Boas práticas de segurança de login na IQ Option

Construir um login robusto

A senha é o primeiro controle e o mais frequentemente escolhido mal. Comprimento, exclusividade e um gerenciador para guardá-la valem mais do que qualquer esquema esperto de substituição que você consiga lembrar.

A maioria das contas comprometidas não é invadida por alguém habilidoso. Elas são abertas com uma senha que já era conhecida — reutilizada de um serviço que a vazou, adivinhada a partir de um padrão, ou digitada em uma página que só parecia com a real. As defesas que importam, portanto, são chatas, e chatas é o objetivo.

Comece pelo que um atacante realmente faz. Ninguém senta e digita tentativas em um formulário de login; a plataforma limita isso a inutilidade em poucas tentativas. O que acontece em vez disso é que uma lista de pares de e-mail e senha de um vazamento sem relação é testada automaticamente em muitos serviços, e qualquer conta em que o mesmo par foi reutilizado abre na primeira tentativa. Exclusividade, não complexidade, é o que derrota isso.

Senhas exclusivas

Uma senha, uma conta, sem exceções. A conta de trading recebe uma senha que existe em exatamente um lugar, e o mesmo vale para o e-mail por trás dela. O que uma boa senha parece na prática:

• Longa antes de complexa. Comprimento é a propriedade que torna adivinhar inviável. Uma frase-senha longa de palavras comuns vence uma string curta de pontuação em toda métrica que importa, incluindo se você consegue digitá-la em um celular.
• Aleatória, não pessoal. Qualquer coisa derivada de um nome, uma data de nascimento, um time ou um animal de estimação está entre as primeiras milhares de tentativas. O mesmo vale para uma palavra com letras trocadas por dígitos parecidos — esse truque está em dicionários de quebra de senha há décadas.
• Não uma variação. Acrescentar um número ou um ano a uma senha que você já usa em outro lugar produz algo que um ataque automatizado expande rotineiramente.
• Nunca em uma mensagem. Uma senha enviada por chat, e-mail ou SMS é uma senha guardada permanentemente no servidor de outra pessoa.

Se a senha atual falhar em qualquer um desses testes, troque-a agora em vez de prometer que vai trocar. A mecânica, tanto pelas configurações de segurança quanto pela tela de login, está em o guia de redefinição de senha.

Evitando a reutilização

A reutilização é o único hábito que transforma a falha de segurança de outra pessoa no seu problema. Quando um fórum, uma loja ou um jogo em que você se cadastrou anos atrás é violado, os pares dali são negociados e reproduzidos. Se a conta de trading compartilha uma senha com qualquer um deles, o vazamento também é seu, e ninguém vai te avisar.

O e-mail merece seu próprio parágrafo aqui. Ele é a via de recuperação para tudo o mais: quem lê essa caixa de entrada pode redefinir a conta de trading à vontade, não importa quão forte seja a senha de trading. Então a caixa de entrada precisa de uma senha ao menos tão forte e do seu próprio segundo fator. Uma excelente senha de trading atrás de um e-mail fraco é uma porta forte em uma parede com uma janela aberta.

• Dê à conta de e-mail cadastrada uma senha exclusiva e sua própria autenticação de dois fatores.
• Confira se seus endereços aparecem em vazamentos conhecidos por meio de um serviço confiável de notificação de vazamentos, e troque o que ele sinalizar.
• Quando aposentar uma senha, aposente-a em todo lugar, em vez de mantê-la viva nas contas que parecem sem importância.

Gerenciadores de senhas

Um gerenciador é o que torna as duas regras acima sobrevivíveis, porque ninguém lembra trinta frases-senha exclusivas. Ele gera credenciais longas e aleatórias, as guarda criptografadas atrás de uma senha-mestra forte, e as preenche por você.

O benefício de segurança que as pessoas deixam passar é o silencioso: um gerenciador preenche credenciais só no domínio para o qual as registrou. Se você cair em uma cópia convincente da página de login, o gerenciador simplesmente não se oferece para preencher, porque o domínio não corresponde. Esse silêncio é um detector de phishing melhor do que seu próprio julgamento no fim de um dia longo. Trate um gerenciador que se recusa a preencher como um aviso, não como um bug para contornar digitando a senha manualmente.

