Proteja as contas que podem redefinir tudo o mais
Identidade digital não é uma única conta. É a cadeia que conecta seu e-mail principal, número de telefone, código de desbloqueio do aparelho, contas financeiras, armazenamento em nuvem, portais de saúde, registros fiscais, e métodos de recuperação de conta. Um invasor que assume o controle do e-mail principal pode conseguir redefinir várias outras contas sem derrotar suas senhas. A IA pode tornar o phishing e a personificação mais rápidos e mais polidos, mas as defesas mais úteis continuam sendo controles de segurança comuns: credenciais únicas, login resistente a phishing, recuperação segura, atualizações, e um hábito praticado de verificação. A CISA agrupa senhas fortes, autenticação multifator, reconhecimento de phishing, e atualizações de software como suas ações essenciais para o consumidor.
Esta é orientação geral para famílias dos EUA, não aconselhamento jurídico, financeiro, ou de segurança cibernética individualizado. Pessoas enfrentando perseguição, violência doméstica, assédio direcionado, ou um dispositivo comprometido podem precisar de um plano de segurança com um defensor qualificado ou profissional de segurança antes de alterar contas, porque mudanças abruptas podem alertar um agressor.
Comece pelas contas que controlam a recuperação: e-mail principal, conta da plataforma, operadora de celular, gerenciador de senhas, e contas financeiras. Depois cubra serviços de menor valor. Essa ordem reduz a chance de que uma recuperação fraca derrote uma proteção mais forte em outro lugar.
Use um gerenciador de senhas e depois elimine a reutilização
Use um gerenciador de senhas confiável para gerar e armazenar uma senha diferente para cada conta. O objetivo prático não é memorizar dezenas de sequências complexas; é tornar uma violação inútil contra todos os outros serviços. Proteja o gerenciador com uma senha mestra longa e única e sua melhor opção de multifator disponível. Não coloque a senha mestra em uma nota não criptografada ao lado dos códigos de recuperação.
Altere primeiro as contas de maior consequência, depois atualize as senhas reutilizadas conforme você as encontra. Se um serviço relatar uma violação, altere a credencial pelo aplicativo conhecido ou pelo endereço digitado, não por um link em uma mensagem de aviso. Para acesso compartilhado, prefira logins de serviço separados ou o recurso de compartilhamento familiar de um gerenciador de senhas em vez de enviar uma senha por mensagem de texto.
Prefira passkeys ou chaves de segurança, com a recuperação planejada
Passkeys e chaves de segurança FIDO/WebAuthn são projetadas para que a credencial fique vinculada ao site legítimo. Passkeys configuradas corretamente são resistentes a phishing porque um domínio falso não consegue capturar um segredo reutilizável para o real; o NIST descreve essa vinculação de nome do verificador e também explica as concessões das passkeys sincronizadas. Isso as torna uma escolha forte para e-mail, gerenciadores de senhas, contas na nuvem, e serviços financeiros quando oferecidas.
“Passkey” nem sempre significa uma chave de hardware separada. Uma passkey pode ficar guardada em um dispositivo, sincronizada por meio de uma conta de plataforma, ou armazenada em uma chave de segurança física. Passkeys sincronizadas melhoram a usabilidade e a recuperação entre dispositivos, mas a conta da plataforma e seu processo de recuperação passam então a fazer parte do perímetro de segurança. Uma chave de hardware pode reduzir a dependência dessa conta de sincronização, mas uma única chave pode ser perdida ou danificada. Para uma conta de alto valor, registre pelo menos dois autenticadores se o serviço permitir: mantenha um disponível e um backup em um local seguro e separado.
Não exclua um método de login existente até ter testado o novo método em uma sessão separada e revisado a recuperação. Salve códigos de recuperação de uso único offline em um local trancado. Verifique se adicionar um novo autenticador gera um alerta, se sessões antigas podem ser revogadas, e quais números de telefone ou endereços de e-mail podem redefinir a conta. A orientação atual do NIST sobre autenticadores trata a recuperação como seu próprio evento de ciclo de vida, não uma reflexão tardia.
Se passkeys não estiverem disponíveis, use o MFA mais forte que o serviço suportar. Um aplicativo autenticador ou token de hardware geralmente evita algumas fraquezas do SMS. O SMS ainda costuma ser melhor do que apenas uma senha, mas não é resistente a phishing e depende da segurança da conta do telefone. Adicione um PIN de conta da operadora, ative qualquer bloqueio disponível de portabilidade ou troca de SIM, e nunca leia um código de uso único para um chamador não solicitado. Um agente de suporte de verdade não deveria precisar do código que autoriza um login.
Fortaleça a recuperação e os dispositivos
Revise as configurações de recuperação de conta duas vezes por ano e após uma mudança de número de telefone, e-mail, relacionamento, ou domicílio. Remova endereços de trabalho antigos, números antigos, dispositivos desconhecidos, senhas de aplicativo obsoletas, e pessoas que não deveriam mais ter acesso de recuperação. Use um contato de recuperação apenas se essa pessoa entender a responsabilidade e puder proteger sua própria conta.
