Segurança da informação

Fabrício: Tiago, conta para a gente: por que que eu não deveria, em hipótese alguma, repetir senha?

Tiago: Repetir a senha simplesmente vai potencializar a chance de você sofrer um ataque, uma invasão nas suas contas. É basicamente o seguinte: se a sua senha foi descoberta em apenas um serviço, ela poderia ser utilizada para entrar em todas as outras contas que têm a mesma senha.

Fabrício: Então aquela senha que eu demorei para construir, que eu gostei, que eu memorizei, que eu acho super forte e secreta, se eu usar em mais de um serviço, todo esse trabalho de memorizar não adianta de nada?

Tiago: Exatamente, porque, se um desses serviços sofrer alguma invasão ou vazar algum dado seu, a sua senha super secreta, super segura, super bem elaborada vai estar aberta para qualquer pessoa que quiser utilizar. E se você usa essa mesma senha nos outros serviços, aí já era todo o seu trabalho.

Fabrício: Eu devia ter ouvido essa recomendação nos primórdios da internet, porque lá no início, quando chegou o computador em casa, internet discada, a minha senha era uma senha estranha. Não digo que ela era difícil, mas ela era estranha. E eu usava ela para tudo, tudo, tudo.

Alexander: Eu tive uma migração, na verdade. Já repeti senha, obviamente, acho que todo mundo já fez isso. Mas teve uma fase em que eu tinha uma senha para serviços inúteis, para sites em que eu ia me cadastrar e que não eram importantes, então eu podia repetir.

Tiago: E esses são um problema, na verdade, porque normalmente esses sites têm um nível de segurança pior, a chance de a sua informação vazar é maior. E você não está colocando só uma senha ali: está colocando um e-mail, está colocando o seu nome, está colocando alguma outra informação.

Então, se você tem uma senha compartilhada, que pode ser quebrada ou vazada em algum serviço, ele vai conseguir te identificar em outros serviços também.

Alexander: Isso é ruim, né. E às vezes não é só capturar informação sua, mas também se passar por você perante esses serviços.

Tiago: Exatamente. E a senha não é a melhor forma de autenticação: ela é a forma mais fácil, mas não é a única e nem necessariamente a mais segura.

Nós temos três categorias para o processo de autenticação: aquilo que você sabe, aquilo que você tem e aquilo que você é. Aquilo que você sabe são senhas e informações pessoais, como nomes, datas, documentos, um PIN. Aquilo que você tem é um token, tipo aqueles chaveirinhos de banco, o cartão que tem uma tabelinha de números, o seu celular, a chave da sua casa. E aquilo que você é pode incluir impressão digital, retina, o seu rosto.

Fabrício: E dá para fazer o complemento entre essas três formas que o Tiago descreveu. Por exemplo, a autenticação de dois passos, que algumas pessoas estão acostumadas a usar, como aquele aplicativo do Google, o Google Authenticator, tem o Authy, tem alguns outros, em que você coloca a sua senha e, depois de adicionar essa senha, você precisa colocar a informação de um token. Aí você está combinando algo que você sabe com algo que você tem, e é uma forma de tornar a identificação um pouco mais segura.

É um pouco do que o banco faz, né. Por exemplo, eu sou correntista do Itaú: eu digito a minha senha e ele pede aquele número do token que está no meu aplicativo.

Tiago: É isso exatamente. Quando você combina vários métodos de autenticação, você dificulta bastante que as suas contas sejam acessadas.

Fabrício: Mas isso não serve só para banco: qualquer serviço hoje em dia já tem esse multi-factor authentication, ou autenticação de dois passos, para que, além da sua senha, você adicione uma outra camada de segurança, como por exemplo o token, que é o mais comum, para dificultar que outras pessoas tenham acesso.

Se uma outra pessoa tiver acesso à sua senha, ela simplesmente poderia digitar e acessar; mas dificilmente ela vai ter acesso à sua senha e ao seu token, ou ao seu celular, ou à sua impressão digital. Então adiciona uma camada interessante.

E a vantagem de combinar os dois, e não usar só o token, é que dificilmente alguém teria aquilo que eu tenho, mas, quando você tem um passo só, é mais fácil de forjar esse passo. Mesmo que seja algo que você é, por exemplo a identificação pelo rosto, ou aquele leitor de digital do iPhone que o Tiago comentou: se for um passo só, mesmo sendo isso, é mais fácil de quebrar do que quando você combina com outros passos.