1. Escolha um gerenciador estabelecido — um aplicativo dedicado ou aquele embutido no seu navegador ou sistema operacional, usado de forma consistente.
2. Dê a ele uma frase-senha mestra longa que você nunca usou em nenhum outro lugar, e ative um segundo fator no próprio gerenciador.
3. Guarde o kit de recuperação ou os códigos de emergência dele em algum lugar offline e privado.
4. Migre as contas importantes primeiro: e-mail, depois a conta de trading, depois qualquer coisa que guarde dados de pagamento.
5. Desligue o armazenamento de senhas próprio do navegador assim que o gerenciador estiver em uso, para haver uma única fonte de verdade em vez de duas que se desalinham.

Quando as senhas estiverem em ordem, fazer login e revisar suas configurações de segurança e confirme o que está ativado antes de fazer qualquer outra coisa.

Exclusividade vence complexidade: uma frase-senha longa usada em exatamente um lugar derrota o ataque que realmente abre contas, que é a reprodução do vazamento de outra pessoa.

Adicionar uma segunda camada

A autenticação de dois fatores significa que uma senha roubada não é suficiente sozinha. É a única mudança de maior valor disponível na tela de login, e leva poucos minutos para configurar.

Tudo na seção anterior reduz a chance de uma senha ser exposta. O segundo fator torna a exposição sobrevivível. Com ele ativado, um atacante que segure a senha correta ainda encontra um pedido que não consegue responder, e você descobre que algo está errado no momento em que acontece, em vez de depois.

Autenticação de dois fatores

A plataforma permite que a autenticação de dois fatores seja ativada nas configurações de segurança da conta. Uma vez ativa, uma entrada de senha bem-sucedida é seguida por um pedido de uma segunda prova, de curta duração, antes de a sala de trading abrir.

1. Faça login e abra a seção de segurança das configurações da conta.
2. Inicie a configuração de dois fatores e siga as instruções na tela para o método oferecido.
3. Conclua a configuração em um dispositivo que você vai manter — colocar o segundo fator em um celular que você está prestes a trocar move o problema em vez de resolvê-lo.
4. Salve os códigos de backup ou recuperação no momento em que são mostrados, antes de fechar a tela.
5. Saia e faça login uma vez, deliberadamente, para que a primeira vez que você encontre o pedido não seja um momento de pressa.

Não coloque o segundo fator e a senha no mesmo lugar. Guardar os códigos na mesma entrada do gerenciador de senhas que a senha é conveniente, e faz os dois fatores colapsarem de volta em um só; se o gerenciador for aberto por outra pessoa, os dois somem de uma vez. Um aplicativo separado ou um local de armazenamento separado os mantém genuinamente independentes. A mecânica completa, incluindo como o pedido aparece em cada via, está em autenticação de dois fatores no login.

Códigos de backup

Os códigos de backup são a resposta para a objeção óbvia: o que acontece quando o dispositivo do segundo fator é perdido, roubado, apagado ou simplesmente esquecido em casa. São strings de uso único emitidas na configuração, e merecem mais atenção do que costumam receber.

• Salve-os no momento da configuração. Regenerá-los depois exige acesso à conta, que é exatamente o que você não vai ter.
• Guarde-os offline e em privado — impressos e colocados em algum lugar seguro, ou em um cofre criptografado separado, que não seja o mesmo que guarda a senha.
• Não os fotografe para uma galeria de celular que sincroniza com um álbum na nuvem compartilhado com uma casa inteira.
• Risque cada um ao usá-lo e regenere o conjunto quando a maioria já tiver sido gasta.
• Regenere-os depois de qualquer evento que te faça duvidar de onde eles estiveram.

Perder tanto o dispositivo quanto os códigos deixa a verificação de identidade pelo suporte oficial como a única forma de voltar a entrar, o que é lento por design. Essa via é lenta e exige muitos documentos, e todo o ponto de guardar os códigos de backup é nunca precisar dela.

Dispositivos confiáveis

Onde uma plataforma se oferece para lembrar de um dispositivo, de forma que o segundo fator não seja pedido toda vez, o recurso é uma conveniência com um custo. Ele reduz o atrito em uma máquina que só você usa, e remove uma checagem em uma máquina que qualquer um pode alcançar.

