Segurança das contas no trabalho remoto: burlas, palavras-passe e Wi-Fi público

Como reconhecer uma burla de emprego

Um falso recrutador precisa de duas coisas: da tua confiança e de algo teu, normalmente dinheiro ou dados pessoais. As orientações da FTC sobre burlas de emprego descrevem os padrões, e aplicam-se também a ofertas falsas de treino de IA. Sete verificações, pela ordem em que as vais encontrar:

1. A oferta promete muito dinheiro por pouco trabalho. A FTC diz que é quase de certeza uma burla.
2. Pedem-te que pagues por alguma coisa. Formação, um kit inicial, uma licença de software ou equipamento contam todos. Um empregador a sério não te cobra para começares.
3. Chega um cheque e dizem-te para enviares parte do valor. O conselho da FTC é nunca contares com um cheque que parece já compensado.
4. O trabalho é receber e reenviar encomendas. Isso é uma burla, não um emprego.
5. Pedem dados bancários ou um número de identificação antes de haver uma oferta. A FTC avisa que os dados entregues para um suposto "processamento salarial" podem levar a roubo de identidade.
6. Não consegues confirmar quem é o recrutador. Pesquisa a empresa e o nome da pessoa juntamente com palavras como "burla" ou "reclamação", como sugere a FTC, e confirma que a plataforma da mensagem é aquela a que te candidataste.
7. Pressionam-te para responderes depressa. A urgência é uma razão para abrandares e verificares.

Os nossos guias sobre como verificar se uma vaga remota é real, como reconhecer vagas legítimas de treino de IA e evitar burlas e sinais de alerta em entrevistas aprofundam cada um destes pontos. Para uma plataforma concreta, vê a Mercor é legítima? e a Micro1 é legítima?.

Se já pagaste ou partilhaste dados sensíveis, a página da FTC sobre o que fazer se foste vítima de burla lista os passos, e podes denunciar em ReportFraud.ftc.gov.

Uma palavra-passe para cada plataforma

Se reutilizares uma palavra-passe, uma fuga abre todas as contas que a partilham, e as contas que usas para receber são as que vale a pena roubar. O teu email costuma ser a via de recuperação de todas elas, por isso uma palavra-passe de email roubada é o pior cenário.

As orientações atuais do NIST para serviços que verificam palavras-passe (SP 800-63B-4) ajudam aqui, porque se afastam de hábitos que muita gente ainda segue:

• Uma palavra-passe que é o único fator deve ter pelo menos 15 caracteres. Quando é combinada com um segundo fator, o mínimo é oito.
• Os serviços não devem impor uma mistura de tipos de caracteres, nem forçar mudanças periódicas, a menos que haja indícios de comprometimento.
• Os serviços devem comparar as palavras-passe novas com listas de palavras-passe comuns e comprometidas, e devem permitir gestores de palavras-passe e a ação de colar.

Na prática, uma frase longa de palavras sem relação, única para cada plataforma, é mais forte e mais fácil de usar do que uma palavra-passe curta enfeitada com símbolos. Mudas quando tens motivo, por exemplo um aviso de fuga de dados.

Há três formas realistas de manter muitas palavras-passe únicas:

• O gestor incluído no navegador ou no telemóvel. Gratuito e já instalado, mas preso a uma família de dispositivos.
• Um gestor de palavras-passe independente, como o Bitwarden, o 1Password ou o NordPass. Funciona em vários dispositivos. A palavra-passe mestra passa a ser a chave de tudo, por isso tem de ser longa, única e protegida com um segundo fator.
• Um caderno em papel guardado em casa. Não pode ser atacado à distância, mas pode perder-se, estragar-se ou ser lido por quem te visite.

Escolhas o que escolheres, ativa a autenticação multifator. A FTC refere que ajuda a manter os burlões de fora mesmo quando têm a tua palavra-passe. Um email separado para as plataformas de trabalho também evita que uma fuga de uma loja online lhes chegue.

O phishing é uma das formas como muitas palavras-passe são roubadas. As orientações da FTC sobre phishing indicam que as empresas legítimas não enviam por email nem por SMS uma ligação para atualizares os teus dados de pagamento. Se uma mensagem disser que há um problema com a tua conta, fecha-a e contacta a empresa através de um site ou número que já conheças.