Mas aí a gente entra no problema: eu vou ter que gravar senha pra caramba. Eu não vou ter uma senha única, vou ter a senha do meu banco, a senha do meu e-mail, a senha do meu blog, a senha de um monte de coisa. Como é que eu vou guardar essas informações? Isso não se torna inviável?

Tiago: Isso, e acaba que as pessoas começam a utilizar senhas repetidas ou a criar senhas inseguras, o que também não é recomendado. Você pode criar várias senhas diferentes, mas, se cada uma delas for insegura, você ainda fica propício a algum ataque.

Então não é recomendado criar senhas repetidas e nem senhas inseguras, como usar palavras, telefone, nome, data de aniversário ou qualquer informação de simples acesso. O recomendado é realmente criar senhas seguras e diferentes para cada serviço.

Alexander: Eu uso um gerenciador de senha. Isso é válido? É seguro ter todas as minhas senhas armazenadas em um único serviço, em um único aplicativo? Quais são os riscos disso?

Tiago: Para poder guardar várias senhas diferentes e seguras, você precisa anotá-las, porque você não vai lembrar de todas. E, para anotar, várias pessoas utilizam o papel, um caderno, ou o computador. Porém, se você armazenar as suas senhas seguras de uma forma insegura, você continua propício a algum ataque: qualquer pessoa que vir o seu caderno vai poder acessar a sua conta.

E para isso a gente tem um método melhor, que são os gerenciadores de senha, como você comentou. A gente tem o 1Password, o LastPass, o KeePass e vários outros. Basicamente ele armazena a sua senha de forma criptografada e segura, e te dá essa senha quando você precisar dela.

Além de salvar senhas, eles também salvam outras informações importantes, como cartão de crédito, alguma anotação importante que você precise fazer. Armazenar nesse serviço é recomendado, sim, diante da alternativa, que é armazenar de forma insegura.

Fabrício: E uma coisa que é bom dizer também é o que é uma senha segura: quanto maior o número de caracteres e mais aleatória a senha, mais segura ela é. Então, Tiago, você falou que não vai conseguir lembrar de todas as suas senhas diferentes e seguras justamente por isso: se você tiver realmente uma senha para cada serviço e ela for segura, ela vai ser grande e aleatória, vai ser muito difícil de lembrar.

Tiago: Exato. Para a senha ser segura, ela precisa embaralhar muitas informações.

Fabrício: Eu tenho um outro método, que algumas pessoas usam, mas com o qual eu tenho críticas, apesar de usar também em alguns cenários. É uma forma de criar uma senha segura que não é de fato completamente aleatória: você cria senhas únicas, uma senha para cada serviço que você utiliza, para cada necessidade que você tem, mas cria um algoritmo mental, uma regrinha mental, para poder saber qual é a senha daquele serviço. Com isso você consegue uma senha média para segura, e ela é única.

O problema é que, como ela não é completamente aleatória, e vem de uma regra que você criou, mesmo que só você saiba essa regra, é possível que isso seja identificado.

Tiago: Identificado, exatamente. Por exemplo, se eu descobrir qual é o seu método, eu consigo, de uma maneira mais fácil, descobrir qual é a sua senha no serviço que você usa.

Fabrício: Exatamente. Criar um método é uma opção interessante, sim, mas, dependendo do método que você escolher, a sua senha pode ser mais ou menos segura. E a insegurança dela fica pela senha que você vai gerar no final e por um ataque mais pessoal. Ou seja: quando o ataque é genérico, contra um site, coisa do tipo, possivelmente você não seria tão impactado pela regra, porque a pessoa dificilmente vai descobrir qual é a regra que você criou. Mas se o ataque for em cima de você, aí talvez o método de criar uma senha seguindo uma regra não seja tão interessante.

Tiago: E o método de criação de uma senha assim é basicamente o seguinte: você vai juntar algumas informações que você sabe, informações do site, coisas do tipo, e colocar tudo junto de uma forma que só você vai saber.

Então, por exemplo, você pode pegar as três primeiras letras do nome do site, juntar com um número aleatório, 42, e o nome de uma outra pessoa que ninguém conhece. Se você fosse acessar o Facebook, você poderia acessar com, por exemplo, F-A-C 42 João. E, para dificultar mais a sua senha, você pode definir que o João sempre vai ser escrito em letra maiúscula e que no final vai ter um ponto de exclamação. Aí, em outro site que você for acessar usando o mesmo método, você consegue criar senhas diferentes.