Revise a lista de confiáveis de vez em quando e remova qualquer coisa que você não usa mais ou não tem mais. Um dispositivo vendido, devolvido ou repassado deveria sair da lista antes de deixar a casa, não depois.

Guarde os códigos de backup em algum lugar onde o gerenciador de senhas não esteja — fatores guardados em um só lugar são um fator com dois nomes.

Proteger-se contra as falsificações

Páginas de login imitadoras são como a maioria das credenciais realmente é coletada. A defesa é processual: sempre chegue ao formulário da mesma forma, e nunca por um link que alguém te entregou.

Uma cópia convincente de uma página de login custa quase nada para construir. Ela renderiza o mesmo layout, fica em um domínio que se lê corretamente à primeira vista, e faz uma coisa: registra o que você digita e te passa adiante para o site real, para que nada pareça errado. No momento em que algo parece incomum, as credenciais já foram usadas.

Ninguém identifica toda falsificação a olho nu, e construir sua defesa em torno da vigilância é construí-la sobre a suposição de que você estará sempre alerta. Construa-a em torno de procedimento, em vez disso.

Só o endereço oficial

Uma regra cobre a maior parte do risco: você chega ao formulário de login pelo seu próprio favorito, ou digitando o endereço você mesmo. Nunca por um resultado de busca, nunca por um anúncio, nunca por um link em um e-mail ou uma mensagem, nunca pela descrição de um vídeo.

1. Visite o endereço oficial uma vez, deliberadamente, e salve-o como favorito em cada dispositivo que você usa.
2. Abra a plataforma a partir desse favorito daí em diante, incluindo quando estiver com pressa.
3. Antes de digitar uma senha, confira o cadeado e leia o domínio por completo — escrito exatamente, sem nada acrescentado antes ou depois dele e nenhum sufixo não familiar.
4. Confirme que a página não está dentro de um frame de outro site e que nenhuma janela pop-up separada está coletando as credenciais.
5. Instale o app móvel só pela página de download oficial ou pela listagem oficial da loja, nunca por um link em uma mensagem.

Anúncios merecem uma menção específica, porque posições pagas podem ficar acima das listagens genuínas nos resultados de busca e são compradas por pessoas se passando por marcas. O reflexo seguro é você nunca clicar em um anúncio para chegar a uma página de login — nem uma vez, nem por conveniência. Como a página genuína parece, e como diferenciá-la, está descrito em o guia da página de login.

Reconhecendo o phishing

Quando você acabar olhando para uma página ou uma mensagem e não tiver certeza, passe pelos sinais. Qualquer um deles isolado já é suficiente para parar.

• O domínio está quase certo — uma palavra extra, um hífen, um sufixo diferente, um caractere trocado que se lê corretamente na velocidade.
• A página pede mais do que um login precisa: um número de cartão, uma digitalização de documento, uma frase de carteira, uma taxa de suporte. Um formulário de login te faz login e nada mais.
• A mensagem fabrica urgência — uma conta prestes a ser fechada, um pagamento prestes a expirar, um alerta de segurança exigindo ação imediata pelo link fornecido.
• Seu gerenciador de senhas não se oferece para preencher, porque o domínio não corresponde ao que ele registrou.
• Alguém dizendo ser do suporte pede sua senha ou um código de dois fatores. O suporte genuíno nunca precisa de nenhum dos dois.
• Um aviso de certificado aparece. Saia sem digitar nada.

O último vale ser absoluto: nunca clique para passar por um aviso de certificado em uma página que está prestes a receber uma senha. Os padrões e suas variantes estão reunidos em páginas de login falsas.

Cuidado com links

Trate todo link recebido sobre sua conta como não confiável, incluindo os que parecem vir da plataforma. A resposta correta a uma mensagem dizendo que algo aconteceu com sua conta não é clicar nela, e sim abrir a plataforma pelo seu favorito e olhar. Se algo genuinamente precisar da sua atenção, vai estar visível ali.

