Quem mais sabe a sua senha?

A senha do Wi-Fi vai para a visita. O login da Netflix passa para o primo. No trabalho, todo mundo usa o mesmo acesso. Compartilhar senhas virou um gesto tão automático que ninguém para para pensar no que está acontecendo por baixo. O primeiro risco de se compartilhar a senha de uma rede é o alastramento de malware. Como explica Fabio Appel, especialista da TP-Link, se um visitante conecta à rede um aparelho infectado sem saber, o malware tem grandes chances de se espalhar pela rede local, tentando contaminar tudo o que estiver ao seu alcance. Isso acontece porque, numa rede doméstica comum, os dispositivos conectados "se enxergam", um princípio que fabricantes chamam de falta de isolamento de rede. Mas o perigo não para por aí: uma senha existe para provar quem você é. Quando outra pessoa tem esse dado, ela pode agir como se fosse você em qualquer sistema que aceite aquela credencial.

De acordo com a pesquisa TIC Domicílios 2023, 16% dos lares brasileiros dividem a conexão de internet com vizinhos. O percentual sobe para 27% em áreas rurais e 25% entre as classes D e E. Para muita gente, dividir o Wi-Fi não é descuido, mas necessidade econômica.

O problema é que a conexão está registrada no nome do titular. Se alguém usa aquela rede para algo ilegal, é o dono do contrato que vai precisar se explicar.

Na Dinamarca, em 2008, duas mulheres foram processadas pelo grupo Antipiratgruppen, ligado à indústria fonográfica, por supostamente compartilhar músicas protegidas por direitos autorais. A acusação se baseava no endereço IP da conexão delas. Em tribunal, as duas alegaram que não tinham feito o download: a rede Wi-Fi havia sido usada por terceiros sem que soubessem. O tribunal as absolveu, entendendo que um endereço IP identifica apenas o titular do acesso, não quem praticou a ação. O ônus da prova, decidiu o juiz, cabia a quem acusava.

Em 2016, o Tribunal de Justiça da União Europeia julgou um caso parecido: um comerciante alemão chamado Tobias Mc Fadden oferecia Wi-Fi gratuito em sua loja e alguém usou a rede para baixar uma música da Sony Music ilegalmente. O tribunal europeu decidiu que ele não era responsável pela violação cometida pelo usuário, mas que poderia ser obrigado a proteger a rede com senha para evitar futuros abusos.

Em ambos os casos, os titulares saíram sem condenação. Mas foram eles que tiveram de arcar com o processo, contratar advogado e se defender.

Poucos dias depois do lançamento do Disney+, em novembro de 2019, milhares de contas do serviço começaram a ser vendidas na dark web por preços entre US$ 3 e US$ 11. Algumas eram oferecidas de graça em fóruns.

A Disney negou qualquer falha em seus sistemas. A explicação mais provável, segundo especialistas em segurança, era uma combinação de dois fatores: reutilização de senhas isto é, gente que usava a mesma senha do Disney+ em outros serviços que já haviam sido vazados e ataques de credential stuffing, em que hackers testam automaticamente milhões de combinações de e-mail e senha roubadas de outros vazamentos.

Em alguns casos, o invasor nem sequer trocava a senha: simplesmente acessava a conta junto com o dono, que não percebia nada de diferente. O episódio não envolveu compartilhamento voluntário de senha, mas ilustra o mesmo princípio por outro ângulo: quanto mais uma credencial circula, maior a chance de ela acabar nas mãos erradas.

Em fevereiro de 2021, alguém acessou remotamente o sistema de controle da estação de tratamento de água de Oldsmar, na Flórida, e tentou aumentar a concentração de hidróxido de sódio (soda cáustica) de 100 para 11.100 partes por milhão, mais de cem vezes acima do normal. Um operador que estava acompanhando a tela percebeu o cursor do mouse se movendo sozinho e reverteu a mudança antes que a água fosse contaminada.

A investigação encontrou várias falhas: os computadores da estação usavam Windows 7, que já não recebia atualizações de segurança; não havia firewall protegendo o acesso remoto; e todos os funcionários compartilhavam a mesma senha do TeamViewer, o software de acesso remoto. Não ficou claro se foi exatamente a senha compartilhada que permitiu a invasão: o sistema tinha tantas vulnerabilidades que qualquer uma delas poderia ter sido a porta de entrada. Mas, sem contas individuais, fica impossível rastrear quem fez o quê.

Você ainda pode dividir um acesso, mas vale pensar no que está compartilhando, com quem e de que forma. Algumas medidas simples reduzem bastante o risco:

• Use a rede de convidados do roteador: a maioria dos roteadores permite criar uma rede separada para visitantes, que dá acesso à internet, mas impede que eles alcancem os outros dispositivos da casa. Se o roteador é da operadora e o painel de configuração está bloqueado, vale verificar se a operadora oferece um aplicativo de gestão.
• Não reutilize senhas: como já abordamos aqui no Escudo, se uma senha vaza em um serviço e você usa a mesma em outros, todas essas contas ficam comprometidas de uma vez. Um gerenciador de senhas resolve isso sem exigir que você memorize dezenas de combinações diferentes. Confira o nosso post sobre senhas e gerenciadores.
• Ative a verificação em duas etapas: Com ela, mesmo que alguém descubra sua senha, vai precisar de um segundo fator, geralmente um código no celular, para conseguir entrar. É a recomendação mais enfática do CERT.br para proteger contas de acesso.

Leia também: Por que você precisa de uma rede Wi-Fi para visitantes para ontem.

Utilizamos inteligência artificial para aprimorar a redação deste texto, tornando a leitura mais clara e fluida. Todo o conteúdo, no entanto, foi revisado e fundamentado em fontes que corroboram as informações apresentadas.

Confira o nosso post sobre o assunto:

Fontes:

• Cartilha de Segurança para Internet - Fascículo Senhas: Preserve suas senhas, proteja sua identidade (CERT.br)
• CERT.br - Apresentação para a Anatel (2023): dicas de prevenção e proteção das contas de acesso
• Cartilha de Segurança para Internet - Fascículo Verificação em duas etapas: contas de acesso mais seguras (CERT.br)
• Dividir internet com vizinho é comum para parte do Brasil (DPL News, sobre a TIC Domicílios 2023)
• No Brasil, um em quatro domicílios divide internet com vizinhos (Convergência Digital)
• Two Danes found innocent of illegal downloading in a Wi-Fi theft case (EDRi)
• Comunicado de imprensa n.º 99/16 - Acórdão no processo C-484/14, Mc Fadden/Sony Music (Tribunal de Justiça da União Europeia)
• Disney+: contas são invadidas e vendidas na dark web; empresa nega invasão (Tecnoblog)
• Oldsmar water plant computers shared TeamViewer password (TechTarget)
• Breached water plant ran Windows 7, used single password for TeamViewer (iTWire)
• Por que você precisa de uma rede Wi-Fi para visitantes para ontem (Tecnoblog)
• Vivo lança aplicativo de gestão de Wi-Fi residencial (Teletime)