Segurança na Empresa · Boas práticas

Como proteger suas senhas e credenciais no trabalho

Resposta rápida

Cada colaborador é uma porta de entrada para a rede da empresa — e uma senha fraca ou reutilizada é o equivalente a deixar essa porta sem chave. Usar o gerenciador de senhas corporativo, ativar a autenticação em dois fatores (MFA) e nunca compartilhar credenciais com colegas são as três atitudes que mais reduzem o risco de um incidente real. Adotar esses hábitos protege você de responsabilidades e protege a empresa de prejuízos que podem chegar a milhões de reais.

Comece grátis agora Ver planos

A Decripte é uma empresa de cibersegurança que atende empresas de 1 a mais de 100.000 colaboradores — do diagnóstico à resposta a incidentes 24x7.

Sinais de alerta

›Você recebe um e-mail ou mensagem urgente pedindo que clique em um link e confirme sua senha — mesmo que pareça vir do departamento de TI ou do seu chefe.
›Alguém liga dizendo ser do suporte técnico e pede sua senha atual para 'resolver um problema' ou 'atualizar o sistema'.
›Você percebe que acessou um site e ele pediu login, mas a URL estava ligeiramente diferente do endereço normal da empresa (ex.: empresa-acesso.com em vez de empresa.com).
›Seu usuário começa a receber avisos de tentativas de login que você não fez, ou você é desconectado de uma conta sem motivo aparente.
›Um colega pede sua senha 'só por hoje' porque esqueceu a dele ou precisa de acesso rápido a algo.
›Você percebe que está usando o mesmo e-mail e senha do trabalho em um serviço pessoal, ou vice-versa.

Passo a passo

1
Use o gerenciador de senhas corporativo
Se sua empresa disponibiliza um gerenciador de senhas (como 1Password, Bitwarden ou similar), use-o para todas as contas de trabalho. Ele cria senhas longas e únicas automaticamente e as guarda com segurança — você só precisa lembrar de uma senha mestre forte.
2
Ative o MFA em todas as contas corporativas
A autenticação em dois fatores (MFA) adiciona uma segunda camada de proteção: mesmo que alguém descubra sua senha, não consegue entrar sem o segundo código. Ative no e-mail, no sistema da empresa e em qualquer aplicação que ofereça essa opção.
3
Nunca reutilize sua senha pessoal no trabalho
Se você usa a mesma senha do seu e-mail pessoal ou de redes sociais no sistema da empresa, um vazamento externo pode abrir uma porta direta para os dados corporativos. Mantenha senhas de trabalho completamente separadas das pessoais.
4
Nunca compartilhe senhas com colegas
Mesmo que seja um pedido aparentemente inocente de alguém do time, compartilhar sua senha elimina o rastreamento de quem fez o quê no sistema. Se um colega precisa de acesso, acione o setor de TI para que um acesso próprio seja criado para ele.
5
Bloqueie a tela ao se afastar do computador
Use o atalho Windows + L (ou Cmd + Ctrl + Q no Mac) sempre que se afastar, mesmo por um minuto. Um computador desbloqueado em um espaço compartilhado é vulnerável a acessos não autorizados por qualquer pessoa que passe.
6
Desconfie de pedidos urgentes de senha por e-mail, telefone ou chat
Nenhum setor de TI legítimo pedirá sua senha por e-mail, WhatsApp ou telefone. Se alguém se apresentar como suporte técnico e solicitar suas credenciais, recuse e reporte ao seu gestor ou ao time de segurança imediatamente.
7
Não use Wi-Fi público sem VPN
Redes abertas em cafés, aeroportos e hotéis podem ser monitoradas. Se precisar acessar sistemas da empresa fora do escritório, use sempre a VPN corporativa. Sem VPN, suas credenciais podem ser interceptadas em trânsito.
8
Avise imediatamente se algo parecer errado
Clicou num link suspeito? Digitou sua senha numa página estranha? Recebeu uma mensagem de alguém pedindo acesso? Não espere. Comunique o setor de TI ou segurança da empresa assim que notar qualquer situação incomum — agir rápido pode conter um incidente antes que ele se expanda.