O infográfico abaixo lista o que deves deixar de fora de uma palavra-passe.

Imagem: NordVPN.

Precisas de uma VPN para trabalhar à distância?

Uma VPN cifra o tráfego entre o teu dispositivo e o fornecedor da VPN. Isso interessa em redes públicas. A FTC já avisou que o Wi-Fi público gratuito é muitas vezes inseguro, e as suas dicas sobre aplicações VPN descrevem-nas como uma forma de proteger a informação pessoal enviada por Wi-Fi aberto. Se trabalhas em cafés, aeroportos ou espaços partilhados, é um uso razoável.

Na rede de casa, uma VPN acrescenta muito menos. Não impede o phishing, não resolve uma palavra-passe reutilizada e não faz com que uma plataforma confie em ti.

Um ponto merece cuidado. Uma VPN pode fazer com que a tua ligação pareça vir de outro país, e há quem se sinta tentado a usá-la quando uma plataforma não está aberta na sua região. As plataformas podem verificar de onde trabalhas e quem és, e uma ligação que não coincide pode levar a uma revisão ou a um bloqueio. Lê as regras de cada plataforma antes de usares uma VPN nela e nunca uses uma para mudar o país a partir do qual te candidatas. Uma VPN protege a tua ligação. Não serve para cumprir uma regra de elegibilidade.

Se escolheres uma VPN, a FTC sugere pesquisar a aplicação antes de a descarregar, ler as permissões que pede, confirmar que cifra os teus dados e perceber se os partilha com terceiros.

Perguntas frequentes

O que devo fazer se cliquei numa ligação suspeita?

Atualiza o teu software de segurança e faz uma verificação. Depois muda as palavras-passe de todas as contas que usaste nesse dispositivo, começando pelo email, a partir de um dispositivo em que confies. Se partilhaste dados sensíveis, como dados bancários ou um número de identificação, a FTC indica o IdentityTheft.gov para os passos seguintes, e podes denunciar a mensagem em ReportFraud.ftc.gov.

É seguro usar um gestor de palavras-passe?

As orientações do NIST esperam que os serviços os permitam, porque tornam práticas as palavras-passe únicas. O risco passa para a palavra-passe mestra, por isso torna-a longa e única e acrescenta autenticação multifator ao próprio gestor. Guarda um método de recuperação num sítio seguro.

Posso usar uma VPN em plataformas de treino de IA?

Depende da plataforma. Algumas verificam a tua localização e identidade, e uma VPN pode causar problemas. Lê primeiro as páginas de ajuda da própria plataforma e, se não forem claras, pergunta ao suporte antes de te ligares por uma.

Limitações

Isto é informação geral, não uma auditoria de segurança nem aconselhamento profissional. As páginas da FTC são escritas para leitores nos Estados Unidos, e as orientações do NIST descrevem o que os serviços devem exigir, não o que cada plataforma faz. As regras das plataformas mudam, por isso confirma as atuais. Não podemos dizer-te se uma oferta em concreto é genuína.

Contas seguras são metade de uma boa candidatura. A outra metade é o teu CV, e podes verificá-lo gratuitamente em cerca de três minutos.

Fontes e leitura adicional

• FTC: Job Scams: como reconhecer e evitar burlas de emprego
• FTC: What To Do if You Were Scammed: o que fazer depois de uma burla
• ReportFraud.ftc.gov: denunciar uma burla à Comissão Federal do Comércio dos EUA
• NIST SP 800-63B-4: Authentication and Authenticator Management: Orientações atuais dos EUA sobre comprimento, regras de composição, mudanças forçadas e verificação contra palavras-passe comprometidas.
• FTC: How To Recognize and Avoid Phishing Scams: Conselhos da FTC para reconhecer mensagens de phishing, autenticação multifator e o que fazer se clicaste.
• FTC: FTC Provides Tips on Using VPN Apps: Dicas da FTC sobre aplicações VPN: pesquisar a aplicação, verificar permissões, cifragem e partilha de dados (fevereiro de 2018).

A SOJI é um quadro de vagas independente e não tem qualquer afiliação com a Mercor ou a Micro1. Se te candidatares através das nossas ligações de referência e fores contratado, a SOJI pode receber uma comissão, sem custo para ti, e isso não afeta as vagas que publicamos. Mais na página sobre nós.