Dois hábitos tornam isso fácil de manter. Primeiro, em um computador, passe o mouse sobre um link e leia o destino na barra de status antes de decidir; em um celular, mantenha o dedo pressionado para pré-visualizá-lo. Segundo, nunca abra um link de recuperação ou verificação de uma mensagem que você não desencadeou pessoalmente segundos antes. Um e-mail de redefinição de senha chegando quando você não pediu um não é algo para clicar — é um sinal de que alguém está testando seu endereço, e a resposta é fazer login pelo seu favorito e checar as configurações de segurança.

Se você não tiver certeza se já digitou a senha em algo duvidoso, não se atormente com isso. Troque a senha, confirme que os dois fatores estão ativos, e siga em frente. As duas coisas levam menos tempo do que a preocupação.

Um gerenciador de senhas que se recusa a preencher está te dizendo que o domínio está errado — trate esse silêncio como evidência e feche a aba.

Higiene do dispositivo

A conta só é tão segura quanto o dispositivo pelo qual você faz login. Software atualizado, uma tela bloqueada e cautela de verdade em máquinas compartilhadas cobrem quase todo o risco do lado do dispositivo.

As credenciais são metade do problema; a máquina que as guarda é a outra metade. Um dispositivo com a tela desbloqueada, um navegador desatualizado e uma senha salva é uma conta conectada deixada em cima de uma mesa, seja qual for a senha.

Apps e navegadores atualizados

Atualizações não são glamorosas e fecham as falhas das quais páginas maliciosas dependem. Mantenha toda a cadeia atualizada, em vez de só um elo dela.

• O navegador — versões antigas falham em checagens de certificado e não têm proteções recentes. Deixe-o se atualizar sozinho em vez de adiar a reinicialização por semanas.
• O app móvel — atualize pela loja oficial, e remova qualquer cópia instalada de qualquer outro lugar.
• O sistema operacional — correções de segurança importam mais do que lançamentos de recursos, e as duas costumam chegar juntas.
• Extensões — audite-as de vez em quando e remova qualquer uma que você não usa mais. Uma extensão com permissão para ler o conteúdo da página pode ler o formulário de login.

Seja particularmente cauteloso ao instalar extensões de navegador que prometem ferramentas de trading, feeds de sinais ou melhorias da plataforma. Uma extensão desse tipo pede exatamente as permissões necessárias para ler e modificar as páginas em que você faz login, e essa não é uma troca que vale a pena. Nada neste site, e nada genuíno da plataforma, exige uma.

Dispositivos pessoais bloqueados

O bloqueio do dispositivo é o controle que decide o que acontece quando um celular é esquecido em um táxi. É também o mais frequentemente desativado por conveniência.

1. Configure uma senha ou bloqueio biométrico em todo dispositivo que faz login na conta, incluindo o tablet que você raramente usa.
2. Configure um tempo limite de bloqueio automático curto, para que uma tela sem vigilância se proteja sozinha.
3. Ative a criptografia de disco completa onde a plataforma do dispositivo oferecer, o que a maioria dos sistemas atuais faz por padrão.
4. Ative a localização e o apagamento remotos, e confirme que você sabe usá-los antes de precisar deles.
5. Mantenha a conta de e-mail cadastrada longe de qualquer dispositivo que não esteja bloqueado, já que essa caixa de entrada é a via de recuperação para tudo.

Se um dispositivo for perdido, aja sobre a conta, não só sobre o dispositivo: troque a senha, o que encerra as sessões existentes, depois confira o que continua conectado. O comportamento das sessões e o que as encerra está descrito em sessões de login e tempo limite.

Cautela em computador compartilhado

Uma máquina que você não controla — um desktop de escritório, um terminal de biblioteca, o notebook de um amigo, o centro de negócios de um hotel — merece um conjunto diferente de regras, aplicadas sem exceção.

• Nunca salve a senha, e recuse qualquer oferta para lembrá-la.
• Use uma janela de navegação privada, para que histórico, cookies e dados armazenados sejam descartados ao fechar.
• Não marque a máquina como um dispositivo confiável.
• Saia deliberadamente no final. Fechar a aba não é sair da conta; a sessão pode continuar ativa.
• Limpe os dados de navegação da sessão antes de sair do lugar.
• Suponha que qualquer coisa digitada ali pode ter sido capturada, e troque a senha depois, a partir de um dispositivo em que você confia, se a máquina era genuinamente pública.