O que NÃO fazer

✕Não anote senhas em papel, post-it colado no monitor, caderno ou planilha não protegida — qualquer pessoa com acesso físico ou remoto ao arquivo pode vê-las.
✕Não use informações pessoais óbvias na senha, como seu nome, data de nascimento, nome do pet ou time de futebol — esses dados são facilmente descobertos por quem pesquisa nas redes sociais.
✕Não instale aplicativos ou ferramentas no computador da empresa sem aprovação do setor de TI (shadow IT) — apps não homologados podem ter vulnerabilidades ou coletar dados sem que a empresa saiba.
✕Não acesse sistemas corporativos por dispositivos pessoais (BYOD) sem seguir as políticas de segurança da empresa — celulares e notebooks pessoais raramente têm as mesmas proteções que os equipamentos corporativos.
✕Não ignore alertas de segurança do navegador ou do sistema operacional — avisos de certificado inválido ou site suspeito existem por uma razão e são frequentemente o único sinal visível de um ataque em andamento.

Por que sua senha de trabalho é diferente da sua senha pessoal

No ambiente pessoal, se sua senha vaza, o prejuízo é seu. No ambiente corporativo, a mesma senha comprometida pode dar acesso a dados de clientes, contratos confidenciais, sistemas financeiros e à infraestrutura inteira da empresa. O impacto de um único login exposto pode ser catastrófico e irreversível.

Por isso, a primeira regra é clara: nunca use no trabalho a mesma senha que você usa em redes sociais, e-mail pessoal, streaming ou qualquer outro serviço da sua vida particular. Se um desses serviços sofrer um vazamento — o que acontece com frequência em plataformas grandes —, criminosos testam automaticamente as credenciais expostas em sistemas corporativos. Esse ataque se chama 'credential stuffing' e é um dos mais comuns e eficientes.

A solução prática é usar um gerenciador de senhas corporativo, que cria e armazena senhas únicas para cada conta de trabalho. Você não precisa memorizar nenhuma delas — apenas a senha mestre do gerenciador, que deve ser longa, única e jamais compartilhada.

O que é phishing e como ele rouba credenciais sem invadir nada

Phishing é a técnica mais usada para roubar senhas corporativas — e não exige nenhum conhecimento técnico da vítima. O ataque funciona convencendo você a digitar suas credenciais em uma página falsa que imita um sistema real, como o e-mail da empresa, o portal de RH ou uma ferramenta de videoconferência.

O gatilho quase sempre é emocional: urgência ('sua conta será bloqueada em 24h'), medo ('detectamos acesso suspeito, confirme sua identidade') ou autoridade ('mensagem do CEO: acesse o link abaixo'). Esses elementos fazem a pessoa agir rápido, sem verificar se o endereço do remetente ou a URL da página são realmente da empresa.

A defesa mais simples é parar e verificar: o endereço de e-mail do remetente é o oficial? A URL no navegador começa com o domínio correto? Se tiver dúvida, feche a aba e acesse o sistema diretamente pelo endereço que você já conhece. E nunca clique em links de mensagens que pedem login — acesse sempre pelo favorito ou digitando o endereço manualmente.

Avalie sua empresa de graça

Veja em minutos o que já está exposto do seu negócio.

O plano gratuito de Gestão de Ameaças da Decripte mapeia vulnerabilidades, monitora ameaças e mostra credenciais vazadas — sem cartão e sem equipe técnica.

Comece grátis agora

Gerenciador de senhas, SSO e MFA: três ferramentas que trabalham juntas

Empresas que levam segurança a sério geralmente oferecem três recursos que tornam a vida do colaborador mais segura e, ao mesmo tempo, mais simples. O primeiro é o gerenciador de senhas corporativo: um cofre digital que cria senhas fortes e únicas para cada sistema e as preenche automaticamente. Você para de reutilizar senhas e para de precisar memorizá-las.

