Senhas dos clientes: responsabilidades, custos e soluções

Se os seus clientes acessam algum site da sua empresa que exija que eles se autentiquem, precisamos ter uma conversa muito séria!

No bate-papo de hoje, trataremos de algo que quase ninguém fala e praticamente ninguém faz, que é garantir que os clientes utilizem credenciais de acesso seguras.

Quer entender do que estamos falando? Então vem com a gente!

O dilema da segurança digital

Quem acompanha as notícias do universo digital, sabe que os incidentes relacionados à segurança cibernética crescem sem parar e não poupam ninguém, ou seja, não é privilégio de um segmento, de um porte de empresas, nem de um tipo de usuário.

Essa é uma realidade inevitável, tanto que se costuma dizer que a questão não é se acontecerá, mas quando acontecerá um ataque, uma infecção por malware, uma invasão aos sistemas, um vazamento de dados, ou algum outro tipo de ocorrência.

Além disso, quem conhece um pouco de cibersegurança, tem ciência que um enfrentamento eficiente passa por conhecer as causas desses problemas e a partir disso, idealizar as devidas e respectivas soluções.

O grande problema aqui é que em alguns desses casos as empresas e os responsáveis pelos sistemas, simplesmente jogam a culpa nos usuários e cruzam os braços, ou no máximo, reagem e tomam medidas corretivas.

Do que estamos falando?

Mais especificamente, da escolha e do uso de senhas por parte dos usuários, ou no caso, os clientes.

Se o seu cliente acessa o e-commerce, a central do cliente, o help desk, ou qualquer outro tipo de site ou sistema da empresa, ela é responsável por qualquer problema que ocorrer devido ao de senhas como “123456” ou “password”.

Sim, é responsável porque o seu sistema não deveria permitir isso!

Por que as pessoas usam senhas fracas?

Conforme deve ter ficado claro, a raiz do problema é a escolha e uso de uma senha fraca, certo?

Mas cuidado! Antes de culpar o usuário, é preciso entender por que ele escolhe "123456", "password", a data do seu nascimento ou o nome do cachorro.

A resposta não está na falta de inteligência, mas em como o ser humano se comporta diante de sistemas que não foram projetados para ajudá-lo e particularmente porque o mundo no qual ele se desenvolveu, originalmente não exigia senhas, pelo menos não esse tipo.

Senhas são exigências impostas

Senhas são barreiras que foram criadas, não uma escolha natural!

Ninguém acorda querendo criar uma senha. O usuário cria senhas porque é uma exigência do sistema. E quando esse mesmo sistema apenas diz "escolha uma senha", sem orientar, sem dar feedback e sem inibir opções ruins, ele está, na prática, transferindo para o usuário uma responsabilidade que deveria ser de quem criou o sistema.

Pense bem. Se o seu filho escolhe fazer algo arriscado, você não permite e explica a situação, ajudando-o a seguir pelo melhor caminho. Que tal olhar o seu cliente como olha para o seu filho?

O cérebro evita a complexidade e o trabalho

Atualmente, uma pessoa comum tem seguramente dezenas de contas online. Se cada uma exigir uma senha única, longa, com maiúsculas, números e símbolos, o cérebro simplesmente não dará conta.

O resultado é previsível e você já sabe. Ele escolhe repetir a mesma senha usada em várias contas e, preferencialmente algo fácil de lembrar, que ele conhece bem, mas que também é fácil de descobrir por parte de alguém mal-intencionado.

A conveniência sempre vence a segurança

Quando o sistema facilita, o usuário escolhe o caminho mais curto. Se não há bloqueio, se não há alerta, se não há exigência real, ele vai digitar "123456" e seguir em frente.

Não por descuido, mas porque o sistema permitiu e muitas vezes indiretamente incentivou, ao não oferecer alternativas melhores e mais simples.

Falta de educação digital

Não caia novamente na tentação de culpar o usuário por ele não se informar e não conhecer os riscos e ameaças do ambiente digital. Os nativos analógicos cresceram em um mundo no qual nada disso existia. E a evidente desenvoltura dos nativos digitais para explorar todas as redes sociais, não faz deles experts em segurança.

Quem deveria ser especialista e inclusive é pago para isso, é quem desenvolve o sistema.

