Como proteger seus dados em mensageiros e redes sociais

Mensageiros e redes sociais guardam mais sobre você do que quase qualquer outro aplicativo: anos de conversas privadas, fotos, áudios, a sua lista de contatos e um registro de com quem você fala e quando. Eles também carregam a sua identidade. Quando alguém invade um mensageiro ou um perfil social, raramente para na leitura das conversas antigas. A pessoa escreve para os seus amigos em seu nome, pede dinheiro, muitas vezes um Pix urgente, ou códigos de acesso, e usa a sua boa reputação para espalhar o mesmo golpe adiante.

A boa notícia é que as proteções mais eficazes são gratuitas e já vêm embutidas no Telegram, no WhatsApp, no Instagram e no Facebook, e a maioria leva poucos minutos para ser ativada. As seções abaixo começam pelas configurações que impedem o sequestro da conta e terminam com hábitos que evitam que as suas informações vazem.

Uma senha ou um código de uso único por SMS, sozinhos, são um ponto único de falha, então acrescente uma segunda trava sempre que puder. No Telegram, isso se chama verificação em duas etapas, ou senha na nuvem, e fica em Configurações, depois Privacidade e Segurança. O WhatsApp tem a própria confirmação em duas etapas, com um PIN de seis dígitos, em Configurações, depois Conta. Instagram e Facebook cuidam disso na Central de Contas da Meta, em Senha e segurança, onde um app autenticador é uma escolha mais forte do que as mensagens de texto.

Adicione um e-mail de recuperação sempre que o app oferecer essa opção e use um endereço que você realmente acompanha. Guarde as senhas e os códigos de backup em um gerenciador de senhas, e não em uma anotação no mesmo celular.

A outra metade dessa regra é de comportamento: nunca passe um código de acesso para ninguém. Equipes de suporte de verdade não pedem esses códigos. O Telegram costuma enviar os códigos de login para os seus outros dispositivos pelo chat oficial de serviço e avisa para não compartilhá-los, e o mesmo vale para os códigos de registro do WhatsApp. Um amigo que de repente precisa de um código que você acabou de receber é, quase sempre, uma conta que já foi invadida.

Cada lugar em que você está conectado é uma porta para a sua conta. O Telegram lista essas sessões em Configurações, depois Dispositivos, e permite encerrar uma sessão ou todas as outras de uma vez. Ele também pode encerrar sessões automaticamente depois de um período de inatividade. No WhatsApp, abra Dispositivos conectados no celular para ver todos os computadores e navegadores ligados à sua conta e desconecte os que você não reconhecer. No Instagram e no Facebook, a Central de Contas mostra onde você está conectado e permite remover aparelhos antigos.

Verifique de novo depois de usar um computador compartilhado ou público, depois de trocar de celular e sempre que receber um alerta de login inesperado. Ativar os alertas de login na Central de Contas faz com que você fique sabendo de novos acessos assim que eles acontecem.

Tome cuidado redobrado com QR codes. A versão para computador ou web do Telegram e do WhatsApp é conectada escaneando um código com o celular. Um desconhecido que manda um código e pede para você escaneá-lo, por causa de um prêmio, de uma votação ou de um convite para grupo, está na verdade pedindo que você conecte o computador dele à sua conta. Só escaneie um QR code de login que você mesmo abriu no seu próprio dispositivo.

As configurações padrão são pensadas para a conveniência, não para a privacidade. No Telegram, passe por Privacidade e Segurança e defina quem pode ver o seu número de telefone, quem pode encontrar você por ele, quem vê o seu visto por último e as suas fotos de perfil, e quem pode adicionar você a grupos e canais. Deixar o número como Ninguém ou Meus Contatos e limitar os convites para grupos reduz o spam e evita que desconhecidos descubram o seu número.

O WhatsApp oferece controles parecidos para visto por último e online, foto de perfil, recado, status e convites para grupos, além de opções para silenciar ligações de números desconhecidos e proteger o seu endereço IP durante as chamadas. A verificação de privacidade do app reúne as principais escolhas em um só lugar. No Instagram, pense em deixar a conta privada se você não precisa de um público aberto e revise quem pode marcar ou mencionar você e se o seu status de atividade aparece. No Facebook, confira quem pode ver as suas publicações, a sua lista de amigos e os seus dados de contato, e use a verificação de privacidade para limitar o público das publicações antigas.

