Normalmente descobre-se por uma mensagem de outra pessoa: «Acabaste de me mandar um link estranho, foste tu?» Parece um incómodo e pouco mais. Os riscos de uma conta usada para spam, porém, vão bem além do aborrecimento. Por spam entendem-se as mensagens não pedidas, enviadas em série a muitas pessoas; quando saem da tua conta, levam consigo o teu nome e a confiança que os outros têm em ti.
A pergunta útil, então, não é «quantas mensagens saíram?», mas esta: se alguém consegue escrever em teu nome, que mais consegue fazer?
Este artigo responde olhando para os três aspetos com que se mede a segurança de qualquer informação: que se mantenha reservada, que se mantenha correta, que se mantenha disponível. São a tradução prática de três palavras técnicas — confidencialidade, integridade, disponibilidade — e mostram que o dano nunca é de um só tipo.
É o aprofundamento da recomendação sobre as mensagens enviadas em teu nome, que explica como verificar o que saiu das tuas contas e como reagir por ordem.
Nota de variante: este texto está em português europeu. Onde se lê palavra-passe, no Brasil diz-se senha; telemóvel é celular, aplicação é aplicativo e cópia de segurança é backup.
Três perguntas para medir um impacto
Diante de qualquer conta que usas para comunicar — e-mail, rede social, aplicação de mensagens — as perguntas certas são estas:
- O que poderia ler alguém que entrasse aqui? — é a pergunta da confidencialidade.
- O que poderia escrever ou publicar em meu nome, e a quem? — é a pergunta da integridade.
- O que perderia se a conta fosse bloqueada ou me fosse tirada? — é a pergunta da disponibilidade.
Quem envia spam a partir da tua conta já respondeu à segunda pergunta. O ponto é que, para o fazer, teve acesso também ao que diz respeito à primeira e à terceira. A mensagem que os teus contactos veem é a parte visível de um acesso que, em regra, chega muito mais fundo.
1. Confidencialidade: as conversas ficam entre ti e quem escolheste
A confidencialidade é a garantia de que uma informação só pode ser lida por quem está autorizado. Uma conta de comunicação guarda imensas informações deste tipo, e nem todas são tuas: cada conversa tem pelo menos outra pessoa do outro lado.
Exemplo prático
Alguém consegue associar um aparelho seu à tua aplicação de mensagens, por exemplo através da versão para computador ou de uma ligação que te levaram a autorizar com um pretexto. Um dispositivo ligado é um segundo ecrã que vê as mesmas conversas do telemóvel, em tempo real. A partir desse momento, pode ler as conversas novas e, muitas vezes, parte das antigas.
Cenário de incidente
Antes de enviar uma única mensagem, quem entra observa. Lê as conversas para perceber com quem falas mais, em que tom, sobre quê. Copia a agenda de contactos: nomes, números, endereços, por vezes até as notas que associaste a cada pessoa. Nos grupos, encontra os dados de pessoas que nem sequer conhece. Fotografias, documentos e localizações partilhadas fazem parte do mesmo acervo. E a agenda copiada fica nas mãos de quem a levou mesmo depois de recuperares o controlo da conta.
Sinais de atenção
- aparelhos ou sessões que não reconheces na lista de ligações da conta;
- mensagens que aparecem como lidas sem as teres aberto;
- notificações de um novo início de sessão ou de um novo aparelho associado;
- contactos que recebem pedidos com pormenores que só as vossas conversas podiam revelar.
Comportamento recomendado
Revê com regularidade a lista dos dispositivos ligados e das sessões ativas, e desliga tudo o que não reconheceres. Uma sessão é o estado de «início de sessão já feito» que um aparelho mantém até ser fechado. O artigo sobre os dispositivos ligados às aplicações de mensagens explica onde procurar e como avaliar o que encontras.
2. Integridade: as mensagens em teu nome escreves tu
A integridade é a garantia de que um dado não é alterado por quem não tem direito a isso. Numa conta de comunicação, o dado mais valioso é a tua identidade: o facto de uma mensagem assinada por ti ser mesmo tua.
Exemplo prático
Do teu perfil sai a mesma mensagem para dezenas de contactos: «Olha, também apareces neste vídeo», seguida de uma ligação. Quem a recebe não tem motivo para duvidar, porque o remetente és tu. Essa ligação pode levar a uma página que imita um serviço conhecido para pedir a palavra-passe, ou a um ficheiro que instala software malicioso (malware), ou seja, um programa que age no aparelho sem que quem o usa saiba.
