Senha Forte, MFA e Outras Práticas que Toda Empresa Devia Ter

A clínica odontológica no interior de São Paulo perdeu R$ 47 mil em um golpe. Um email falso, supostamente do contador, pedia a transferência para uma "nova conta". A secretária, que trabalhava lá há três anos, confiou. O email tinha o logo certo, o nome do contador certo, e até o histórico de cobranças anexado. Só tinha um problema: a senha do email corporativo da clínica era "odontologia2023".

Os golpistas descobriram porque ela já tinha vazado num banco de dados em 2023. Um site chamado Have I Been Pwned registrava o vazamento havia meses. Ninguém na clínica sabia que aquilo existia.

Essa história se repete em milhares de pequenas empresas brasileiras. Não por falta de tecnologia, mas por falta de práticas básicas de segurança da informação para pequenas empresas — senhas fracas, falta de verificação em duas etapas, e a crença de que "isso nunca vai acontecer comigo".

A verdade é que 81% das violações de dados envolvem senhas fracas ou roubadas, segundo o relatório de 2025 da Verizon. E 43% dos ataques cibernéticos miram pequenas empresas, de acordo com a Accenture.

A boa notícia: proteger sua empresa contra esses ataques não custa caro. As medidas mais eficazes são gratuitas, levam minutos pra configurar, e eliminam a maioria dos riscos. Este guia mostra exatamente o que fazer.

O que torna uma senha forte (e o que não funciona)

Você já ouviu as recomendações de sempre: "use maiúsculas, minúsculas, números e símbolos", "troque sua senha a cada 90 dias", "não repita senhas". O problema é que essas regras foram criadas nos anos 2000, baseadas em estudos de 1979. A internet mudou. As regras também.

O mito da senha complexa que você troca toda hora

O National Institute of Standards and Technology (NIST) — o órgão que define padrões de segurança nos EUA — revisou suas recomendações em 2024. E a conclusão foi clara:

Senhas complexas que você troca a cada 3 meses são piores do que senhas longas que você nunca troca.

Por que? Porque "Tr0c4r!@2026" parece segura, mas o usuário anota num post-it, repete um padrão (Trocar@2025 → Trocar@2026), ou usa variações previsíveis. O resultado é que a segurança nominal é alta, mas a segurança real é baixa.

A nova regra é simples: comprimento vence complexidade.

Característica	Abordagem antiga (fraca)	Abordagem nova (forte)
Tamanho	8 caracteres	16+ caracteres
Complexidade	Maiúscula + número + símbolo obrigatório	Qualquer coisa, desde que longo
Troca	A cada 90 dias	Só se suspeitar de vazamento
Exemplo	"Segur@nç@2026!"	"minha-gata-mia-muitas-vezes-de-noite"

Uma senha de 8 caracteres com símbolos leva 8 horas pra ser quebrada por um computador moderno. Uma frase de 6 palavras aleatórias leva 200 bilhões de anos. A diferença não é pequena — é astronômica.

A técnica da frase secreta (passphrase)

Em vez de criar uma senha curta e complicada, crie uma frase longa e fácil de lembrar:

Como fazer:

Escolha 4 a 6 palavras aleatórias
Junte com hífens, espaços ou pontos
Adicione um número ou símbolo se quiser (mas não é obrigatório)

Exemplos que funcionam:

livro-azul-pula-gato-feliz-2026
cadeira.verde.sol.praia.golfinho
MeuCachorroComeuOTrabalhoDeCasa

São senhas que você decora em 5 minutos, digita em 3 segundos, e um computador leva milênios para quebrar.

O que NÃO usar em hipótese alguma

Dados pessoais: nome, data de nascimento, CPF, placa do carro, nome do cachorro. Tudo isso é público ou fácil de descobrir.
Palavras comuns em português: "senha", "admin", "empresa", "123456", o nome da sua empresa.
Sequências de teclado: "qwerty", "asdfgh", "12345678".
Senhas que já vazaram: mais de 15 bilhões de senhas vazadas estão disponíveis em bancos de dados públicos. A sua pode estar entre elas.

MFA: a barreira que salva empresas

Senha forte já corta 90% dos riscos. Mas o que fazer se a senha vazar? É aí que entra o MFA (autenticação multifator), também conhecido como verificação em duas etapas ou 2FA.

O que é MFA e como funciona

MFA significa que, além da senha (algo que você sabe), o sistema pede uma segunda prova (algo que você tem ou algo que você é):

Algo que você tem: um código gerado no celular, uma notificação no app, uma chave física (tipo USB).
Algo que você é: impressão digital, reconhecimento facial.

A beleza do MFA é que, mesmo que o golpista descubra sua senha, ele não consegue acessar nada sem o segundo fator. O código está no seu celular. O golpista está em outro país.