O segundo é o SSO (Single Sign-On), ou logon único: uma única credencial corporativa — geralmente o e-mail e senha da empresa — dá acesso a vários sistemas ao mesmo tempo. Em vez de ter login separado para cada ferramenta, você entra uma vez e acessa tudo que tem permissão. Isso reduz o número de senhas em circulação e centraliza o controle de acesso no setor de TI.

O terceiro é o MFA (Autenticação Multifator): ao entrar no sistema, além da senha, você confirma sua identidade com um segundo elemento — um código no celular, um aplicativo autenticador ou uma chave física. Mesmo que um criminoso tenha sua senha, sem o segundo fator ele não entra. Esses três recursos juntos formam a base da gestão segura de identidade corporativa.

Dispositivos pessoais, Wi-Fi público e shadow IT: os riscos que passam despercebidos

Usar o celular pessoal para acessar o e-mail corporativo ou trabalhar em uma rede de Wi-Fi pública parece inofensivo, mas cria brechas reais. Dispositivos pessoais raramente têm as atualizações de segurança, configurações de criptografia e políticas de acesso que os equipamentos corporativos têm. Se o celular for perdido ou roubado, as contas da empresa ficam expostas junto com as pessoais.

Redes Wi-Fi abertas — em cafés, aeroportos, hotéis — podem ser controladas por atacantes que monitoram o tráfego e interceptam credenciais. Quando não há alternativa, a VPN corporativa cria um canal seguro e criptografado, protegendo os dados em trânsito. Se sua empresa oferece VPN, use sempre que estiver fora da rede corporativa.

Shadow IT é o nome que se dá ao uso de aplicativos, serviços em nuvem ou ferramentas não aprovadas pelo setor de TI — um colaborador que usa o Google Drive pessoal para guardar documentos da empresa, por exemplo. Isso acontece geralmente por conveniência, mas cria pontos cegos que a empresa não consegue monitorar nem proteger. Sempre pergunte ao TI antes de usar uma ferramenta nova para fins de trabalho.

O que fazer se você achar que suas credenciais foram comprometidas

Se você clicou em um link suspeito, digitou sua senha em uma página estranha, recebeu um aviso de login não reconhecido ou simplesmente tem a sensação de que algo não está certo, aja imediatamente — não espere ter certeza. O tempo de resposta é crítico para conter um incidente antes que ele se espalhe.

O primeiro passo é comunicar o setor de TI ou segurança da empresa com o máximo de detalhes que conseguir lembrar: o que aconteceu, quando, qual sistema estava usando e qual mensagem ou link estava envolvido. Não tente 'resolver sozinho' nem aguarde ver se alguma consequência aparece — cada minuto conta.

Em paralelo, se tiver acesso, troque imediatamente a senha da conta que pode ter sido comprometida e revogue sessões ativas. Se usa o mesmo e-mail e senha em outros sistemas, troque também nesses. A empresa pode precisar isolar sua conta temporariamente enquanto investiga — isso não é punição, é protocolo de contenção. Colaborar com o time de segurança é a atitude certa e protege todos.

Termos importantes

Gerenciador de senhas: Aplicativo que cria, armazena e preenche automaticamente senhas únicas e fortes para cada conta. Protegido por uma única senha mestre, ele elimina a necessidade de memorizar ou reutilizar senhas. Exemplos corporativos incluem 1Password, Bitwarden e Keeper.
SSO (Single Sign-On): Sistema de logon único que permite ao colaborador acessar vários aplicativos da empresa com uma única credencial corporativa — geralmente o e-mail e senha da organização. Reduz o número de senhas em circulação e centraliza o controle de acesso no setor de TI.
MFA (Autenticação Multifator): Método de verificação de identidade que exige dois ou mais elementos para confirmar quem está acessando: algo que você sabe (senha), algo que você tem (código no celular ou chave física) e/ou algo que você é (biometria). Mesmo com a senha exposta, o acesso não é concedido sem o segundo fator.
Shadow IT: Uso de aplicativos, serviços em nuvem ou ferramentas de tecnologia sem aprovação ou conhecimento do setor de TI da empresa. Cria riscos de segurança e conformidade porque esses recursos ficam fora do controle e da visibilidade corporativa.

