Tomada de conta

A tomada de conta é o resultado em que outra pessoa fica autenticada como você numa exchange ou serviço de carteira, com os seus saldos, as suas permissões de levantamento e o seu histórico à frente. Vale a pena nomeá-la separadamente das técnicas que a produzem, porque as defesas que contam são as que aguentam seja qual for a via usada. Cinco vias explicam a maioria dos casos reais. Uma palavra-passe reutilizada de um site comprometido e testada em massa. Um cookie de sessão retirado de uma máquina infetada, que passa ao lado de uma palavra-passe correta e de um código de uso único correto porque a sessão já está autenticada. Um número de telefone transferido através de uma troca de SIM, o que anula os códigos por SMS e muitas vezes também a reposição da palavra-passe. Uma conta de email comprometida primeiro, porque a caixa de correio é o caminho de reposição de tudo o resto. E o próprio apoio ao cliente, convencido a executar uma recuperação por alguém com detalhes pessoais suficientes para soar como o titular. Responda por camadas: uma passkey ou chave de segurança física em vez de SMS, um endereço de email dedicado e usado para mais nada, uma lista branca de levantamentos para que uma sessão roubada não possa inventar um novo destino, um atraso temporal ao adicioná-lo e chaves de API limitadas à negociação com os levantamentos desativados. A lição recorrente dos incidentes reais é que o segundo fator travou o acesso e os controlos de levantamento travaram a perda.