Por isso, tenha em mente que manuais enormes, montes de termos técnicos e avisos genéricos – frequentemente confusos – não educam e não orientam ninguém.

O usuário aprende no momento do cadastro, com dicas curtas e claras, e com um sistema capaz de impedi-lo de errar. Sem isso, ele repete comportamentos antigos e segue crenças pessoais.

Nunca se esqueça: O usuário não precisa ser expert. O sistema sim!

A cultura do "depois eu vejo isso"

Contribui para um cenário ainda mais favorável para a senha ser revelada, a postura de “deixar para depois”.

Diante de uma porta fechada que exige que ele informe algo (algo chato, diga-se de passagem!) para que possa avançar, o usuário pensa: “Agora vai essa mesmo! Depois eu mudo…”. E todo mundo sabe que vai cair no esquecimento.

A empresa, o responsável pelo sistema, pensam: “Por enquanto, funciona assim. Na próxima versão, melhoramos!”. E aqui, você também sabe que é só mais uma situação na qual “troca o ideal pelo que é possível agora” e que logo será outro exemplo do provisório se tornando algo definitivo.

Até a hora em que a conta chega e o problema acontece, porque os dois lados estão desprevenidos.

O “preço” de uma senha fraca

Você já parou para pensar quanto custa, de verdade, uma senha como "123456"?

Se ainda não, é a hora de reconsiderar e não cair na armadilha de “deixar para depois”.

Uma senha fraca não gera custo imediato nenhum. Mas quando acontecer, pode sair bem caro.

Primeiro custo (problemas internos)

Imaginemos que por causa de uma senha fraca, seu cliente tenha uma conta invadida e como resultado:

• Dados pessoais expostos;

• Histórico de compras, conversas, preferências, tudo ficou acessível;

• O criminoso comete uma fraude em nome dele;

• Os dados de pagamento estavam salvos e, por isso, o problema escala rapidamente.

Ou seja, tudo isso vai desaguar no suporte, nos canais de atendimento e gerar procedimentos internos.

Segundo custo (confiança perdida)

Aqui está o ponto que muitas empresas ignoram. O cliente não pensa "eu escolhi uma senha ruim". Ele pensa: "Eu confiei meus dados a essa empresa, e ela não me protegeu".

E ele tem razão em pensar assim. A responsabilidade pela segurança do ambiente é da empresa, não do usuário. A senha foi escolhida dentro de um sistema que permitiu que uma escolha ruim pudesse ser feita.

O resultado? O cliente vai embora, conta seus problemas para todos e a história se espalha.

Terceiro custo (legal e regulatório)

Se a sua empresa lida com dados pessoais (quem não lida?), a LGPD entra em cena. Um vazamento causado por senha fraca pode gerar:

• Notificação obrigatória à ANPD;

• Multas que podem chegar a percentuais do faturamento;

• Processos judiciais movidos por clientes afetados;

• Responsabilização civil da empresa.

E aqui não adianta argumentar "foi o cliente que escolheu a senha". A autoridade questionará: "Por que o seu sistema permitiu?".

Quarto custo (reputação)

Reputação não é uma métrica mensurável, mas que se sente no bolso. Um incidente cibernético noticiado pode:

• Afastar novos clientes;

• Reduzir o valor de mercado da empresa;

• Comprometer parcerias e contratos;

• Levar meses (ou anos) para recuperar a imagem.

Quinto custo (impacto interno)

Um vazamento não afeta só o cliente. Afeta:

• O time de TI, que vira bombeiro em tempo integral;

• A equipe de atendimento, que lida com a fúria dos clientes;

• A diretoria, que precisa prestar contas;

• O financeiro, que arca com multas, indenizações e recuperação.

Tudo isso porque o sistema aceitou "123456".

Se o custo de uma senha fraca é tão alto e tão extenso (a multa, o processo, a notícia, a perda de confiança e dos clientes), por que as empresas ainda não fazem nada?

O que a sua empresa pode fazer?

Se você chegou até aqui, já entendeu duas coisas:

• A culpa não é do usuário;

• O custo de ignorar isso é alto demais.

Então agora vem a parte que interessa – o que fazer?

A boa notícia é que não falta solução. A má é que quase ninguém aplica. E aqui não estamos falando de tecnologia cara, de projetos longos ou de equipe de desenvolvimento imensa. Estamos falando de decisões simples que a sua empresa pode tomar hoje mesmo.