Cenário de incidente
Quem leu as tuas conversas sabe a quem escrever e como tornar tudo natural: um cumprimento com a alcunha certa, uma referência a algo recente, um pedido de ajuda urgente. Além das mensagens privadas, podem aparecer publicações, comentários, convites para grupos. Em alguns casos, as mensagens enviadas são apagadas logo a seguir, para que não as vejas no teu histórico. Cada contacto que clica pode tornar-se, por sua vez, o ponto de partida de uma nova vaga. O artigo sobre os contactos burlados em teu nome conta o que acontece, em concreto, a quem recebe essas mensagens.
Sinais de atenção
- contactos que te pedem explicações sobre mensagens que não te lembras de ter escrito;
- publicações, comentários ou histórias no teu perfil que não publicaste;
- nome, fotografia ou descrição do perfil alterados;
- respostas a conversas que nunca começaste.
Comportamento recomendado
Quando um contacto te fala de uma mensagem estranha, leva-o a sério mesmo que não vejas nada no teu histórico. Olha para a pasta das mensagens enviadas e para a atividade recente do perfil, e depois avisa as pessoas envolvidas por um canal diferente do comprometido. Os sinais de mensagens que não escreveste ajudam a distinguir um problema real de um simples mal-entendido.
3. Disponibilidade: a tua conta continua tua e utilizável
A disponibilidade é a garantia de poderes usar os teus dados e os teus serviços quando precisas deles. Para uma conta usada para spam, a porta fechada pode chegar de dois lados: de quem a tomou e da plataforma que tenta travar o abuso.
Exemplo prático
Uma manhã, a aplicação de mensagens pede-te para confirmares outra vez o número, ou a rede social avisa que o perfil foi limitado por «atividade suspeita». No primeiro caso, alguém registou a tua conta noutro aparelho; no segundo, os sistemas automáticos da plataforma notaram um volume de mensagens fora do normal e bloquearam a conta para proteger os outros utilizadores.
Cenário de incidente
O bloqueio da plataforma é uma proteção, mas tem um custo: enquanto dura, não consegues escrever a ninguém, e desbloqueá-lo obriga-te a provar que a conta é tua. Se entretanto quem entrou mudou o número ou o e-mail de recuperação, o processo complica-se. Há ainda o histórico: conversas, fotografias e documentos de anos podem perder-se se a conta for reposta sem uma cópia de segurança (backup), ou se quem tinha o controlo os apagou. No caso de um endereço de e-mail, por fim, o envio em massa pode pô-lo na lista dos remetentes suspeitos: as tuas mensagens legítimas arriscam-se a ir parar à pasta de spam dos destinatários.
Sinais de atenção
- pedidos para confirmares de novo o número ou a identidade que não iniciaste;
- avisos de conta limitada, suspensa ou em análise;
- saída repentina da aplicação num aparelho que usavas normalmente;
- contactos que deixam de receber os teus e-mails ou os encontram no spam.
Comportamento recomendado
Mantém um canal de recuperação atualizado e diferente do que usas todos os dias, ativa a cópia de segurança das conversas se o serviço a oferecer e guarda os códigos de recuperação num sítio a que chegues mesmo sem telemóvel. Se a conta for bloqueada, segue apenas os procedimentos oficiais da plataforma, a partir da própria aplicação ou do endereço oficial, nunca a partir de uma ligação recebida numa mensagem.
| Aspeto | O que pode fazer quem entra | Porque pesa |
|---|---|---|
| Confidencialidade | Lê as conversas, copia a agenda, recolhe fotografias e documentos | Diz respeito também aos teus contactos, e a agenda copiada não se recupera |
| Integridade | Escreve e publica em teu nome, explora a confiança dos contactos, apaga os rastos | Põe a circular pedidos credíveis e estraga relações |
| Disponibilidade | Afasta-te da conta ou provoca o bloqueio por parte da plataforma | Interrompe comunicações pessoais e de trabalho, por vezes com perda do histórico |
Um cenário que junta os três
Numa sexta-feira à noite, o Miguel, em Lisboa, recebe no telemóvel uma mensagem que parece vir do apoio ao cliente da aplicação de mensagens: «Para confirmar a tua conta, indica o código que acabaste de receber.» O código chegou mesmo, e ele escreve-o.
