‘Perguntas de segurança’ perdem espaço na recuperação de contas

Ao fazer log-in no Gmail, você pode ser surpreendido por uma mensagem. “Ajude-nos a proteger sua conta”, diz a tela, que argumenta o uso do número de telefone celular como meio para recuperação da conta. Em outros casos – e outros serviços -, um aviso parecido pode pedir que você confira se o e-mail alternativo fornecido ou outras informações estão corretas. O objetivo disso é preparar sua conta para o caso de ela ser invadida.

Serviços on-line têm dependido há anos do recurso chamado de “perguntas de segurança”, “perguntas secretas” ou “respostas secretas”, que se baseia no cadastramento de uma ou várias perguntas e respostas. No caso de esquecimento da senha, o usuário poderia responder a pergunta e reaver a conta.

Na prática, as “perguntas” se mostraram o calcanhar de Aquiles de muitos usuários. Em dezembro de 2012, Christopher Chaney foi condenado a 10 anos de prisão por ter acessado o e-mail de celebridades como Scarlett Johansson, Mila Kunis e Christina Aguilera para distribuir fotos íntimas. Chaney apenas usou informações disponíveis publicamente para responder as “perguntas de segurança” das famosas.

Sarah Palin, ex-governadora do Alasca, nos Estados Unidos, e Paris Hilton também já foram vítimas de ataques do mesmo tipo.

Hoje, com o uso do Facebook, é fácil responder muitas das perguntas de segurança sugeridas pelos serviços de internet, que em alguns casos chegam a ser absurdas, como “qual seu time do coração”. Trata-se de algo que a maioria das pessoas nem sequer esconde, mas, se responder a “pergunta” com sinceridade, ficará vulnerável a um roubo da conta.

No entanto, mesmo que a resposta não seja sincera, enquanto um nome de um time de futebol for usado para responder “qual o time do coração”, o número de possibilidades existentes é muito pequeno. Se uma senha de apenas 4 caracteres numéricos tem dez mil possibilidades, é muito difícil que existam mais times do que combinações de uma senha de 8 dígitos com números, letras e símbolos especiais.

O número de possíveis respostas a uma pergunta de segurança é sempre menor do que o número de possibilidades trazidas por qualquer senha razoável. Ou seja, o recurso “desprotege” o internauta. É claro que todos nós estamos livres para responder mentiras, ou usar uma senha secundária como “resposta”. Mas, se fosse para ser assim, seria mais fácil se os serviços pedissem logo uma “senha secundária” em vez de induzir pessoas ao erro com perguntas inseguras.

As perguntas de segurança preenchem uma necessidade simples dos serviços on-line: fornecer um meio barato para que usuários possam recuperar suas contas no caso de esquecimento da senha ou invasão, reduzindo custos de suporte. Mas o barato sai caro – e quem paga o preço é o internauta.

Reforço para SMS e e-mail alternativo

Além das perguntas de segurança, a outra maneira de recuperar uma conta é o “e-mail alternativo”. O problema com o e-mail alternativo é que em certos casos a conta cadastrada é a primeira conta do usuário. Nesse caso, ele não tem um e-mail secundário para cadastrar, e assim se vê obrigado a fazer uso das perguntas secretas.

Com a proliferação dos telefones celulares, o SMS surgiu como alternativa às perguntas secretas. Agora, serviços podem enviar um código para o número de telefone do internauta. E, como o Google, outros serviços exibem mensagens de aviso para cadastrar um e-mail alternativo. Se não havia um no momento do registro, talvez agora exista um – e ele pode ser usado para recuperar a conta.

Suporte

A única maneira de recuperar uma conta invadida que não foi resgatada com as “perguntas de segurança”, ou de nenhuma outra maneira, é entrando em contato com o suporte do serviço on-line. Há formulários específicos para contato, em alguns casos. Em outros, pode ser preciso pesquisar bastante, ou até acionar a Justiça para conseguir provar que você era, realmente, o detentor da conta perdida ou violada.

Sem segurança nas perguntas de segurança

Não existe maneira de usar as perguntas de segurança com segurança. Qualquer tentativa de usar as perguntas da maneira como elas foram projetadas para serem usadas nos deixa mais inseguro. A única forma de usar as perguntas de segurança é de uma maneira contrária ao que é proposto.

Você pode cadastrar como resposta uma senha realmente longa e complicada, que ficará anotada em algum lugar especial. Ou você pode simplesmente bater qualquer coisa no teclado e arriscar perder a conta para sempre caso ela seja violada, já que você também não saberá as respostas das perguntas.

Hoje você também tem a escolha de utilizar serviços que ofereçam mecanismos superiores de recuperação de conta e que não te obriguem a perder tudo caso você não lembre qual mentira contou em “qual o nome do seu animal de estimação”. Infelizmente, em alguns casos essa escolha ainda não existe.