O feed começa de repente a promover uma ligação de criptomoedas que nunca aprovaste. E-mails de reposição de palavra-passe inundam uma caixa de correio que achavas segura. Um colaborador externo continua a ter acesso de administrador seis meses depois de o projeto acabar. Qualquer uma destas situações é uma falha de segurança à espera de se tornar uma crise pública.
As contas de redes sociais pirateadas movem-se mais depressa do que a maioria dos problemas de relações públicas, porque os seguidores confiam no próprio canal. Quando a conta da marca fala, as pessoas assumem que és tu. Este capítulo explica os hábitos de prevenção e os primeiros passos de recuperação se o acesso for comprometido.
Porque é que a segurança das contas de redes sociais é uma questão de crise?
Uma conta comprometida pode publicar burlas, conteúdo ofensivo ou declarações falsas atribuídas à tua marca. Os seguidores podem clicar em ligações maliciosas antes de recuperares o controlo. As capturas de ecrã sobrevivem depois de apagares as publicações.
Os incidentes de segurança cruzam-se com o risco reputacional e jurídico. Os clientes que perdem dinheiro numa burla publicada a partir da tua conta vão culpar a tua marca, mesmo que também tenhas sido vítima.
Prevenir sai mais barato do que recuperar. A maioria dos ataques explora palavras-passe reutilizadas, falta de autenticação de dois fatores ou contas partilhadas guardadas em conversas de chat.
Que regras básicas de segurança deve usar cada conta de marca?
Ativa a autenticação de dois fatores em todas as contas profissionais e nos e-mails usados para recuperação. Usa palavras-passe únicas guardadas num gestor de palavras-passe da equipa, não palavras-passe pessoais repetidas.
Limita as funções de administrador. Nem todas as pessoas que publicam conteúdo precisam de acesso à faturação ou à gestão de utilizadores. Revê a lista de funções todos os meses e remove de imediato os fornecedores que já saíram.
Evita iniciar sessão em dispositivos públicos partilhados. Se tiveres de o fazer, termina a sessão por completo e nunca guardes palavras-passe em perfis de navegador que outras pessoas usam.
Como é que o phishing visa as equipas de redes sociais?
As mensagens de phishing imitam o apoio da plataforma, alertas de análise ou convites de colaboração. Pressionam-te a clicar numa página de início de sessão que rouba as credenciais. As plataformas verdadeiras raramente pedem palavras-passe por mensagem direta.
Ensina todas as pessoas com acesso a verificar as ligações escrevendo manualmente o site oficial ou usando favoritos guardados. Quando uma mensagem diz que a conta vai ser suspensa com urgência, pára e confirma através dos canais de ajuda oficiais.
Documenta as ferramentas aprovadas para agendamento e análise, para que os colaboradores reconheçam as aplicações não oficiais que pedem acesso à conta.
O que fazes se a tua conta for pirateada?
Age por ordem. Tenta de imediato os processos oficiais de recuperação de conta. Muda as palavras-passe da conta social, do e-mail de recuperação e de quaisquer contas associadas. Revoga as sessões e as aplicações ligadas que não reconheces nas definições de segurança.
Publica um aviso breve nos outros canais que ainda controlas. Diz ao público para não clicar em ligações nem enviar dinheiro até confirmares que o controlo foi reposto. Fixa o aviso, se possível.
Regista as horas das publicações não autorizadas e guarda capturas de ecrã para os recursos junto da plataforma e para a revisão interna. Depois da recuperação, analisa quem tinha acesso e como aconteceu a entrada.
Se a plataforma bloquear a conta, segue o processo de recurso em Recuperar de um banimento de conta de redes sociais. A perda de segurança e os banimentos por violação de regras cruzam-se mais vezes do que as equipas esperam.
Como evitas que os incidentes se repitam?
Faz uma auditoria trimestral de acessos. As funções, os dispositivos e as permissões de fornecedores mudam constantemente. Junta às auditorias uma breve formação de reforço com exemplos de phishing.
Guarda os códigos de recuperação em segurança, não na mesma conversa onde as palavras-passe se perdem. Atribui um responsável suplente que possa iniciar a recuperação se o contacto principal não estiver disponível.
Liga os hábitos de segurança ao teu plano de crise em Criar um plano de resposta a crises nas redes sociais e classifica os ataques como tipos de segurança em Tipos de crises nas redes sociais.
Perguntas frequentes
A autenticação de dois fatores chega para travar ataques?
A autenticação de dois fatores trava a maior parte dos roubos de credenciais, mas não os ataques de troca de SIM nem o roubo de dispositivos com sessões abertas. Combina-a com limites de funções, palavras-passe únicas e revisões de sessões. O criador de websites da WEMASY dá-te um canal de reserva para comunicados oficiais quando o início de sessão social está bloqueado.
Os freelancers devem ter acesso total de administrador às contas da marca?
Dá a função mínima necessária para a tarefa, muitas vezes publicar conteúdo sem gerir utilizadores. Remove o acesso no dia em que o trabalho termina. As contas de administrador permanentes e partilhadas são uma porta de entrada comum para ataques.
E se o hacker publicar conteúdo ofensivo antes de recuperares o controlo?
Recupera primeiro o acesso e depois publica uma declaração factual a dizer que a conta foi comprometida, indica as publicações nocivas a ignorar e explica as proteções para os clientes. Segue os passos para a reação viral negativa se a indignação se espalhar.
Com que frequência se devem mudar as palavras-passe?
Muda-as de imediato depois de mudanças na equipa, de suspeita de phishing ou de qualquer incidente. A mudança regular importa menos do que ter palavras-passe fortes e únicas com autenticação de dois fatores, mas as revisões agendadas continuam a ajudar.
As publicações agendadas podem causar problemas de segurança?
As ferramentas de agendamento ligadas à tua conta tornam-se pontos de ataque se forem comprometidas. Revê as aplicações ligadas durante as auditorias de acesso e remove as que já não usas.
Deves pedir aos clientes que denunciem publicações de burla?
Sim. Pede-lhes que denunciem as publicações de burla ou de falsificação de identidade pelas ferramentas oficiais da plataforma e que verifiquem as ligações apenas no teu website. Uma ligação clara para o teu domínio reduz os danos seguintes.