Como proteger sua conta de e-mail: boas práticas essenciais

O e-mail não é apenas uma caixa de mensagens. Ele costuma ser a principal forma de recuperar senhas de redes sociais, lojas, serviços de nuvem, ferramentas profissionais e diversas outras contas.

Se um invasor assumir o controle do seu endereço, poderá tentar redefinir essas credenciais, ler documentos, descobrir informações pessoais e enviar golpes aos seus contatos. Por isso, proteger a conta de e-mail deve ser uma das prioridades da sua segurança digital.

Neste guia, você vai aprender como fortalecer o e-mail, revisar dispositivos e aplicativos conectados, identificar configurações criadas por invasores e agir corretamente caso perceba uma atividade suspeita.

Por que o e-mail é uma conta tão importante?

Na maioria dos serviços, a opção “Esqueci minha senha” envia um link de recuperação para o e-mail cadastrado. Quem controla essa caixa de entrada pode tentar assumir outras contas sem precisar descobrir todas as senhas.

Além disso, mensagens antigas ajudam o invasor a conhecer sua rotina. Recibos, contratos, dados de clientes, reservas, documentos e conversas podem ser usados para criar golpes mais convincentes.

Uma conta comprometida pode permitir:

• redefinir senhas de outros serviços;
• ler mensagens e arquivos anexados;
• localizar informações financeiras e pessoais;
• aplicar golpes em seus contatos;
• interceptar códigos e links de recuperação;
• acessar serviços nos quais você entra usando aquela conta;
• manter uma cópia das mensagens por encaminhamento automático.

Para empresas, o impacto pode ser ainda maior. Um criminoso pode acompanhar negociações, alterar dados de pagamento, enviar cobranças falsas ou usar o endereço corporativo para atingir clientes e fornecedores.

Use uma senha exclusiva para o e-mail

A senha do e-mail não deve ser utilizada em nenhum outro site. Se a mesma combinação estiver em uma loja ou aplicativo que sofre um vazamento, criminosos poderão testá-la automaticamente no provedor de e-mail.

Prefira uma senha longa, imprevisível e armazenada em um gerenciador confiável. Para uma credencial que precise ser memorizada, uma frase-senha formada por palavras aleatórias pode ser mais fácil de lembrar do que uma combinação curta cheia de substituições previsíveis.

Evite:

• nomes e datas de nascimento;
• números de telefone ou documentos;
• nomes de familiares e animais;
• sequências como “123456”;
• o nome da empresa seguido do ano;
• pequenas variações de uma senha repetida.

Não é necessário trocar uma senha forte todo mês sem motivo. A alteração é urgente quando ela aparece em um vazamento, foi reutilizada, informada em uma página falsa ou existe alguma atividade que você não reconhece.

Ative a autenticação em dois fatores

A autenticação em dois fatores adiciona uma verificação depois da senha. Mesmo que alguém descubra a combinação, ainda precisará superar essa segunda barreira.

Os métodos mais comuns são:

• confirmação em um dispositivo confiável;
• código gerado por aplicativo autenticador;
• chave física de segurança;
• passkey ou chave de acesso;
• código recebido por SMS.

Aplicativos autenticadores, passkeys e chaves físicas costumam ser mais resistentes do que o SMS. Entretanto, usar SMS ainda pode ser melhor do que deixar a conta protegida apenas pela senha quando nenhuma alternativa estiver disponível.

Depois de ativar a proteção, guarde os códigos de recuperação fora do e-mail protegido. Se eles ficarem apenas naquela própria caixa de entrada, poderão não ajudar quando você perder o acesso.

Também cadastre um segundo método seguro de recuperação. Isso reduz o risco de ficar bloqueado ao trocar, perder ou formatar o celular.

Nosso guia sobre autenticação em dois fatores explica as diferenças entre os métodos e os cuidados para não perder a conta.

Passkeys podem reduzir a dependência da senha

Alguns provedores já permitem criar uma passkey. Em vez de digitar a senha, você confirma o acesso usando o desbloqueio do celular, computador ou chave física.

A passkey é vinculada ao serviço correto e não pode ser digitada em uma página falsa como acontece com uma senha. Por isso, é especialmente útil contra phishing.

Se o seu provedor oferecer esse recurso, verifique onde a chave será armazenada e como funcionará a recuperação ao trocar de aparelho. A passkey melhora a segurança, mas não elimina a necessidade de proteger o dispositivo e revisar os métodos alternativos de login.

Revise os dispositivos conectados

Os principais provedores mostram uma lista de celulares, computadores, navegadores e outros equipamentos que acessaram a conta.

Revise essa lista periodicamente e procure:

• aparelhos que você não reconhece;
• sessões antigas em computadores vendidos ou formatados;
• acessos em cidades ou países inesperados;
• navegadores que você não utiliza;
• horários incompatíveis com sua atividade.