Então esse seria um método bem básico para criar uma senha, mas, novamente, ele não é um método tão recomendado, porque ainda não é completamente aleatório. Por mais que você tente misturar letra maiúscula, minúscula, número, alguns caracteres especiais como o cifrão, o arroba, e isso já é muito bom, ainda não é completamente aleatório. Para ser completamente aleatório, você precisaria bater a mão no teclado ou usar um programa de criação de senha.

E aí essas senhas ficam muito mais difíceis de decorar. Por isso existem formas de armazenar a sua senha de forma segura, que são os gerenciadores de senha: além de gerar as senhas usando vários caracteres, de forma bem segura, eles armazenam a sua senha de forma criptografada nos servidores deles. E quando você precisar utilizar essa senha em algum site, ele simplesmente vai recuperar aquela senha e vai te permitir logar de forma fácil. E, como ele armazena todas as suas senhas, você não precisa decorar nenhuma delas.

Fabrício: Só comentando com relação a essas duas coisas que você falou, Tiago: apesar de essa forma de usar um método para criar senhas não ser a ideal, ela já é melhor do que repetir a senha em centenas de serviços. Mas ela não é tão segura quanto usar um aplicativo gerenciador.

Em contrapartida, ela permite que você acesse de qualquer celular ou de qualquer computador, sem necessariamente estar com o seu computador ou com o seu celular. Existe uma certa inconveniência, pequena, mas existe, quando você usa um gerenciador de senhas: você tem que estar sempre com acesso a ele para poder acessar um outro serviço. Então, se você estiver numa viagem e acontecer alguma coisa com o seu celular, e você precisar acessar um serviço, acaba ficando um pouco mais complicado. Mas é uma forma de você ter senhas mais seguras também.

Tiago: Exato. E aí você pode pensar assim: como fica mais complicado para você, fica mais complicado para quem quer te invadir também. Então é uma complexidade boa nesse caso.

Fabrício: E, como você comentou, você não precisa estar com o seu computador, apenas com o seu celular. E dá para utilizar um serviço online, por exemplo, o que facilita o acesso em outro computador.

No seu computador normal, aquele que você vai acessar sempre, ele tem inclusive a conveniência de você não precisar nem digitar a senha: você simplesmente clica lá no ícone do Facebook dentro do aplicativo e ele já abre, já digita a sua senha, o seu login e já manda conectar, tudo sem precisar redigitar a sua própria senha.

E esses aplicativos de armazenamento, eles são seguros? Estão longe de vazar esses detalhes?

Tiago: Eles necessariamente precisam ser bem seguros, porque vão estar guardando informação sensível de diversas pessoas. Sem dúvida eles vão ser um foco bom para hackers e crackers que querem roubar senha. Mas, por conta disso, as informações são criptografadas.

O que isso significa? Significa que todas as informações são embaralhadas de uma determinada forma, e só com a sua própria senha, a senha master, a principal, é que se consegue desembaralhar essa informação para dar origem àquela senha de que você vai precisar.

E quanto melhor o algoritmo para fazer essa criptografia, mais difícil fica de as suas informações serem liberadas de forma explícita. Porque, caso o servidor seja invadido, eles vão ter acesso às informações, mas não vão saber o que elas significam, não vão conseguir recuperar a senha: vão ter apenas um tanto de informação embaralhada, misturada, sem sentido algum.

Fabrício: Então essa é uma camada importantíssima em qualquer serviço, inclusive no site que você vai acessar. Normalmente eles precisam ter essa camada de segurança, a criptografia, para armazenar as suas senhas.

Uma característica de que eu gosto no gerenciador que eu utilizo é que ele me emite alertas sempre que um determinado site foi invadido. Então, sei lá, o Evernote sofreu um ataque, aí eu recebo um alerta falando para eu trocar a minha senha no Evernote, porque o Evernote foi atacado e informações foram vazadas. Isso eu acho bem relevante, porque, se depender de você saber por si só quais sites sofreram invasão, você não consegue.

E em cima disso também tem esses serviços que o gerenciador de senha vai agregar. Tem várias outras possibilidades: tem alguns que permitem que você faça a troca da senha em vários sites com um único botão. Então, se você tem muitos sites cadastrados, várias contas cadastradas com essas senhas aleatórias, e quer dar uma renovada, colocar outra senha aleatória no lugar, com um único botão você aciona e ele acessa todos os sites e troca as senhas por outras senhas aleatórias, sem que você precise fazer isso um a um.