Ative atualizações automáticas para telefones, computadores, navegadores, gerenciadores de senhas, e software de segurança. Use uma senha de dispositivo que não seja um aniversário ou dígito repetido, ative a criptografia completa do dispositivo onde disponível, e configure o dispositivo para travar rapidamente. Oculte prévias de mensagens na tela de bloqueio se elas exporem códigos de login ou informações privadas. Faça backup de dados importantes usando um método testado, mas lembre-se de que um backup na nuvem é acessível através de sua conta na nuvem; proteja essa conta de acordo. Para a configuração do roteador, a segmentação de rede, e a blindagem de dispositivos conectados que ficam por trás dessas contas, veja Segurança da Rede Doméstica e dos Dispositivos.
Reduza a exposição de identidade sem perseguir a invisibilidade
Configurações privadas em redes sociais reduzem a exposição casual mas não tornam uma publicação privada para sempre. Remova datas de nascimento públicas, endereços residenciais, locais de rotina, escolas, datas de viagem, nomes de parentes, e números de telefone quando não precisarem ser públicos. Pergunte aos parentes antes de marcar crianças ou publicar gravações claras de voz e rosto. O objetivo é dificultar a montagem de um pretexto convincente, não prometer que a clonagem se torna impossível.
Sites de busca de pessoas compilam dados de registros públicos, redes sociais, e outros corretores de dados. A FTC explica como encontrar o processo de exclusão de um site, mas as exclusões são incompletas e podem precisar ser repetidas. Use um endereço de e-mail dedicado para solicitações de remoção, forneça apenas os dados de verificação realmente exigidos, e mantenha uma lista datada de solicitações concluídas. Não envie documentos de identidade casualmente para um serviço de “remoção” desconhecido.
Congele o crédito quando apropriado
Um congelamento de crédito limita o acesso a um arquivo de crédito e pode dificultar a abertura de novo crédito no nome dessa pessoa. Ele não impede o sequestro de uma conta existente, o uso indevido de um saldo bancário, fraude fiscal, roubo de identidade médica, ou toda forma de fraude de identidade. Nos Estados Unidos, os congelamentos são gratuitos, devem ser colocados separadamente com cada agência de crédito nacional, e podem ser suspensos quando crédito legítimo for necessário. Proteja as contas da agência e as credenciais de gerenciamento do congelamento.
Pais e responsáveis podem solicitar um congelamento para um menor. Uma criança geralmente não deveria já ter um arquivo de crédito; o IdentityTheft.gov fornece o processo específico de cada agência para verificar e congelar o arquivo de uma criança. Guarde os registros resultantes com segurança porque contêm informações de identificação.
O monitoramento de crédito pode alertá-lo depois que um arquivo muda; ele não impede a mudança. Revise também os alertas de banco e cartão, e obtenha relatórios de crédito através do AnnualCreditReport.com, a fonte federalmente autorizada, em vez de um site imitador alcançado por um anúncio.
Dê à família uma regra de transação
A tecnologia não consegue determinar se um pedido de aparência real é legítimo. Estabeleça uma regra segundo a qual nenhum pedido inesperado de dinheiro, credenciais, códigos de recuperação, acesso remoto ao computador, ou sigilo é atendido na mesma conversa. Encerre o contato e verifique por um número, aplicativo, ou canal presencial já conhecido como genuíno. Uma frase de verificação familiar pode ajudar, mas não use um fato visível on-line, e não trate a frase como autorização para transferir dinheiro. Um retorno de chamada e a revisão de uma segunda pessoa oferecem confirmação mais forte.
Ensine o protocolo a todos que têm autorização em uma conta. Para transferências importantes, pergunte ao banco sobre alertas, limites, ou segunda aprovação.
Se ocorrer roubo ou sequestro de identidade
Aja a partir de um dispositivo que você tem motivo para confiar. Contate a instituição afetada por um extrato, cartão, ou site oficial; altere as credenciais expostas; revogue sessões desconhecidas; e preserve mensagens, detalhes de transação, e registros de data e hora. Se informações de identidade foram usadas indevidamente, o IdentityTheft.gov cria um plano de recuperação personalizado e um Relatório de Roubo de Identidade da FTC. Reporte crimes cibernéticos ao Centro de Reclamações de Crimes na Internet do FBI quando apropriado, mas digite o endereço diretamente porque o FBI já alertou sobre sites falsos do IC3.
Não pague um “agente de recuperação” que promete resgatar dinheiro roubado por uma taxa antecipada. A recuperação depende do método de pagamento e da rapidez do relato. Contate o banco, a emissora do cartão, o serviço de transferência, ou a emissora do cartão-presente imediatamente e pergunte se a transação pode ser interrompida ou revertida; a FTC lista o primeiro contato correto para cada tipo de pagamento.
Um primeiro fim de semana viável
- Proteja o e-mail principal e o gerenciador de senhas com credenciais únicas e MFA resistente a phishing.
- Registre e teste um autenticador de backup; imprima ou registre com segurança os códigos de recuperação.
- Trave a conta da operadora de celular e revise endereços, números, sessões, e dispositivos de recuperação de conta.
- Ative atualizações automáticas e criptografia de dispositivo em todo dispositivo doméstico compatível.
- Congele o crédito para membros da família que não precisam de acesso frequente a novo crédito.
- Combine que pedidos incomuns de dinheiro ou credenciais sempre exigem um retorno de chamada independente e uma segunda checagem.
Nenhum checklist torna o roubo de identidade impossível. O resultado realista é eliminar pontos de entrada comuns, conter o comprometimento, e tornar a recuperação mais rápida.