Nos minutos seguintes, quem obteve o código regista a conta do Miguel noutro telemóvel. Lê as conversas e descarrega a agenda (confidencialidade). Escreve a uns trinta contactos, a começar por aqueles com quem o Miguel fala mais, a pedir um pequeno empréstimo urgente ou o mesmo código de verificação, com o tom e as alcunhas dele (integridade). No sábado de manhã, o telemóvel do Miguel já não consegue entrar e, depois de várias denúncias, a plataforma limita temporariamente o número (disponibilidade).
Três impactos diferentes, uma única causa: um código de verificação entregue a quem não o devia ter. É o esquema que o artigo sobre o roubo de contas de mensagens descreve em pormenor, do ponto de vista de quem ataca. Não há aqui nenhuma distração imperdoável: a mensagem estava bem feita e chegou numa hora de descanso, que é exatamente o que a torna eficaz.
O fim da história ajuda a ver o peso de cada impacto. O Miguel recupera a conta no domingo, com o número dele e um novo código, e ativa logo o PIN da verificação em dois passos. A integridade volta primeiro: a partir desse momento, só ele escreve em seu nome. A disponibilidade volta a meio: a conta está de novo em uso, mas as conversas dos últimos meses, que não tinham cópia, perderam-se. A confidencialidade não volta: a agenda descarregada na sexta-feira continua noutras mãos, e o Miguel passa a semana a responder a amigos que receberam pedidos estranhos. É esta assimetria que torna os riscos de uma conta usada para spam maiores do que parecem à primeira vista.
Os impactos que se veem mais tarde
Nem todos os efeitos aparecem logo, e é por isso que «recuperei a conta» não encerra de facto o assunto.
- A agenda continua a circular. Os contactos copiados podem ser usados semanas depois em mensagens que já não saem da tua conta, mas que citam o teu nome para parecerem credíveis.
- Acessos que ficam abertos. Um aparelho ligado ou uma sessão ativa podem continuar a funcionar mesmo depois de mudares a palavra-passe, se não forem fechados de forma explícita. As credenciais guardadas num aparelho alheio, por exemplo no porta-chaves do sistema, contam da mesma maneira.
- A confiança racha devagar. Alguns contactos deixam de abrir as tuas ligações, outros escrevem-te com mais reserva. É um custo real, ainda que não apareça em nenhuma notificação.
- Aparelhos de outras pessoas infetados. Quem abriu um anexo ou uma ligação chegada «de ti» pode só perceber mais tarde que tem um problema no próprio telemóvel ou computador.
Isto não é razão para viver em alerta. É a razão por que a proteção tem de ser preventiva: uma palavra-passe única, um segundo fator de verificação e uma revisão periódica dos dispositivos ligados reduzem os quatro efeitos, incluindo os que nunca chegarás a ver.
Os riscos de uma conta usada para spam não pesam todos o mesmo
O impacto depende do que essa conta guarda, de quantas pessoas alcança e de quanto essas pessoas confiam em quem escreve.
| Tipo de conta | Impacto predominante | Porquê |
|---|---|---|
| Aplicação de mensagens pessoal | Confidencialidade e integridade | Tem conversas íntimas e chega às pessoas mais próximas, que confiam mais |
| E-mail principal | Os três, com efeito multiplicador | É também a chave de recuperação das outras contas |
| Rede social | Integridade | Mensagens e publicações chegam a muitas pessoas, mesmo fora do círculo próximo |
| Conta de trabalho | Os três, com efeitos em terceiros | Envolve clientes, colegas e fornecedores, e a reputação da organização |
| Perfil numa plataforma de compra e venda | Integridade | As mensagens em teu nome podem trazer pedidos de pagamento credíveis |
| Contas esquecidas com início de sessão pelas redes sociais | Baixo em si, alto se estiver ligado | Quem controla o perfil principal chega a elas sem que dês por isso |
A última linha merece atenção: a conta usada para spam nem sempre é a que vigias mais. O artigo sobre limitar o início de sessão através das redes sociais explica porque cada ligação a mais alarga o perímetro.