Tiago: Nossa, então agrega ainda mais um fator, porque as senhas vão mudando de tempos em tempos sem que você precise decorar as novas, e as antigas também vão sendo invalidadas.

Fabrício: Beleza, tenho uma senha super segura, forte, aleatória, única para cada site que eu utilizo. Como é que eu vou saber, então, Tiago, se a empresa está salvando não só a minha senha de forma segura, mas também se ela está cuidando das informações que eu envio a ela?

Tiago: Para saber como a empresa está armazenando os seus dados, você vai ter que perguntar para o suporte da empresa ou ler o contrato, o termo de serviço, para ver se lá está informando alguma coisa. Caso não esteja, tem alguns indícios que você consegue ir analisando para saber se ela está tendo os mínimos cuidados com os seus dados.

Por exemplo: se você mandar recuperar a sua senha e, em vez de vir um link, algo aleatório, vier a sua própria senha, com certeza ela está armazenando a sua senha de forma insegura.

Outra forma é ver qual é o link que você está acessando: se ele começar com https, está seguro; se ele começar com http, não está seguro. O que significa esse https? Significa que todas as informações que você está trafegando entre o seu navegador e o servidor da empresa estão sendo criptografadas. Então, se alguém malicioso entrar no meio dessa troca de informação, ele pode até conseguir pegar os dados, mas não vai saber o que eles significam, não vai conseguir pegar a informação que está sendo carregada, não só a sua senha, mas qualquer outra coisa. Então é importantíssimo o uso de https no site.

Fabrício: Isso é especialmente importante quando você acessa a internet de um wi-fi público, por exemplo de uma cafeteria, de um shopping, alguma coisa assim. Por quê? Tem um tipo de ataque chamado man in the middle, que é exatamente a interceptação no meio do caminho, entre você, usando o seu device, o seu aparelho, e o servidor da empresa. Se você está usando o wi-fi público, é muito fácil interceptar essa informação, caso você esteja navegando num site que está como http.

Aí você pensa: mas por que me preocupar com isso, quem é que vai invadir aqui? Às vezes a informação só de você não é interessante, mas, quando se está pegando informação de várias pessoas, isso pode ter um potencial de dano relevante. Então é bom ficar atento a essas coisas, principalmente em wi-fi gratuito.

E um adendo ainda em cima do acesso em computadores públicos: primeiro, sempre faça logout. Se você fizer login em algum computador que não é seu, sempre lembre-se disso, porque, se você não fizer logout, a outra pessoa que vier depois consegue continuar o seu acesso de onde você parou. Fechar a aba somente não adianta, viu, pessoal. Fechar a aba, fechar o navegador não adianta, desligar o computador apenas não adianta: tem que realmente ir lá no site, no "sair" ou como estiver escrito lá.

Outra coisa é evitar fazer algumas operações sigilosas, que precisam de um sigilo maior, em computadores públicos. Então, se você puder evitar de acessar o site do seu banco, evite. Nesse caso, priorize a sua rede 3G, 4G no seu celular. Mesmo que você esteja fora, ou tenha um computador público na sua frente, é preferível acessar o seu banco pelo seu 4G do que acessar o seu banco em um computador público usando o wi-fi de uma cafeteria.

Alexander: Uma pergunta: isso vale para navegadores, correto? E se eu estiver usando um aplicativo, tem como eu conferir se essas informações trafegadas são seguras ou não, se o aplicativo é malicioso? Tem como fazer alguma conferência num aplicativo?

Tiago: No aplicativo a coisa complica um pouco mais, porque não é possível você verificar de forma fácil como ele está trafegando os seus dados. Não é qualquer pessoa que vai conseguir verificar essa informação.

Porém, quando você acessa de um aplicativo oficial, a intenção é que realmente tudo o que você está fazendo nele seja legítimo. Mas, novamente, você fica propenso ao ataque que o Fabrício falou, o man in the middle, em que a informação é interceptada durante o envio ou o recebimento. E a minha recomendação nesse caso é que você escolha bem os aplicativos que você vai acessar e nos quais vai digitar a sua senha.

Tem alguns serviços em que acaba sendo um pouco mais seguro, infelizmente, você utilizar pelo navegador, porque você consegue enxergar essa informação de forma bem transparente, e no aplicativo não.

Fabrício: A gente teve um problema alguns anos atrás com um aplicativo de um banco brasileiro, não vou citar aqui qual: no aplicativo dele tinha uma conexão que não era criptografada, o que era um problema de segurança grave. Isso já foi corrigido e já faz um tempo, mas olha só, um banco tinha uma falha dessas. Então é uma coisa muito sensível, muito importante ficar atento.

