"Somos pequenos demais para interessar a hackers" — é exactamente o que os atacantes esperam que pense. A verdade é o contrário: as pequenas empresas são o alvo preferido, precisamente porque não têm protecções. E os ataques que as atingem não são sofisticados — são oportunistas, automatizados e evitáveis com medidas básicas.
Os ataques que vemos acontecer por cá
Roubo de contas de redes sociais. A página de Facebook com anos de clientes e avaliações é roubada por uma mensagem de phishing ("a sua página viola as regras, clique aqui") — e passa a publicar burlas em nome da sua marca. Recuperá-la pode levar meses.
Fraude do comprovativo e da factura. Comprovativos de M-Pesa falsificados, ou — pior — emails que se fazem passar pela sua empresa a enviar facturas com "novos dados bancários" para desviar pagamentos de clientes.
Uma password para tudo. A mesma password no email, no Facebook e no banco. Quando um site qualquer é comprometido (acontece constantemente), essa password entra em listas que os atacantes testam automaticamente em todo o lado.
O computador da facturação que morre. Sem ataque nenhum — um disco que avaria, um portátil roubado — e a empresa perde a contabilidade, os clientes e os documentos de anos. Sem backup, é um desastre tão grande como qualquer hacker.
As 6 medidas que travam quase tudo
- 1. Autenticação de dois factores (2FA) em tudo. Email, Facebook/Instagram, WhatsApp, banco. É gratuita, demora minutos a activar, e torna a password roubada inútil. Se só fizer uma coisa desta lista, faça esta.
- 2. Um gestor de passwords. Gera e guarda uma password diferente para cada serviço. Acaba o papel colado no monitor e a password reutilizada.
- 3. Backups automáticos. Regra 3-2-1 simplificada: os ficheiros críticos em pelo menos dois lugares, um deles fora do escritório (nuvem). Teste a recuperação uma vez por trimestre.
- 4. Desconfiança treinada. Ensine a equipa: nenhum banco, nem o Facebook, nem a Vodacom pedem PIN ou password por mensagem. Urgência + link + pedido de credenciais = burla, sempre.
- 5. Acessos por pessoa, não partilhados. Cada funcionário com a sua conta e só os acessos de que precisa. Quando alguém sai, corta-se um acesso — não se muda a password de tudo.
- 6. Actualizações em dia. Windows, browser, WordPress e plugins. A maioria dos ataques automatizados explora falhas já corrigidas — em sistemas que ninguém actualizou.
E o website da empresa?
O site também é um activo a proteger: HTTPS sempre (o cadeado no browser — sites sem ele afugentam clientes e o Google penaliza), alojamento sério, e actualizações regulares se usar WordPress. Um site comprometido a distribuir malware em nome da sua marca é um dano de reputação que nenhuma campanha de marketing repara depressa.