Tipos de MFA do melhor ao pior

Método 1: Aplicativo autenticador (recomendado)

Como funciona: você escaneia um QR Code com o app (Google Authenticator, Microsoft Authenticator, Authy) e ele gera códigos de 6 dígitos que mudam a cada 30 segundos.
Segurança: alta. O código não sai do seu celular.
Custo: gratuito.
Vantagem extra: funciona offline, não depende de SMS.

Método 2: Notificação push (ótimo)

Como funciona: você recebe uma notificação no celular pedindo aprovação. É só tocar "sim" ou "não".
Segurança: alta. Melhor que SMS, pior que app autenticador (porque um clique errado aprova).
Exemplos: Microsoft Authenticator, Google Prompt.

Método 3: Chave de segurança física (excelente, mas pago)

Como funciona: um dispositivo USB ou NFC (YubiKey, Google Titan Key) que você conecta ou encosta no celular pra autenticar.
Segurança: máxima. Impossível de clonar remotamente.
Custo: R$ 100 a R$ 300 (pagamento único).
Indicado para: contas críticas (email principal, financeiro, administrador de TI).

Método 4: SMS (evite)

Como funciona: você recebe um código por SMS.
Segurança: baixa. Golpistas podem clonar seu chip (SIM swap), interceptar SMS, ou enganar a operadora.
Custo: pode ter custo de SMS.
O NIST recomenda evitar esse método desde 2016.

Onde ativar MFA hoje (comece por aqui)

Serviço	Risco se invadido	Prioridade
Email corporativo	Acesso a todas as outras contas	🔴 Urgente
WhatsApp Business	Clientes, conversas, golpes em seu nome	🔴 Urgente
Redes sociais da empresa	Reputação, anúncios, páginas	🟡 Alta
Banco / financeiro	Dinheiro	🔴 Urgente
Google Workspace / Office 365	Todos os dados da empresa	🔴 Urgente
CRM / sistema de gestão	Dados de clientes	🟡 Alta
Hospedagem / domínio	Site inteiro	🟡 Alta

O melhor amigo da senha forte: o gerenciador de senhas

Você leu até aqui e pensou: "beleza, vou criar senhas diferentes fortes pra cada conta. Agora vou decorar 30 senhas de 20 caracteres cada." Não vai. Ninguém vai.

É por isso que existe gerenciador de senhas. E é a ferramenta mais subestimada na segurança de qualquer empresa.

O que faz um gerenciador de senhas

Um gerenciador é um cofre digital que guarda todas as suas senhas e preenche automaticamente quando você precisa acessar um site ou app. Você só precisa decorar uma senha mestra — a senha do cofre.

Na prática:

Você vai num site → o gerenciador pergunta se quer salvar a senha → você confirma
Da próxima vez que entrar no site, o gerenciador preenche sozinho
O gerenciador gera senhas aleatórias fortes pra você

Melhores opções gratuitas e pagas

Bitwarden (🥇 gratuito e recomendado)

Gratuito com todas as funções essenciais
Open-source (código aberto, auditado por especialistas)
Funciona em celular, computador, navegador
Sincroniza entre dispositivos
Plano família: R$ 3/mês
Plano empresa: R$ 5/mês por usuário

1Password (🥈 pago, mas premium)

Interface mais bonita, um pouco mais fácil de usar
Não tem plano gratuito vitalício (teste grátis de 14 dias)
A partir de R$ 20/mês

Google Password Manager (🥉 grátis, básico)

Já vem no Chrome e Android
Grátis, mas só funciona no ecossistema Google
Menos recursos que Bitwarden

Como implementar na empresa em 1 tarde

Baixe o Bitwarden no celular e no computador de cada funcionário
Crie a conta com o email corporativo de cada um
Defina a senha mestra de cada usuário — tem que ser forte (use a técnica da frase secreta)
Compartilhe pastas no Bitwarden: crie uma pasta "Financeiro" com as senhas do banco, uma pasta "Redes Sociais" com Instagram e Facebook, etc.
Ative o preenchimento automático nos navegadores
Treine a equipe pra nunca digitar senha manualmente

Além de senhas e MFA: o checklist completo

Senha forte + MFA + gerenciador resolvem 95% dos problemas. Mas os 5% restantes são os que ferram as empresas que "fizeram tudo certo" e ainda assim tomaram golpe.

Mantenha tudo atualizado

Parece óbvio, mas é o item mais negligenciado. Atualizações de software não são só "novas funcionalidades" — elas fecham buracos de segurança que criminosos conhecem e exploram.