Se o objetivo for só olhar gráficos em vez de operar a conta, há uma resposta mais simples: não faça login em uma máquina assim, ponto final. Quando quiser ensaiar o fluxo em algum lugar seguro em vez disso, ensaiar o login na conta demo no seu próprio dispositivo, onde nada está em jogo. Trading envolve risco de perda, e um saldo de prática é o lugar certo para construir hábitos.

Em qualquer computador que você não controla, saia deliberadamente — fechar a aba deixa a sessão viva para quem se sentar em seguida.

Vigilância contínua

Segurança é uma rotina, não uma tarefa de configuração única. Uma breve revisão periódica de sessões, dispositivos e configurações pega os problemas enquanto ainda são pequenos.

Os controles descritos até aqui são configurados uma vez. O que os mantém funcionando é notar quando algo muda — uma sessão que você não reconhece, uma mudança de configuração que você não fez, um e-mail sobre uma tentativa de algum lugar onde você nunca esteve. Nada disso exige muito tempo; exige que a checagem realmente aconteça.

Revisando a atividade da conta

Transforme uma revisão curta em um hábito, não em uma reação. Um ritmo sensato:

E-mails de notificação de segurança merecem ser lidos, não descartados. Um pedido de confirmação para um login que você não tentou significa que alguém tem seu e-mail e está testando-o, o que é motivo para agir mesmo que a tentativa tenha falhado. A mecânica por trás desses pedidos está coberta em verificação de dispositivo.

Rotacionando senhas

Rotação por calendário é, em boa parte, teatro de segurança quando a senha já é longa, exclusiva e guardada em um gerenciador. Rotação em resposta a um evento não é opcional. Troque a senha quando:

• Uma notificação de vazamento nomear um endereço ou um serviço onde você usou a mesma senha.
• Você tiver digitado as credenciais em uma página da qual passou a duvidar.
• Um dispositivo que guardava a senha for perdido, roubado, vendido ou repassado.
• Você tiver compartilhado a senha com qualquer pessoa, por qualquer motivo, ainda que brevemente.
• Uma notificação de segurança descrever atividade que você não consegue explicar.
• A senha atual for anterior ao seu uso de um gerenciador de senhas, o que geralmente significa que ela é mais curta e mais fraca do que você imagina agora.

A troca também encerra as sessões existentes, o que a torna uma medida de contenção, não só de higiene. Faça isso a partir de um dispositivo em que você confia e em uma rede em que você confia, e siga limpando a credencial antiga de todo navegador e chaveiro que a salvou — uma senha salva desatualizada é o motivo usual pelo qual um login ainda falha depois de uma redefinição.

Relatando qualquer coisa estranha

Se algo parecer errado, aja primeiro e investigue depois. A ordem importa, porque os passos baratos também são os eficazes.

1. Troque a senha imediatamente, a partir de um dispositivo em que você confia. Isso sozinho já encerra qualquer sessão ativa que um invasor mantenha.
2. Confirme que a autenticação de dois fatores está ativada, e ative-a se não estiver.
3. Revise as sessões ativas e os dispositivos confiáveis, e remova qualquer coisa não familiar.
4. Contate o suporte oficial pela via de ajuda no site oficial — não um número de telefone, perfil social ou grupo de chat encontrado por busca.
5. Proteja a conta de e-mail cadastrada com os mesmos dois passos, já que ela é a via de recuperação para a conta de trading.
6. Nunca dê uma senha ou um código de dois fatores a quem entrar em contato com você, seja quem for que essa pessoa diga representar.

A personificação do suporte é comum justamente porque mira em pessoas que já estão preocupadas e querem que o problema termine. O suporte genuíno não precisa da sua senha e não vai pedir um código. Se um login está falhando em vez de parecer suspeito, a maioria das causas acaba sendo mundana — uma senha salva desatualizada, uma confirmação pendente, um script bloqueado.

Trate um e-mail de segurança inesperado como um evento, não como ruído — um pedido de confirmação que você não desencadeou significa que alguém já está testando seu endereço.