Proteger ficheiros de hackers: práticas essenciais de segurança

Proteger ficheiros de hackers começa pela encriptação — AES-256-GCM durante a transferência, encriptação do lado do cliente antes do carregamento, e TLS 1.3 para a ligação. Acrescente links de descarregamento com expiração (24 horas é um padrão sensato), proteção por palavra-passe com PBKDF2 a 600 000 iterações, limites de descarregamento, e autenticação de dois fatores em qualquer conta que contenha dados sensíveis. O Relatório de Investigação de Violações de Dados da Verizon de 2023 concluiu que 74% das violações envolvem o elemento humano — palavras-passe fracas, phishing, partilhas mal configuradas. Os controlos técnicos resolvem metade do problema; o resto é disciplina de fluxo de trabalho. Eis o que realmente faz a diferença.

A superfície de ataque quando partilha um ficheiro

Um ficheiro a caminho de si para outra pessoa passa por várias zonas de perigo:

O seu dispositivo — malware que lê ficheiros antes da encriptação
A sua rede local — Wi-Fi hostil, ARP spoofing, DNS desonesto
ISP e ligações de backbone — historicamente visadas por SIGINT de estados-nação
Os servidores do serviço de transferência — violação, ameaça interna, pedidos legais
A caixa de entrada ou aplicação de mensagens do destinatário — onde os links de partilha se acumulam
O dispositivo do destinatário — o mesmo problema invertido

Cada zona precisa de uma defesa específica. Ignorar qualquer uma delas deixa um caminho de ataque fiável.

Comece com encriptação ponta a ponta

O controlo único mais forte é a encriptação do lado do cliente com a chave nunca a chegar ao servidor. O AES-256-GCM no navegador usando a Web Crypto API produz texto cifrado inútil sem a chave, mesmo que o fornecedor seja comprometido. A chave viaja apenas no fragmento do URL (tudo após #), que os navegadores nunca enviam aos servidores.

Serviços que implementam isto corretamente: Tresorit Send, ligações partilhadas do Proton Drive, SwissTransfer E2EE, Mega.nz, HexaTransfer.

Serviços que encriptam mas não são do lado do cliente: WeTransfer standard, Google Drive, Dropbox, OneDrive, Box standard. Estes dependem da honestidade e competência do fornecedor — adequados para conteúdo de baixa sensibilidade, insuficientes para qualquer coisa com que ficaria desconfortável de ver num título de violação de dados.

Use links com expiração, sempre

Um link de partilha sem prazo de validade é uma violação à espera de acontecer. Os arquivos de e-mail vazam, as exportações do Slack são roubadas, os portáteis vendem-se no eBay com o histórico do navegador intacto. Os links com prazo de validade limitam os danos.

Padrões sensatos:

Ficheiros pessoais: 24–72 horas
Documentos de trabalho: máximo 7 dias
Segredos de uso único: 1 hora ou um descarregamento

Configure auto-destruição quando disponível. Reposições de palavra-passe, credenciais e códigos de uso único devem auto-destruir-se no momento em que são lidos. Os links de descarregamento único fazem a segunda tentativa de acesso falhar visivelmente — o que é bom, porque quer saber se o seu link foi intercetado.

Palavras-passe por cima dos links

O fragmento do URL sozinho significa que qualquer pessoa com o link pode descarregar. Adicionar uma palavra-passe transforma uma partilha de canal único em dois fatores: o atacante precisa do link e da palavra-passe, de preferência enviados por canais diferentes.

Implementação que realmente funciona:

PBKDF2-HMAC-SHA-256 com pelo menos 600 000 iterações (OWASP 2023), ou Argon2id com 64 MB de memória.
Palavras-passe de 12+ caracteres extraídas de um gestor de palavras-passe, não "Primavera2025".
Palavra-passe entregue por um canal diferente do link — Signal se o link foi enviado por e-mail, SMS se o link foi no Slack.

Um atacante determinado ainda consegue fazer força bruta em palavras-passe fracas offline se intercetar tanto o texto cifrado como o sal. A KDF torna-os mais lentos; palavras-passe fortes travam-nos.

Proteja as suas contas

Se usa um serviço baseado em conta, a própria conta torna-se um alvo de ataque. A violação da Uber em 2022 começou com credential-stuffing contra o login de um contratante.

Higiene mínima:

Palavra-passe única por serviço de um gestor de palavras-passe (1Password, Bitwarden, Proton Pass).
Autenticação de dois fatores — prefira TOTP (Google Authenticator, Authy) ou chaves de hardware (YubiKey, Titan) em vez de SMS, que é vulnerável a ataques de troca de SIM.
Passkeys onde disponível — suportado por WebAuthn, resistente a phishing, com suporte crescente.
Timeouts de sessão de 30 dias ou menos.
Gestão de dispositivos — reveja as sessões ativas, revogue qualquer coisa que não reconheça.

O Google, a Microsoft e a Apple agora ativam por padrão a autenticação de dois fatores para novas contas. Os serviços auto-alojados e mais pequenos frequentemente não o fazem.