A localização mostrada nem sempre é exata. Redes móveis, VPNs e provedores de internet podem fazer um acesso legítimo aparecer em outra cidade. Antes de concluir que houve invasão, compare também o dispositivo, o navegador, o horário e o tipo de atividade.

Se encontrar uma sessão desconhecida, encerre-a e altere a senha. Quando disponível, use a função para sair de todos os dispositivos. A página de atividade recente da Microsoft, por exemplo, apresenta informações sobre os acessos feitos à conta nos últimos 30 dias.

Confira aplicativos e serviços autorizados

Aplicativos de agenda, produtividade, automação, armazenamento e leitura de mensagens podem receber permissão para acessar partes da sua conta.

Essas integrações nem sempre conhecem sua senha. Muitas utilizam uma autorização própria, que pode continuar válida até ser revogada. Por isso, apenas trocar a senha pode não remover todos os acessos existentes.

Na área de segurança da conta, verifique:

• aplicativos de terceiros conectados;
• serviços que podem ler ou enviar e-mails;
• extensões que você não utiliza mais;
• senhas específicas de aplicativos antigos;
• acessos por POP ou IMAP;
• contas delegadas ou compartilhadas.

Remova tudo o que for desconhecido ou desnecessário. Quanto menor o número de integrações, menor a superfície disponível para um problema de segurança.

Revise encaminhamento, filtros e regras da caixa de entrada

Esse é um dos passos mais esquecidos depois de uma invasão. O criminoso pode criar uma regra para encaminhar cópias das mensagens a outro endereço, esconder alertas de segurança ou apagar respostas importantes.

Mesmo depois de trocar a senha, essa configuração pode continuar funcionando.

Procure nas configurações do e-mail por:

• encaminhamento automático;
• filtros e regras da caixa de entrada;
• respostas automáticas;
• endereços bloqueados;
• contas vinculadas;
• delegação de acesso;
• assinatura do e-mail.

Uma regra maliciosa pode enviar mensagens do banco para a lixeira, arquivar alertas de login ou encaminhar documentos sem deixar um sinal evidente na caixa principal.

A própria Microsoft recomenda revisar encaminhamento, contas conectadas e respostas automáticas depois de recuperar uma conta comprometida.

Proteja os métodos de recuperação

O telefone e o endereço alternativo de recuperação precisam estar atualizados e pertencer a você. Se um número antigo for reassociado a outra pessoa, ele não deve continuar vinculado à conta.

Confira periodicamente:

• telefone de recuperação;
• e-mail alternativo;
• dispositivos confiáveis;
• códigos de recuperação;
• chaves de segurança cadastradas;
• passkeys existentes.

Não use como único endereço de recuperação outra conta que você não acessa há anos. Proteja também o e-mail alternativo com senha exclusiva e autenticação em dois fatores.

Evite compartilhar códigos, chaves de recuperação ou notificações de aprovação. A Apple, por exemplo, afirma que não solicita senha, código de verificação, código do dispositivo ou chave de recuperação ao usuário.

Desconfie de mensagens sobre a própria segurança da conta

Golpistas enviam avisos falsos dizendo que sua caixa será bloqueada, que o armazenamento acabou ou que houve uma tentativa de acesso. O objetivo é levar você a uma página que copia a tela do provedor.

Em vez de usar o link da mensagem, abra diretamente o aplicativo ou digite o endereço oficial no navegador. Os alertas verdadeiros também costumam aparecer na área de segurança da conta.

Observe sinais como:

• urgência exagerada;
• endereço do remetente diferente do domínio oficial;
• link que leva a outro site;
• pedido de senha ou código de autenticação;
• arquivo inesperado;
• ameaça de bloqueio imediato;
• pedido para instalar um aplicativo.

Uma mensagem pode parecer legítima e até vir de uma conta conhecida que foi invadida. Para aprofundar esse cuidado, leia nosso guia sobre como identificar e evitar phishing.

Mantenha celular, computador e navegador protegidos

Uma senha forte não resolve o problema se o aparelho estiver comprometido. Malware, extensões perigosas e programas de acesso remoto podem capturar dados ou aproveitar uma sessão já aberta.

Mantenha o sistema, navegador e aplicativos atualizados. Instale programas somente de fontes oficiais e revise extensões que conseguem ler páginas ou alterar dados no navegador.

Evite acessar o e-mail em computadores públicos. Se isso for inevitável, não permita que o navegador salve credenciais, saia da conta ao terminar e remova a sessão posteriormente por um dispositivo confiável.

Em aparelhos compartilhados, use perfis separados. Bloqueie a tela sempre que se afastar e não deixe códigos de recuperação em arquivos abertos.