Perguntas frequentes

Posso usar minha senha pessoal nos sistemas da empresa para facilitar?

Não. Usar a mesma senha no trabalho e na vida pessoal é um dos erros mais comuns e mais perigosos. Se qualquer serviço pessoal seu sofrer um vazamento de dados — o que acontece com frequência em plataformas de streaming, redes sociais e e-commerces —, criminosos testam automaticamente essa senha nos sistemas da sua empresa. Use sempre senhas únicas para o trabalho, de preferência geradas pelo gerenciador de senhas corporativo.

Posso compartilhar minha senha com um colega que precisa de acesso urgente?

Não, mesmo que você confie totalmente no colega. Quando você compartilha sua senha, qualquer ação feita com aquele acesso ficará registrada como sendo sua — e você pode ser responsabilizado por algo que não fez. A solução correta é solicitar ao setor de TI que crie um acesso temporário ou compartilhado para o colega. É mais seguro para você e para a empresa.

Recebi um e-mail do 'suporte de TI' pedindo minha senha para resolver um problema. O que faço?

Não forneça a senha e não clique em nenhum link do e-mail. Equipes de TI legítimas nunca precisam da sua senha para resolver problemas — elas têm ferramentas administrativas próprias. Este é um sinal claro de phishing ou engenharia social. Encaminhe o e-mail ao setor de segurança ou TI da sua empresa e aguarde orientação.

Posso anotar minha senha em um papel guardado na gaveta do escritório?

É altamente desaconselhado. Papéis podem ser vistos por colegas, prestadores de serviço, faxineiros ou qualquer pessoa que tenha acesso físico à sua mesa — e você provavelmente não sabe quem passou por ali quando estava ausente. O lugar correto para guardar senhas é um gerenciador de senhas com criptografia, não papel, post-it, caderno ou planilha aberta.

O MFA é mesmo necessário se eu já tenho uma senha forte?

Sim. Senhas fortes protegem contra ataques de adivinhação, mas não contra phishing (onde você digita a senha em uma página falsa), vazamentos de bases de dados ou malware que captura o que você digita. O MFA garante que, mesmo com a senha nas mãos de um criminoso, ele não consegue entrar sem o segundo fator — um código temporário no seu celular, por exemplo. É a camada extra que torna o ataque muito mais difícil.

Posso usar aplicativos pessoais para facilitar meu trabalho sem avisar o TI?

Não é recomendado. O uso de ferramentas não aprovadas — o chamado shadow IT — cria pontos cegos na segurança da empresa. Esses aplicativos podem armazenar dados corporativos em servidores fora do controle da empresa, ter vulnerabilidades conhecidas ou violar políticas de privacidade e conformidade. Sempre consulte o setor de TI antes de usar uma nova ferramenta para fins de trabalho — a aprovação costuma ser mais rápida do que parece.

O que acontece se eu clicar num link suspeito por acidente?

Não entre em pânico, mas aja rápido. Se você clicou em um link e foi levado a uma página que pediu seu login, ou se instalou algo sem querer, avise imediatamente o setor de TI ou segurança da empresa com todos os detalhes que lembrar. Não espere para ver se acontece alguma coisa — a resposta rápida é o que separa um incidente contido de um incidente com impacto real. Ninguém será punido por reportar um erro; o problema é quando o erro fica escondido.

Segurança para empresas

A Decripte protege empresas de todos os tamanhos — do MEI ao Enterprise.

Plataforma e serviços completos: gestão de ameaças, SOC 24x7, resposta a incidentes, pentest e conformidade. Comece de graça e veja o que já vazou do seu negócio.

Comece grátis agora Ver planos