Audite o seu dispositivo

A segurança do endpoint é o elo mais fraco porque os atacantes sabem-no. Se o seu portátil estiver comprometido, todos os ficheiros que encriptar eram legíveis antes da encriptação. Mínimo:

Encriptação completa do disco — FileVault no macOS, BitLocker no Windows Pro, LUKS no Linux.
Atualizações do SO e navegador dentro de 7 dias do lançamento. O exploit zero-click do iMessage do Pegasus em 2021 atingiu dispositivos sem os patches.
Antivírus / EDR respeitável no Windows — o Microsoft Defender é aceitável para a maioria dos utilizadores.
Sem software pirateado. Cracked e keygens são o vetor de malware mais comum para utilizadores domésticos não visados.
Palavra-passe de bloqueio de ecrã com uma frase-passe de 10+ caracteres.
Eliminação remota ativada (Encontrar o Meu Mac, Microsoft Encontrar o Meu Dispositivo, Apple Encontrar o Meu).

Para trabalho de alto risco (jornalismo, legal, investigação com adversários de estados-nação), considere um portátil dedicado com higiene rigorosa de software, ou Qubes OS para compartimentação.

Verifique o destinatário

Enviar um ficheiro sensível para o endereço errado é a sua própria categoria de violação. Os e-mails de notificação da Equifax em 2017 apontaram acidentalmente os utilizadores para um domínio de phishing. Prevenção:

Confirme o endereço de e-mail através de um segundo canal antes de enviar. Ligue ao destinatário, verifique num mensageiro encriptado, releia o endereço letra a letra.
Use identificadores inequívocos nos nomes de ficheiros para que o destinatário saiba imediatamente se recebeu o ficheiro errado.
Comece com um ficheiro de teste — um ficheiro de texto de 1 KB confirma o endereço e o processo antes de enviar o conteúdo sensível real.
Esteja atento a ataques homógrafos — rn parece m, o cirílico а parece o latino a em nomes de domínio.

Vigile os metadados

A encriptação oculta o conteúdo, não os nomes de ficheiros, tamanhos, ou timestamps. Os vazamentos de metadados podem ser tão prejudiciais como os vazamentos de conteúdo. Dois exemplos:

Um ficheiro chamado T4-2025-despedimentos-final.xlsx conta uma história antes de alguém o desencriptar.
As fotografias com coordenadas GPS EXIF incorporadas podem revelar a sua morada a qualquer pessoa que as receba.

Mitigações:

Renomeie os ficheiros para nomes neutros antes de partilhar (anexo.xlsx em vez do nome revelador).
Remova dados EXIF com exiftool -all= foto.jpg antes de enviar.
Use serviços que encriptam nomes de ficheiros juntamente com os conteúdos (Tresorit, Proton Drive, HexaTransfer fazem-no).
Aplique padding ao tamanho dos ficheiros quando possível.

Monitorize o acesso quando conseguir

Após enviar, a visibilidade é importante. Os serviços que mostram eventos de descarregamento permitem detetar problemas antecipadamente:

O destinatário descarregou? (Esperado.)
Houve um segundo descarregamento de um IP diferente? (Intercetado?)
O link foi acedido num país que não estava a esperar? (VPN ou vazamento.)
Há tentativas falhadas de palavra-passe? (Força bruta em curso.)

O Tresorit e o Proton Drive registam acessos; o SwissTransfer mostra contagens de descarregamento; a maioria dos serviços de consumo não o faz. Mesmo contar os descarregamentos é útil — um link de descarregamento único que foi descarregado duas vezes é um alarme sonoro.

Faça cópias de segurança antes de eliminar

Um ficheiro eliminado após uma transferência de 24 horas desaparece do serviço. Certifique-se de que tem uma cópia local se precisar do ficheiro mais tarde. Um disco de arquivo dedicado com encriptação completa AES-256-XTS (LUKS, VeraCrypt) mais cópia de segurança externa para Backblaze B2 ou AWS S3 com encriptação do lado do servidor é uma configuração pessoal padrão.

Três cópias de dados importantes em pelo menos dois locais, com pelo menos uma offline — a regra 3-2-1 — sobrevive melhor ao ransomware do que o armazenamento apenas em nuvem.

Uma rotina diária prática

Para quem partilha ficheiros sensíveis regularmente:

Encripte em repouso localmente com contentores VeraCrypt ou FileVault.
Use um serviço de transferência encriptado do lado do cliente por padrão.
Defina expiração de 24 horas e limite de descarregamento único.
Adicione uma palavra-passe forte do gestor de palavras-passe, enviada por um segundo canal.
Verifique o destinatário antes de enviar.
Confirme o descarregamento, depois elimine a cópia local do link de partilha.

Sobrecarga total: cerca de 30 segundos por transferência. Redução do risco de violação: substancial.

Experimente em hexatransfer.com — gratuito, sem conta, até 10 GB.