Porque até uma só mensagem conta
As mensagens enviadas por uma conta comprometida funcionam porque exploram a confiança, não porque sejam sofisticadas.
| Mensagem enviada em teu nome | Porque funciona |
|---|---|
| «És tu neste vídeo?» com uma ligação | Curiosidade e uma ponta de preocupação, vindas do remetente mais credível possível |
| «Chegou-te um código por engano, reencaminhas-mo?» | Parece um favor banal, mas o código serve para tomar a conta de quem o recebe |
| «Estou sem telemóvel, fazes-me uma transferência urgente?» | Junta urgência e afeto: parece não haver tempo para confirmar |
| Um anexo apresentado como fatura, fotografia ou documento | Vem de uma pessoa conhecida, por isso abre-se sem pensar |
Uma única mensagem aberta pode transformar um contacto na próxima conta usada para spam. Para quem as recebe, são úteis os artigos sobre os anexos de origem desconhecida e sobre como reconhecer software malicioso no telemóvel. Por trás de quase todas está a mesma ameaça informática: o phishing pensado para convencer, e não para impressionar.
Ligação ao Framework Cyber Welfare
Este artigo ajuda a passar de «alguém mandou spam da minha conta» para «percebo o que essa pessoa pôde ver, fazer e tirar-me».
| Pilar | Contributo deste conteúdo |
|---|---|
| Consciência | Reconhecer que uma mensagem enviada em teu nome é o sinal visível de um acesso mais amplo |
| Competências | Saber ler a confidencialidade, a integridade e a disponibilidade de uma conta de comunicação como três perguntas concretas |
| Comportamento Seguro | Rever periodicamente dispositivos ligados, sessões ativas e canais de recuperação, e levar a sério os avisos dos contactos |
Níveis de maturidade digital.
- FL1 – Básico. Vês o spam enviado da tua conta como um incómodo passageiro. É a leitura mais comum, e o ponto de onde quase todos partem.
- FL2 – Inicial. Percebes que por trás das mensagens há um acesso à conta e perguntas-te o que mais pode ter sido lido ou alterado. É o nível de referência deste artigo.
- FL3 – Autónomo. Revês sessões, aparelhos ligados e canais de recuperação, e sabes onde encontrar cada um nas tuas contas de comunicação.
- FL4 – Hábil. Avalias as tuas contas pelo impacto que teriam se fossem tomadas, e proteges primeiro a de e-mail principal e a de mensagens.
- FL5 – Especialista-Guia. Ajudas quem te rodeia a perceber que o spam é só a ponta visível, sem alarmar e sem culpar ninguém.
Para perceberes de onde partir, podes fazer a Autoavaliação de Resiliência Digital.
Resumo
Os riscos de uma conta usada para spam cabem em três linhas.
- A confidencialidade diz respeito ao que é lido: conversas, agenda, fotografias e documentos, incluindo os dos teus contactos.
- A integridade diz respeito ao que é escrito em teu nome: mensagens, publicações, pedidos que exploram a confiança de quem te conhece.
- A disponibilidade diz respeito ao que deixas de conseguir usar: conta tomada ou bloqueada pela plataforma, histórico perdido.
Por trás de cada mensagem indesejada, que toca a integridade, há quase sempre também os outros dois impactos. Os sinais de conta comprometida estão reunidos num artigo próprio; para saberes logo quando alguém entra, convém ativar os alertas de início de sessão nas contas e proteger as contas com um segundo fator.
Lista breve
- ☐ Sei que dispositivos estão ligados à minha aplicação de mensagens principal
- ☐ Revi as sessões ativas do meu e-mail e da rede social que mais uso
- ☐ O meu canal de recuperação está atualizado e é diferente do que uso todos os dias
- ☐ Tenho a cópia de segurança das conversas ativa, se o serviço a oferecer
- ☐ Guardo os códigos de recuperação num sítio a que chego mesmo sem telemóvel
Um gesto para hoje. Abre a tua aplicação de mensagens principal e a rede social que mais usas, e verifica em cada uma duas coisas: a lista dos dispositivos ligados e as sessões ativas. Desliga o que não reconheceres. São cinco minutos, e tocam os três impactos ao mesmo tempo.
Conteúdos relacionados
- Mensagens enviadas em teu nome — a recomendação de onde nasce este aprofundamento
- Contactos burlados em teu nome — os efeitos concretos em quem recebe as mensagens e nas relações
- Sinais de mensagens que não escreveste — como perceber que um destes impactos já está em curso
- O que fazer se a tua conta envia mensagens — os passos a dar, por ordem de prioridade, a começar por fechar as sessões e os aparelhos que ficaram ligados
Dá o primeiro passo: o Programa «Protege a Tua Privacidade Digital» acompanha-te gratuitamente, uma recomendação de cada vez.