É um ponto a mais para os progressive web apps, né. E quem está meio perdido nisso: nós gravamos um episódio falando sobre esse tipo de aplicativo, vai lá e ouça. Então é mais um ponto a favor desse modelo de aplicativo.

Tiago: E todos os desenvolvedores que estão ouvindo: um ponto importante é que vocês também podem incentivar os usuários a criar senhas seguras. Por exemplo, não permitir senhas apenas com números ou apenas com letras; exigir que tenha uma letra maiúscula, uma letra minúscula, algum caractere especial. A quantidade mínima de caracteres para a senha também é muito importante.

E não permitir senhas comuns. O relatório de 2017 da SplashData analisou cerca de cinco milhões de senhas vazadas na internet e constatou que 10 por cento dessas senhas, ou seja, 500 mil pessoas, utilizam as 25 senhas menos seguras. Entre elas está o 123456, o admin, o login, o starwars, o hello. Então é importante que o aplicativo também incentive que a senha que o usuário vai digitar seja segura.

Fabrício: Mais uma dica para os desenvolvedores: não limitem a quantidade de caracteres que a senha pode ter, por favor. Isso é importante porque, mesmo quando você faz uma senha super segura, às vezes o site limita a uma quantidade muito baixa, e você acaba ficando com aquela senha insegura por uma limitação do próprio site e não por uma escolha sua.

Beleza, a gente falou de senha, da importância de senhas seguras e tal. Um outro ponto igualmente importante são os backups, né.

Hoje praticamente todas as nossas informações, documentos, fotos, vídeos, tudo está no computador; e quando não está no seu computador, está armazenado em algum serviço compartilhado, em alguma rede social. E perder isso é um problema: pode dar um problema no seu computador e aí você perde todas as suas fotos; pode dar um problema no seu celular, ele ser roubado, e aí, poxa, todas as fotos do meu celular foram perdidas. O backup entra para te dar uma certa segurança, para que, caso você perca os seus dados, fotos, documentos, vídeos, você tenha uma forma de recuperar.

Como é que a pessoa pode, então, Tiago, dada a importância disso, trabalhar com backups sem ser uma coisa super tecnológica? Preciso de um super conhecimento técnico para poder configurar alguma coisa?

Tiago: Hoje em dia existem vários serviços que descomplicam o backup. Os celulares e os computadores costumam já vir com uma solução pré-instalada; você pode utilizar a dele ou até instalar uma outra, se achar melhor, dependendo da forma que você quer trabalhar. No iPhone, por exemplo, tem o iCloud, que você pode ativar e todos os seus dados são enviados para a nuvem. Mas tem também outras empresas que atendem uma vertical só, que focam só nas fotos, por exemplo.

Fabrício: E a essa parte a gente às vezes não dá a devida importância. Alguns anos atrás teve um caso que me marcou muito, porque eu nunca tinha me preocupado com backup. Eu estava ouvindo um podcast e escutei a situação do Mat Honan, que é um escritor, escreve para várias revistas, uma pessoa que tem um certo conhecimento de tecnologia.

E aí, por meio de engenharia social, um hacker que queria a conta dele no Twitter, que era uma conta muito curta, conseguiu os quatro últimos números do cartão de crédito dele na Amazon. Através de algumas falhas de segurança que a Apple tinha, ele acessou o Buscar Meu iPhone, o Buscar Meu Mac, e o Mat perdeu todos os dados que tinha no computador: eram anos de fotos da filha, toda a vida digital dele estava naquele computador, e ele não tinha backup.

Isso mexeu comigo porque a minha filha estava novinha e eu tinha todas as fotografias dela no meu celular na época. Foi ali que eu comecei a me atentar para o backup, e fui procurar como fazer backup das minhas fotos, dos meus contatos. Eu já passei por situações bem chatas de perder contato e não ter como recuperar.

Tiago: A maioria das pessoas não dá a devida importância a isso e só vai dar importância na hora em que acontece o problema. Tanto que hoje existe até o Dia Mundial do Backup, justamente para conscientizar as pessoas dessa importância.

Então é importante entender que existem documentos e arquivos que, se você perder, se refazem, ou que não são importantes, você baixa aquele arquivo de novo. Por exemplo, você está fazendo um texto, um relatório, gastou duas horas para fazer, aconteceu um problema e você perdeu aquele arquivo: beleza, vai ser trabalhoso, vai ser difícil, mas se refaz aquele arquivo, aquelas duas horas de trabalho. Mas se você perdeu uma foto, por exemplo, ou um vídeo do seu filho, você perdeu, você não tem mais.