Sinais de que seu e-mail pode ter sido invadido

Alguns indícios merecem investigação imediata:

• alertas de login que você não reconhece;
• senha que deixou de funcionar;
• telefone ou e-mail de recuperação alterado;
• mensagens enviadas sem sua autorização;
• contatos recebendo pedidos estranhos em seu nome;
• e-mails desaparecendo ou indo para pastas inesperadas;
• regras e encaminhamentos desconhecidos;
• códigos de redefinição de serviços que você não solicitou;
• aplicativos ou dispositivos novos na área de segurança.

Receber uma tentativa de login bloqueada não significa necessariamente que o invasor entrou. Ainda assim, vale verificar a atividade, confirmar que a senha é exclusiva e revisar a autenticação em dois fatores.

Conta de e-mail invadida: o que fazer na ordem certa

Se ainda consegue entrar, não se limite a trocar a senha. Um invasor pode ter criado formas de manter o acesso.

1. Use um dispositivo confiável. Se suspeitar de malware no computador atual, utilize outro aparelho seguro. Caso não exista essa opção, faça uma verificação completa antes de criar uma nova senha.
2. Troque a senha do e-mail. Crie uma combinação longa, exclusiva e nunca utilizada anteriormente.
3. Encerre as sessões abertas. Use a opção de sair de outros dispositivos ou remova individualmente os acessos desconhecidos.
4. Corrija os métodos de recuperação. Remova telefones, e-mails, passkeys ou chaves que não pertencem a você.
5. Ative ou reconfigure o segundo fator. Gere novos códigos de recuperação se os anteriores puderem ter sido expostos.
6. Revogue aplicativos conectados. Remova integrações, tokens e senhas de aplicativo suspeitos.
7. Examine filtros e encaminhamentos. Apague regras, delegações e respostas automáticas criadas pelo invasor.
8. Revise mensagens enviadas, excluídas e arquivadas. Procure golpes, redefinições de senha e ações que você não realizou.
9. Proteja as outras contas. Troque as senhas dos serviços vinculados ao e-mail, começando por bancos, nuvem e redes sociais.
10. Avise seus contatos. Oriente-os a ignorar links, arquivos e pedidos de dinheiro enviados durante o período da invasão.

Se não conseguir entrar, use somente o procedimento oficial de recuperação. O Google, por exemplo, mantém um fluxo específico para recuperar uma Conta Google ou Gmail. Em contas profissionais, comunique imediatamente o administrador de TI.

Não pague pessoas que prometem recuperar a conta por meios secretos. Esse tipo de abordagem pode ser um segundo golpe.

Checklist para revisar sua conta agora

• A senha é exclusiva e não aparece em outros serviços?
• A autenticação em dois fatores está ativa?
• Os códigos de recuperação estão guardados fora do e-mail?
• O telefone e o endereço alternativo estão atualizados?
• Todos os dispositivos conectados são reconhecidos?
• Os aplicativos autorizados ainda são necessários?
• Não existe encaminhamento ou regra desconhecida?
• Os alertas de segurança estão ativados?
• O celular e o computador estão atualizados?

Conclusão

Proteger o e-mail é proteger a principal porta de recuperação da sua vida digital. A base dessa segurança é uma senha longa e exclusiva, combinada com autenticação em dois fatores e métodos de recuperação atualizados.

Mas a revisão não deve parar na senha. Dispositivos conectados, aplicativos autorizados, encaminhamentos, regras e sessões abertas também podem manter um invasor dentro da conta.

Comece pelo e-mail principal, encerre acessos que não reconhece e guarde os códigos de recuperação em local seguro. Essa revisão leva poucos minutos e pode impedir que uma única invasão alcance todas as outras contas vinculadas.

Perguntas frequentes

Qual é a proteção mais importante para o e-mail?

Use uma senha exclusiva e ative a autenticação em dois fatores. Em conjunto, essas medidas reduzem bastante o risco de acesso indevido.

SMS é suficiente para proteger a conta?

É melhor do que não usar uma segunda etapa, mas aplicativos autenticadores, passkeys e chaves físicas costumam oferecer proteção mais resistente.

Trocar a senha encerra todos os acessos?

Nem sempre. O comportamento varia conforme o provedor. Revise sessões, dispositivos, aplicativos conectados, senhas de aplicativo, encaminhamentos e regras da caixa de entrada.

Como saber se alguém entrou no meu e-mail?

Consulte a atividade recente e os dispositivos conectados. Mensagens enviadas sem autorização, regras desconhecidas e alterações nos dados de recuperação também são sinais importantes.

O que fazer se não consigo recuperar a conta?

Use apenas o fluxo oficial do provedor. Se for uma conta corporativa ou escolar, procure o administrador responsável. Não forneça dados ou dinheiro a pessoas que prometam recuperação por fora dos canais oficiais.

Devo criar um e-mail separado para recuperação?

Pode ser uma boa estratégia, desde que a conta alternativa também seja protegida, revisada e acessada regularmente. Um endereço abandonado pode se transformar em outro ponto fraco.