1. Bloqueie senhas comuns e comprometidas

Essa é a medida mais óbvia e, curiosamente, a mais ignorada.

Se o seu sistema aceita "123456", "password", "qwerty", "admin" ou o nome da empresa, o problema não é o usuário, mas falta de programação no seu sistema que permite que isso seja possível.

Além das listas públicas com senhas amplamente usadas por atacantes, há rotinas de programação e uso de expressões regulares para identificar e barrar o uso de senhas fracas.

Embora pareça pouco, já elimina uma fatia enorme dos incidentes mais comuns.

2. Defina uma política de senha

Uma boa política tem critérios precisos e práticos.

Em outras palavras, exigir "12 caracteres, 3 maiúsculas, 2 números, 1 símbolo e a fórmula de Baskara" não torna a senha mais segura. Torna a vida do usuário um inferno e ele vai anotá-la em um arquivo nomeado como “senhas”.

O que funciona:

• Comprimento mínimo razoável (12 caracteres é um bom começo);

• Indicar uso de ao menos 1 maiúscula e 1 número;

• Bloqueio de senhas óbvias e já vazadas;

• Permitir frases longas (passphrases), que são mais fáceis de lembrar e mais difíceis de quebrar (ex: Meu-cachorro-gosta-de-manga);

• Impedir sequências de caracteres;

• Não bloquear o recurso de "colar" (paste) no campo de senha, permitindo que os clientes usem gerenciadores de senha (1Password, Bitwarden, etc.)

• Mostrar a força da senha enquanto o cliente digita.

Segurança boa é aquela que reduz consideravelmente as chances de algo dar errado, mas também a que não faz o usuário sofrer.

3. Exija troca no primeiro acesso

Se o seu sistema cria uma senha padrão para o cliente e permite que ele continue usando essa mesma senha para sempre, você tem um problema silencioso.

A troca no primeiro acesso é o mínimo. E, se houver suspeita de comprometimento, a troca obrigatória deve entrar em ação imediatamente.

Observação: Muitas empresas ainda forçam o usuário a mudar a senha a cada 30, 60 ou 90 dias. No entanto, instituições de referência em cibersegurança (como o NIST) desaconselham essa prática. Trocas forçadas sem motivo fazem o usuário apenas mudar "Senha2025" para "Senha2026", gerando falsa sensação de segurança e irritação.

4. Implemente autenticação multi-fator (MFA)

A verdade é que a senha como único mecanismo de autenticação, é uma camada frágil e ultrapassada. Os atacantes sabem disso há muito tempo. Não importa o quão forte ela seja, afinal ela ainda pode ser descoberta por vazamento em algum outro site, capturada por phishing ou um malware, adivinhada por força bruta.

Portanto, se tem uma medida que muda o jogo, é instituir uma segunda camada.

Com MFA (Autenticação Multi-Fator), mesmo que a senha seja descoberta, o atacante ainda precisa do segundo fator, como um código, um app autenticador (Google Authenticator ou Microsoft Authenticator), uma biometria. Isso derruba a eficácia de boa parte dos ataques.

Inclusive há casos nos quais a implementação é simples e rápida, como por exemplo, sites baseados no WordPress, conforme abordamos no post “Plugins de autenticação de dois fatores (2FA) para WordPress”.

E antes que venha o argumento clássico: "mas isso vai afastar o cliente".

Não vai se for bem implementado. O que afasta o cliente, é ele perder a conta.

5. Monitore sempre

Crie no sistema, rotinas capazes de bloquear tentativas repetidas e de monitorar acessos suspeitos.

Um sistema que permite inúmeras tentativas de login sem nenhum tipo de reação, na prática está convidando o atacante para entrar.

Bloqueio temporário após várias tentativas, alertas de acesso incomum, notificação ao cliente quando algo estranho acontece, tudo isso é básico, mas faz muita diferença.

Conclusão

Transferir a responsabilidade da segurança para o cliente é um risco que sua empresa não pode correr. Sistemas inteligentes orientam, protegem e impedem escolhas ruins antes que virem um prejuízo real. Fortalecer a autenticação e barrar senhas fracas não é só uma decisão de TI — é proteger a reputação, a conformidade legal e a confiança no seu negócio.