Fabrício: E, comentando um pouquinho do que o Tiago estava falando com relação a serviços: tem alguns serviços que facilitam muito, mesmo que não seja para fazer um backup completo de todo o seu celular ou de todo o seu computador. Você pode usar algumas coisas específicas para fazer backup pelo menos desses arquivos que são mais difíceis ou impossíveis de recuperar caso você perca.

Por exemplo, aqui de cabeça: o próprio Dropbox permite que você ative uma opção que chama camera upload, e ele vai fazendo o upload de todas as fotos e vídeos do seu celular; tem o próprio Google Drive, com o Google Fotos nos celulares Android. Então, pelo menos esses arquivos, caso você perca, seja possível recuperar.

É importante ficar atento, porque mais cedo ou mais tarde alguma coisa pode acontecer, e a história diz que aquilo que você não pode perder é justamente o que você acaba perdendo. Então é bom se precaver um pouquinho.

Uma vez eu ouvi uma frase e eu procuro sempre caminhar junto a ela, que é o seguinte: se você tem um backup, você não tem nada. Tenha pelo menos dois backups dos seus dados, porque, se der algum problema no primeiro, você tem uma reserva.

Alexander: Essa premissa é real? Preciso mesmo investir tempo criando backups seguindo essas regrinhas?

Fabrício: Essa é a regra máxima do backup: quando você tem um, você tem nenhum; quando você tem dois, você tem um; quando você tem três, você tem dois. Você sempre tem um a menos do que realmente acha que tem. Porque, se você tiver um único backup e perder o original, você vai tentar pegar o backup, mas se o backup também não estiver acessível, você não vai ter nada.

Então tira um tempinho aí para fazer essa estrutura de backup: é importante armazenar em mais de um lugar, idealmente em mais de dois lugares, para que você continue com as suas informações.

O pensamento tem que ser mais ou menos assim: o backup é exatamente a reserva do seu uso padrão do dia a dia. O seu backup precisa ter um backup, e o backup do seu backup também, e assim, de forma virtualmente infinita, até você achar que é suficiente para o nível de importância daquilo que você está querendo resguardar.

Para a maior parte das pessoas, para a maior parte das coisas, tudo bem: você tem dois backups, em dois lugares em que se salvam as informações de forma frequente, e funciona. A chance de dois lugares diferentes darem problema é baixa; pode acontecer, mas é baixa. Já para coisas mais sensíveis, por exemplo para sistemas em que eu preciso garantir que não vou perder informação em caso de algum desastre, é importante você ter de forma mais redundante.

Um resumo de tudo o que nós conversamos aqui: dê a devida importância às suas informações. Se a filmagem do seu casamento é relevante, se as fotos dos seus filhos são importantes, se os documentos da sua empresa são importantes, salve essas informações em formato de backup, porque uma hora você pode precisar, e se precisar você vai ter como recuperá-las.

Alexander: Não pode acontecer o que aconteceu comigo: a filmagem do nosso casamento não tinha backup, e a minha esposa gravou um filme em cima da fita VHS da filmagem do nosso casamento. Se tivesse um backup... hoje não tem filmagem. É uma informação que hoje está só na nossa memória, não tem jeito de recuperar.

Fabrício: Senha segura é importante, backup é importante. E uma outra coisa importante é a questão da privacidade dos dados, né, a gente saber o que essas empresas estão fazendo com as nossas informações.

Tiago: A gente tem o GDPR na Europa, regulando a questão dos dados dos europeus, e teve agora recentemente, se não me engano em agosto de 2018, a LGPD, que é a Lei Geral de Proteção de Dados Pessoais, aqui no Brasil, que vai falar um pouco sobre como as empresas podem solicitar, armazenar e tratar dados pessoais.

É importante lembrar que o GDPR não tem caráter de lei: ele é uma regulamentação com a qual todos os países da União Europeia entraram num acordo, e todos vão seguir as mesmas regulamentações. Em cima disso, espera-se que as empresas se adaptem a essas regulamentações, que dão foco principal no usuário, o dono daquela informação. Então toda aquela informação que é gerada pelo usuário, que é de propriedade daquele usuário, precisa estar sob controle do próprio usuário.

