuário tentar recuperar o acesso à sua conta.

O formulário recebe, diariamente, muitas críticas devido a sua complexidade. Mas ele não é assim para dificultar a vida do usuário honesto. Como, no ato da criação da conta, nenhum documento de identidade é solicitado pelo Google, o simples envio, via FAX, de uma cópia da Identidade ou CPF não provará ao Google que você é, de fato, o titular da conta. O artigo Problemas de segurança: Recuperação da sua conta explica o porquê da dificuldade de se recuperar uma Conta Google. Recomendo a leitura.

Por se tratar do último recurso, e por ele ser bem complexo, vou tentar dar algumas dicas de quais informações o usuário deve saber para facilitar a recuperação através do formulário. Elas serão válidas, principalmente, para quem ainda tem acesso à conta.

Havia um e-mail do Gmail vinculado à conta?

• É importante saber o endereço secundário mais recente cadastrado pelo usuário;

• Código de confirmação, que é enviado ao e-mail secundário no ato da criação da conta;

• Cinco endereços de e-mails com os quais o usuário tenha trocado mais mensagens;

• Nome de até quatro marcadores criados pelo usuário;

• Se o usuário criou a conta através de um convite, caso ainda tenha a mensagem guardada, pode usar a URL recebida, o nome do usuário que o convidou, bem como o endereço para o qual o convite foi enviado.

Havia um perfil do Orkut vinculado à conta?

• É importante saber a URL do perfil em questão;

• Se recebeu o convite via e-mail, saber qual usuário enviou o convite, bem como para qual endereço de e-mail ele foi enviado, ajuda na recuperação;

• Se o usuário criou a conta no Orkut, antes dela ser migrada à Conta Google, é bom lembrar qual era o login utilizado anteriormente.

Havia um perfil do Blogger vinculado à conta?

• Saiba a URL do blog em questão;

• Se o usuário criou a conta no Blogger, antes dela ser migrada à Conta Google, é bom lembrar qual era o login utilizado anteriormente, bem como o endereço de e-mail associado ao seu blog antes da migração.

Além das informações acima, o formulário solicita, caso haja mais algum produto Google utilizado com a mesma conta, a data do início da utilização do mesmo.

O formulário solicita, ainda, a data de criação da conta em questão, a data do último login bem-sucedido, bem como a última senha utilizada pelo usuário.

Eu sei que, depois da leitura das informações requeridas pelo formulário, muitos usuários devem estar impressionados. Mas não há necessidade para isso. Apesar de solicitar tantas informações, o preenchimento de todas elas não é obrigatório. O usuário só deve responder as perguntas marcadas em negrito. As demais devem, sim, ser respondidas, mas somente se o usuário se lembrar delas. É importante ressaltar que os dados fornecidos não precisam ser exatos, mas devem ser os mais próximos possível da realidade. Ou seja, você não precisa se lembrar do dia exato em que criou a sua conta, mas se souber o ano e também o mês aproximados, já ajuda.

Lembre-se: somente o correto preenchimento do formulário poderá permitir, ao usuário, a posse de sua conta. Se não quiser correr o risco de passar pelo formulário de recuperação, siga as dicas dos tópicos Mantendo seus dados atualizados e Evitando o pior. ;)

Para escrever este artigo, me baseei na experiência que tenho com os usuários no Fórum do Gmail pois, lá, fica evidente onde os usuários mais pecam: na falta de definição das opções de recuperação. Espero que ele seja útil e que auxilie os usuários a manterem suas contas seguras.

Havendo qualquer dúvida sobre os serviços Google, recomendo que os usuários procurem sempre os Fóruns Oficiais da empresa. Além de funcionários, há sempre bons colaboradores dispostos a auxiliá-los. Se precisar de ajuda com o Gmail, conte comigo. :)

Este artigo foi escrito com a colaboração de JotaPê, Guia Oficial do Fórum de Ajuda do Gmail, a quem muito agradeço!