Passwords expostas: como saber se a sua empresa aparece em fugas de dados

7 min de leitura · DataRoad

Saber se as passwords da sua empresa estão expostas é mais simples do que parece: com um serviço como o Have I Been Pwned, e depois de provar que o domínio é seu, vê em minutos que endereços da equipa aparecem em fugas de dados conhecidas e em quais. O passo seguinte é o que realmente protege a empresa: garantir que nenhuma dessas palavras-passe ainda abre uma conta de trabalho, e que uma palavra-passe sozinha deixa de chegar para entrar.

Porque é que isto acontece a todas as empresas

Os colaboradores usam o email do trabalho para se registarem em ferramentas online, conferências, lojas, plataformas de formação. Quando um desses serviços é atacado, a lista de emails e palavras-passe acaba, muitas vezes, publicada ou vendida. A sua empresa não foi atacada — mas os dados da sua equipa estão lá.

Se a palavra-passe usada nesse site for a mesma do Microsoft 365, o atacante já tem a chave. Não precisa de adivinhar nada.

Como verificar a sua empresa: passo a passo

Verificação individual

Qualquer pessoa pode pesquisar o seu próprio email em haveibeenpwned.com e ver em que fugas conhecidas aparece. É útil para sensibilizar a equipa, mas não dá a visão da empresa.

Verificação do domínio inteiro

Para ver todos os endereços @suaempresa.pt de uma vez, o Have I Been Pwned exige que prove que controla o domínio. Há quatro formas:

1. Acrescentar um registo TXT ao DNS do domínio com o valor indicado.
2. Colocar uma etiqueta meta na página inicial do site.
3. Carregar um pequeno ficheiro HTML para o servidor do site.
4. Clicar num link enviado para um endereço de administração do domínio.

Na prática, quem gere o DNS ou o site faz isto em poucos minutos. Segundo a página de preços do serviço, a monitorização é gratuita para domínios com até 10 endereços expostos; domínios maiores exigem uma subscrição paga, com escalões pelo número de endereços expostos.

Verificar palavras-passe, não só emails

O mesmo serviço tem uma base de palavras-passe que já apareceram em fugas, o Pwned Passwords, pensada para ser consultada sem revelar a palavra-passe a quem a verifica. O NIST, o instituto norte-americano de normas, recomenda exatamente isto: comparar cada nova palavra-passe com uma lista de palavras-passe comuns ou comprometidas e recusá-la se lá estiver. Em ambientes Microsoft, há proteções equivalentes que bloqueiam palavras-passe fracas ou conhecidas.

O que fazer a seguir: o plano em 4 passos

Trocar, mas com critério

Durante anos, as empresas obrigaram a trocar de palavra-passe a cada 90 dias. O NIST deixou de o recomendar: a orientação atual é não forçar trocas periódicas, mas obrigar à troca quando há indícios de compromisso. Aparecer numa fuga de dados é exatamente esse indício.

MFA: a peça que muda tudo

Com MFA, uma palavra-passe roubada deixa de ser suficiente — falta a aprovação no telemóvel. Segundo a Microsoft, a MFA combinada com o bloqueio da autenticação antiga trava mais de 99,9% dos ataques comuns a contas. Explicamos as opções em MFA: autenticação multifator na empresa.

Gestor de passwords: acabar com a reutilização

Ninguém consegue memorizar 40 palavras-passe diferentes e longas. Um gestor de passwords gera-as, guarda-as e preenche-as. O NIST recomenda que os sistemas permitam o uso destes gestores e o “colar” de palavras-passe, e pede um mínimo de 15 caracteres quando a palavra-passe é o único fator. Veja como escolher e implementar em gestor de passwords para empresas.

Os sinais de que uma conta já foi usada

Aparecer numa fuga não significa que alguém já entrou. Mas há sinais que exigem atuação imediata:

• Inícios de sessão a partir de países onde a empresa não opera.
• Regras de email novas que reencaminham mensagens para fora ou as apagam.
• Pedidos de MFA que o colaborador não fez — e que pode aprovar por engano.
• Clientes ou fornecedores que recebem emails estranhos da conta, por exemplo com IBAN alterado — tratámos este golpe em fraude por email: a fatura alterada.

Para estes sinais chegarem a alguém a tempo, é preciso monitorização com alertas — que nos planos IT Unlimited da DataRoad faz parte da segurança incluída, a par da MFA e da proteção dos postos.

Um caso real: 350 postos sob gestão de segurança

A Ventask trabalha com a DataRoad desde 2016. Hoje são 350 postos em IT Unlimited, com gestão das firewalls, segurança dos postos de trabalho (endpoints), soluções de trabalho remoto e manutenção das soluções de cibersegurança. Numa empresa desta dimensão, a questão nunca é se algum email da equipa aparece numa fuga, mas quão depressa uma conta exposta deixa de ser uma porta aberta. Leia o caso em Ventask: IT Unlimited com 350 postos e firewalls e conheça a nossa abordagem à cibersegurança para empresas.

Perguntas frequentes

É legal verificar se os emails da minha empresa estão em fugas de dados?

Sim, para o seu próprio domínio. É por isso que o Have I Been Pwned exige prova de que o controla antes de mostrar a lista completa. O objetivo é proteger as contas da empresa, não investigar a vida pessoal dos colaboradores.

Se um email aparece numa fuga, a conta foi pirateada?

Não necessariamente. Significa que o email, e por vezes uma palavra-passe, foi exposto noutro serviço. O risco real depende de essa palavra-passe ainda ser usada no trabalho e de a conta ter ou não MFA.

Devemos obrigar a equipa a trocar de palavra-passe todos os meses?

Não. A orientação atual do NIST é não forçar trocas periódicas, mas obrigar à troca quando há sinais de compromisso. Palavras-passe longas, únicas, guardadas num gestor e protegidas por MFA são mais eficazes do que trocas frequentes.

Com que frequência devemos verificar o domínio?

O ideal é uma monitorização contínua, com alerta sempre que surge uma fuga nova com endereços da empresa. No mínimo, uma verificação trimestral e outra sempre que é noticiada uma fuga num serviço que a equipa usa.

Verificação de passwords expostas em 5 dias úteis

Verificamos o seu domínio em fugas de dados conhecidas, identificamos as contas em risco, confirmamos a MFA em todas as contas e deixamos o plano de troca e de gestor de passwords pronto a aplicar. Para empresas com mais de 10 postos · contrato de assistência · suporte remoto, local e telefónico.

Fontes

• Have I Been Pwned — How do I verify my domain?
• Have I Been Pwned — Pricing (domínios até 10 endereços expostos gratuitos)
• Have I Been Pwned — FAQs (Domain Search e Pwned Passwords)
• NIST SP 800-63B-4 — Authentication and Authenticator Management
• OWASP — Credential stuffing
• Microsoft Learn — Security defaults in Microsoft Entra ID