E tudo indica que outros países fora da União Europeia também vão seguir isso. O Brasil, como você mencionou, também tem esse projeto da LGPD, e ela vai entrar em vigor em fevereiro de 2020.

Fabrício: Essas leis, essas regulamentações, na verdade vêm até como reação ao que tem acontecido nos últimos anos, né. As empresas de forma geral estão usando quase que de forma indiscriminada os dados das pessoas. A área de vendas e a área de marketing em geral se aproveitam muito disso, mas tem várias outras empresas que acabam incorporando no seu modelo a necessidade desses dados.

E aí eu te pergunto, Tiago: por que as empresas precisam tanto dessas informações? E eu estou falando aqui somente de informações pessoais. E quando falo informações pessoais não me refiro somente a nome, data de nascimento, endereço, esse tipo de coisa, mas a hábitos: como a pessoa utiliza um software, o que ela compra, o que ela consome. O que as empresas fazem com isso, por que elas precisam tanto disso?

Tiago: Hoje em dia as empresas usam as informações basicamente para melhorar os serviços delas, para entender melhor o usuário. Como você falou, no marketing serve para impulsionar uma mensagem, serve para ganhar a atenção do consumidor. Então, quanto mais assertivo ele for na mensagem que quer passar para você, melhor para ele: vai diminuir o custo e provavelmente vai aumentar o consumo do produto.

Mas não é só para isso que servem essas informações, também tem os usos legítimos, como por exemplo melhorar a saúde, melhorar o seu desempenho profissional ou acadêmico, em cima das informações que as empresas vão recolhendo sobre você.

Fabrício: Porém isso parece ser meio preocupante, né, esse uso indiscriminado da informação.

Tiago: Eu acho que o maior problema dessa questão toda é quando as empresas não são, primeiro, transparentes com relação às informações que elas armazenam, que elas coletam. E, segundo, quando elas armazenam, coletam e processam dados que você não gostaria que elas tivessem acesso, que estivessem trabalhando em cima desses dados.

Fabrício: Acho que eu entendi a sua resposta. Então, mesmo o próprio uso desses dados para marketing, eu pessoalmente acredito que em vários momentos é desejado: se eu quero receber uma propaganda mostrando que seria bacana usar um determinado sabão em pó para lavar roupa, tudo bem. Eu não vou saber tomar essa decisão se alguma empresa não me influenciar, e eu também não vou correr atrás dessa informação.

Então, nessa privacidade, fica um limite ali entre o "bacana, melhorou o serviço para mim, agora eu tenho serviços melhores, estou mais satisfeito" e o outro lado, que tem até um termo em inglês, creepy, tipo assim: "nossa, essa empresa sabe tanto de mim e está usando isso de uma forma invasiva". E aí entram os problemas de privacidade.

Eu acho que o grande problema não é nem o uso da informação específica que estão coletando a meu respeito para trabalhar publicidade. Acho que o grande problema dessa coleta de informação é eu, dono da informação, não saber para que ela está sendo usada. Se a Amazon está coletando as minhas informações, por exemplo, para me indicar livros de que eu vou gostar, ok, legal, mas eu quero saber. Eu quero saber se esses dados que a Amazon está coletando, que é uma empresa em que eu confio, realmente estão sendo usados só por ela, ou se ela está comercializando ou usando a minha informação para outros fins.

Se é para me recomendar bons livros, ok, eu aceito. Se for para passar essas informações para uma editora, para essa editora escrever um livro focado naquilo que eu leio, não sei se eu vou querer esse tipo de ação com os meus dados.

Tiago: Em cima disso também: quando a empresa coleta os dados de uma forma legítima, ela deve informar ao usuário por que ela está coletando, quais dados está coletando, e inclusive dar a possibilidade de parar de coletar esses dados e até de deletar os que já foram coletados. O GDPR meio que obriga a empresa a seguir essas regras, e o usuário pode se aproveitar disso: ele pode, por exemplo, pedir para que a empresa pare de recolher os dados dele.

Então, entrando no exemplo da Amazon, você pode falar para ela: "não quero que você recolha nenhum dado meu, não quero que você me recomende nada, me trate como se fosse um anônimo dentro do seu site".

Porém existem também os usos ilegais das informações, inclusive a venda das informações, e nesses casos dificilmente você vai ser informado nos termos de serviço. Esses casos se tornam bem mais preocupantes.

Fabrício: Aí realmente é tratar como uma forma criminosa de manipulação dos seus dados.