Revise essas configurações depois de grandes atualizações dos apps, porque às vezes recursos novos chegam com padrões abertos.

A maioria das perdas de conta começa com uma mensagem, e não com um ataque técnico. As iscas típicas incluem um aviso de que a sua conta será excluída por violação de direitos autorais, uma assinatura premium ou um presente de graça, um pedido para votar em um amigo em um concurso, a oferta de um selo de verificação ou uma oportunidade de emprego ou de investimento. Todas empurram você para uma página de login ou pedem um código, e quase sempre vêm com um prazo apertado.

Antes de digitar qualquer coisa, olhe o endereço completo da página. O login verdadeiro do Instagram ou do Facebook fica no domínio da própria marca, e não em uma imitação com palavras a mais, hifens ou letras trocadas. Melhor ainda: não entre por links. Abra o app por conta própria e veja se existe mesmo algum aviso esperando por você. Instagram e Facebook também podem listar os e-mails de segurança recentes que enviaram para você, geralmente na seção de segurança da Central de Contas, o que facilita saber se uma mensagem que diz vir deles é verdadeira.

Contas de suporte falsas também são comuns. As equipes oficiais não iniciam conversas privadas para exigir senhas, códigos ou um pagamento para desbloquear a sua conta. Se alguém fizer isso, bloqueie e denuncie.

Algumas informações são inofensivas sozinhas e arriscadas quando combinadas. O seu número de telefone, a data de nascimento, o bairro, a empresa onde trabalha e os nomes de familiares ou de bichos de estimação são exatamente o que os golpistas usam para adivinhar senhas, responder perguntas de segurança e escrever mensagens de golpe convincentes. Desconfie daqueles quizzes divertidos que perguntam a sua primeira escola, o seu primeiro carro ou o nome de solteira da sua mãe.

As fotos revelam mais do que você imagina. Antes de postar, confira o fundo em busca de documentos, telas, números de casa, placas de carro ou ingressos e passagens com código de barras. A localização também pode ir junto com a imagem: os mensageiros costumam remover os dados de localização das fotos enviadas do jeito normal, mas mandar a imagem como arquivo pode manter os dados originais. Compartilhe a localização em tempo real só com pessoas de confiança e só pelo tempo necessário.

Tudo o que é enviado em um grupo ou publicado abertamente pode ser encaminhado, printado e salvo. Mensagens temporárias e a exclusão automática ajudam a evitar que conversas antigas se acumulem, mas não impedem que alguém copie uma mensagem antes que ela desapareça.

Proteger os dados também significa não perdê-los. O WhatsApp guarda as conversas no celular e pode fazer backup delas no Google Drive, no Android, ou no iCloud, no iPhone. Ative a opção de backup com criptografia de ponta a ponta para que o backup fique protegido por uma senha ou chave que só você tem, e guarde essa chave em um lugar seguro.

As conversas na nuvem do Telegram ficam nos servidores do Telegram e são sincronizadas entre os seus dispositivos, mas os chats secretos existem apenas nos dispositivos em que foram criados e não podem ser recuperados depois que você sai da conta. O Telegram Desktop consegue exportar as suas conversas e mídias se você quiser uma cópia offline. Instagram e Facebook permitem baixar as suas informações pela Central de Contas.

Trate essas exportações como a própria conta. Elas contêm as suas conversas e fotos privadas, então guarde-as em um armazenamento criptografado e apague as cópias antigas de que você não precisa mais.

Com tudo configurado, uma revisão rápida a cada poucos meses mantém as coisas em ordem. Confira as sessões e os dispositivos conectados, confirme que a autenticação em dois fatores continua ativa e que o e-mail de recuperação está atualizado, dê uma olhada nas configurações de privacidade depois das atualizações e remova da lista de apps conectados os aplicativos e sites de terceiros que você não usa mais.

Se você acabou de receber uma conta de outra pessoa, como uma conta repassada no trabalho ou comprada em um marketplace, faça a rotina completa antes de usá-la: defina as suas próprias senhas e dados de recuperação, encerre todas as sessões que não foram iniciadas por você e decida quem pode ver o quê. Use qualquer conta que você obtiver de acordo com os termos de uso da plataforma. Começar com tudo em ordem é muito mais fácil do que arrumar a bagunça depois de um problema.