O que manter atualizado:

Sistema operacional (Windows, macOS, Linux)
Navegador (Chrome, Edge, Firefox)
Plugins e extensões do navegador
Celular (iOS e Android)
Roteador (firmware)
Sistemas de gestão (ERP, CRM)

Regra prática: ative as atualizações automáticas sempre que possível. Se não der, reserve 15 minutos toda primeira sexta do mês pra verificar.

Cuidado com o Wi-Fi da empresa

O Wi-Fi do escritório é uma porta de entrada comum. Golpistas estacionam perto da empresa, quebram a senha do Wi-Fi, e a partir da rede local interceptam tudo que trafega — emails, senhas, dados de clientes.

Proteção mínima:

Use WPA2 ou WPA3 (nunca WEP)
Troque a senha do Wi-Fi a cada 90 dias
Crie uma rede separada pra visitantes (não passe a senha do Wi-Fi principal pra cliente)
Esconda o SSID (nome da rede) se possível
Desative WPS (Wi-Fi Protected Setup) — é um buraco de segurança conhecido

Política de acesso: quem vê o quê

A maioria das pequenas empresas trata toda a equipe como se fosse uma só conta. Todo mundo tem acesso a tudo. Isso é um desastre esperando pra acontecer.

O princípio do menor privilégio: cada pessoa na empresa tem acesso apenas ao que precisa pra trabalhar. Nem mais, nem menos.

Exemplo prático:

O vendedor não precisa de acesso ao sistema financeiro
A secretária não precisa de acesso ao dashboard de anúncios pagos
O estagiário não precisa de acesso administrativo ao email corporativo
Ninguém além do contador precisa de acesso direto ao banco

Tenha um plano pro dia seguinte ao ataque

Pergunta que poucos empresários se fazem: "se eu for atacado amanhã, o que eu faço?"

Um plano de resposta a incidentes não precisa ser um documento de 50 páginas. Precisa responder três perguntas:

Como identificar: quem na empresa vai perceber o ataque primeiro? Qual o sinal? (sistema travou, email estranho sendo enviado, cliente reclamou)
Como conter: quem desliga o servidor? Quem tira o site do ar? Quem troca as senhas?
Como recuperar: onde está o backup mais recente? Quem sabe restaurar? Quanto tempo leva?

Escreva essas respostas num documento compartilhado. Revise a cada 6 meses. Um plano de duas páginas bem feito já coloca você à frente de 90% das pequenas empresas.

FAQ — Perguntas frequentes

Minha empresa é pequena. Vale a pena investir em segurança da informação?

Vale mais do que você imagina. O custo médio de um ataque de ransomware no Brasil foi de R$ 1,8 milhão em 2025 (IBM), e 60% das pequenas empresas que sofrem um ataque fecham em até 6 meses. As medidas deste guia custam no máximo R$ 30 por mês (gerenciador de senhas + armazenamento em nuvem). A conta é simples.

O que é mais importante: senha forte ou MFA?

Os dois. Senha forte sem MFA ainda é vulnerável se a senha vazar. MFA com senha fraca ainda permite ataques de força bruta em serviços mal configurados. Um complementa o outro.

Como saber se minha senha já vazou?

Acesse o site Have I Been Pwned (haveibeenpwned.com) e digite seu email. Ele mostra em quais vazamentos de dados seu email apareceu e se as senhas associadas estão disponíveis publicamente. É gratuito e seguro.

Funcionários resistem a usar gerenciador de senhas. O que fazer?

A resistência geralmente vem de não entender a ferramenta. Mostre na prática: baixe o Bitwarden, configure em 5 minutos, e deixe o funcionário testar o preenchimento automático. Depois da primeira vez que ele usar, a preguiça de digitar senha manualmente já não faz mais sentido.

Dá pra usar a mesma senha forte em tudo se eu colocar MFA?

Não. Repetir senha é sempre um risco, mesmo com MFA. Se um serviço com a mesma senha vazar, o golpista tem a senha. E nem todo serviço exige MFA em toda tentativa de login. Use senha única pra cada serviço.

Conclusão

Segurança da informação para pequenas empresas não é sobre ter um especialista em TI, firewalls de última geração ou um data center particular. É sobre fazer o básico bem feito.

O básico, neste caso, é:

Senhas longas e únicas em vez de curtas e complicadas
MFA ativado em todas as contas críticas
Gerenciador de senhas pra não precisar decorar nada
Software sempre atualizado
Acesso mínimo necessário pra cada pessoa
Um plano simples pro dia seguinte ao ataque

Implementar esses seis itens custa menos de R$ 30 por mês e leva uma tarde pra configurar. Depois de configurado, você praticamente esquece que existe — até o dia em que ele salva sua empresa.

E se você ainda não sabe por onde começar, comece pela verificação em duas etapas do email corporativo. É o passo mais impactante, mais rápido e mais barato. Faz hoje, antes de fechar esse artigo.