Acho que as pessoas precisam ficar bem atentas com relação a isso, principalmente hoje em dia com os aplicativos no celular. Um exemplo disso: às vezes são empresas, às vezes são pessoas físicas ali que estão se aproveitando dessas informações.

Você baixa um aplicativo que é uma calculadora, e a calculadora pede permissões do seu celular que não fazem sentido para a atuação de uma calculadora. Por exemplo, baixei a calculadora e ela pede para poder ver a identificação do meu celular, a minha lista de contatos, ter acesso à câmera e ao microfone. Poxa, calculadora, precisa ter isso?

Tiago: Não faz sentido terem acesso a essas informações de forma indiscriminada, e isso colabora para que as informações fiquem ali circulando. E não é só uma calculadora: é importante lembrar que o login com Facebook também costuma apresentar uns pedidos de permissões meio estranhos. E isso pode ser desde um desleixo do desenvolvedor como pode ser de uma forma maliciosa, intencional.

Fabrício: Isso é muito relevante. Por exemplo, a gente já usa aplicativos para troca de mensagens há bastante tempo. Sei lá, o mais antigo de que eu me lembro ali foi o ICQ, depois veio o MSN, e com o uso dos celulares, o SMS, até chegar à massificação desse tipo de comunicação: Instagram, Facebook Messenger, WhatsApp.

A maioria desses serviços é gratuita, esses mensageiros que a gente usa no dia a dia. Só que o custo de manutenção disso é altíssimo: tem infraestrutura, energia, servidor, funcionários. E uma coisa que eu sei é a seguinte: não existe almoço grátis. Então eu sempre me perguntei: tem que pagar a conta desses aplicativos. Quem paga as contas nessas empresas, para que eu use um serviço tão massificado, que tanta gente usa, de forma gratuita? Como é que funciona isso?

Tiago: Quando você não está comprando uma mercadoria, a mercadoria é você. Nesse caso, são as suas informações: aquilo que você está gerando está gerando um valor para a empresa, e com esse valor que você está criando para a empresa ela consegue pagar as próprias contas.

Fabrício: Mas como é que eu estou gerando valor para a empresa?

Tiago: Depende, tem várias formas, e as duas mais comuns são gerar valor através dos seus dados pessoais. Com os dados pessoais de muitas pessoas, a empresa consegue fazer segmentação e vender essa informação para pessoas que querem anunciar.

Então: eu vendo fralda descartável, eu quero pais de filhos que ainda usam fraldas. Se a minha mensagem chega para pais de filhos que ainda usam fraldas, ela vai ter uma probabilidade maior de me trazer vendas do que se eu estiver mandando a mensagem para pessoas que não têm filhos. Através dessas informações, o Facebook, por exemplo, consegue vender isso para anunciantes e ter faturamento.

Lembrando que essa segmentação que o Facebook faz é feita de forma anônima: então, por mais que ele esteja utilizando o seu dado, ainda está garantido que você é anônimo no meio de todas aquelas informações.

Fabrício: Beleza, essa é a forma mais comum e talvez a mais aceitável pelas pessoas com relação a esse uso. E a outra forma?

Tiago: A outra forma entra um pouco no que eu tinha falado com relação às formas maliciosas e legítimas: é quando a empresa coleta esses dados e vende as informações de forma indiscriminada para uma empresa que vai entrar em contato comigo para me vender uma coisa que eu não quero de forma alguma, ou que vai entrar em contato comigo de forma invasiva. A gente conhece muito isso pelo telemarketing, por exemplo. Hoje em dia está um pouco mais comum esse telemarketing vir como um spam por SMS ou pelo WhatsApp.

Fabrício: Que seria, por exemplo, o caso da calculadora te pedindo a informação dos seus contatos.

Tiago: Exatamente. O que essa calculadora vai fazer com aqueles contatos com certeza não é algo bacana, não é algo legal para você.

Inclusive, outra forma maliciosa de tratar as informações é quando a empresa não respeita a sua opção de não coletar as suas informações. Quando você diz que não quer e a empresa continua coletando, isso também é um uso indevido da plataforma. Um exemplo disso é quando você recebe um e-mail marketing, pede para se descadastrar e o seu e-mail não sai dali, e você continua recebendo.

Fabrício: E caminhando então para o nosso encerramento, Tiago: fala aí uma dica final para os nossos ouvintes, alguma coisa a que a gente precisa ficar atento, alguma palavrinha final.

Tiago: Não subestimem a importância dos seus dados, das suas senhas, dos seus backups. Atenção com tudo isso, gente.