Uma senha fraca pode ser o ponto de entrada para uma fraude por e-mail, o acesso indevido a um processo sigiloso ou a paralisação do sistema de um escritório. Por isso, uma política de senha para escritório jurídico não é uma formalidade de TI: é uma medida de proteção à confidencialidade, à reputação e à continuidade do atendimento ao cliente.
Escritórios de advocacia concentram informações que interessam a criminosos: documentos societários, dados pessoais, estratégias processuais, contratos, credenciais bancárias, procurações e comunicações protegidas por sigilo profissional. Quando uma única conta é comprometida, o impacto pode ir muito além do usuário afetado. Pode envolver envio de cobranças falsas, vazamento de arquivos, acesso a pastas compartilhadas e questionamentos de clientes sobre a maturidade de segurança do escritório.
O que uma política de senha deve proteger
Uma política eficiente define regras claras para criar, usar, guardar e trocar senhas. Mas seu objetivo real é reduzir a probabilidade de acesso não autorizado sem transformar a rotina da equipe em um obstáculo operacional.
Isso exige equilíbrio. Regras excessivamente complexas, sem treinamento e sem ferramentas adequadas, levam as pessoas a anotar senhas em papéis, reutilizá-las em vários sistemas ou fazer pequenas alterações previsíveis quando precisam trocá-las. A política precisa ser firme contra riscos reais e viável para advogados, estagiários, sócios e equipe administrativa.
Ela também deve abranger todos os ambientes que processam ou armazenam informações do escritório: e-mail corporativo, sistema jurídico, armazenamento em nuvem, acesso remoto, dispositivos móveis, portais de clientes, sistemas financeiros e ferramentas de videoconferência. Proteger apenas o computador do escritório deixa várias portas abertas.
Regras essenciais para senhas corporativas
A regra mais importante é simples: cada conta deve ter uma senha única. A senha usada no e-mail corporativo não pode ser repetida no sistema jurídico, em um aplicativo de assinatura eletrônica ou em serviços pessoais. O reaproveitamento transforma o vazamento de uma credencial em um risco para todo o ambiente.
Prefira senhas longas, com pelo menos 14 caracteres, ou frases-senha. Uma frase formada por palavras sem relação direta entre si é mais fácil de memorizar e, em geral, mais resistente a tentativas automatizadas do que uma senha curta cheia de substituições previsíveis. Combinar nome do escritório, nome do cliente, data de aniversário ou número da OAB não é aceitável, pois são dados que podem ser encontrados ou inferidos.
Também é necessário bloquear senhas já expostas em vazamentos conhecidos e impedir combinações muito comuns. Termos como “123456”, “senha”, “advogado2026” ou variações do nome da empresa falham rapidamente em ataques de força bruta e tentativas baseadas em dicionários de palavras.
A política deve determinar que credenciais nunca sejam compartilhadas. Se duas pessoas precisam acessar uma plataforma, cada uma deve ter seu próprio usuário, com permissões compatíveis com sua função. Contas compartilhadas eliminam rastreabilidade e dificultam a investigação de incidentes. Em um escritório jurídico, saber quem acessou, baixou ou alterou determinado arquivo pode ser decisivo.
A troca periódica depende do contexto
Trocar senhas a cada 30, 60 ou 90 dias foi uma prática comum, mas não deve ser aplicada de forma automática sem avaliar o ambiente. Quando há senha longa, exclusiva, proteção contra credenciais vazadas e autenticação multifator, exigir mudanças frequentes pode incentivar escolhas fracas e repetitivas.
A troca imediata, porém, deve ser obrigatória em situações específicas: suspeita de phishing, alerta de vazamento, acesso a partir de local incomum, desligamento de colaborador, compartilhamento indevido de credencial ou qualquer indício de comprometimento. Para contas privilegiadas, como administração de sistemas, nuvem e financeiro, regras mais rigorosas podem ser justificadas.
Senha sozinha não basta: adote autenticação multifator
A autenticação multifator, também chamada de MFA ou verificação em duas etapas, deve ser obrigatória para e-mail, acesso remoto, serviços em nuvem, sistemas financeiros e contas administrativas. Ela exige uma segunda confirmação além da senha, como aprovação em um aplicativo autenticador, chave física de segurança ou código temporário.
Essa camada reduz de forma significativa o risco de uma senha roubada ser usada por um invasor. Ainda assim, ela não elimina a necessidade de atenção. Golpes de phishing podem induzir um usuário a aprovar uma solicitação fraudulenta no celular ou fornecer um código temporário em uma página falsa.
Sempre que possível, o escritório deve priorizar aplicativos autenticadores ou chaves de segurança em vez de códigos por SMS. O SMS pode ser útil em cenários específicos, mas oferece menos proteção contra fraudes relacionadas à linha telefônica. A escolha deve considerar o perfil da equipe, os sistemas utilizados e o nível de criticidade de cada acesso.
Como transformar a política em uma rotina real
Uma política que fica esquecida em uma pasta não protege ninguém. Ela precisa ser aprovada pela gestão, comunicada em linguagem direta e incorporada ao processo de entrada, movimentação e desligamento de pessoas.
No ingresso de um novo colaborador, o escritório deve fornecer a orientação inicial sobre criação de senha, uso do gerenciador corporativo, MFA, reconhecimento de phishing e proibição de compartilhamento de contas. O acesso deve seguir o princípio do menor privilégio: cada pessoa recebe apenas as permissões necessárias para executar suas atividades.
Quando alguém muda de área, assume novas responsabilidades ou deixa o escritório, os acessos precisam ser revisados sem demora. Desativar uma conta não é suficiente se houver sessões abertas, dispositivos pessoais autorizados, grupos compartilhados ou credenciais de sistemas terceirizados ainda vinculadas ao usuário.
Treinamentos curtos e recorrentes funcionam melhor do que uma apresentação anual extensa. Um aviso sobre um golpe recente, uma simulação controlada de phishing ou uma orientação prática sobre gerenciadores de senha ajuda a manter o tema presente sem sobrecarregar a operação.
O papel do gerenciador de senhas
Um gerenciador de senhas corporativo reduz a dependência da memória e evita práticas inseguras, como planilhas, blocos de notas e mensagens enviadas por aplicativos. Ele permite gerar senhas únicas e longas, armazená-las em cofre protegido e compartilhar acessos de forma controlada quando necessário.
A ferramenta não substitui a governança. É preciso definir quem administra o cofre, como ocorre o compartilhamento, quais registros são mantidos e o que acontece com as credenciais no desligamento de um colaborador. Para escritórios que atendem empresas maiores, essa organização também melhora a resposta a questionários de segurança enviados por clientes.
O que fazer diante de suspeita de comprometimento
Se um usuário receber uma solicitação de login que não reconhece, perceber envio de e-mails estranhos ou suspeitar que informou sua senha em uma página falsa, a orientação deve ser objetiva: comunicar imediatamente o responsável por TI ou segurança, interromper o uso da conta afetada e trocar a senha por um dispositivo confiável.
A equipe técnica precisa verificar sessões ativas, regras suspeitas de encaminhamento de e-mail, dispositivos conectados, alterações de MFA e possíveis acessos a arquivos. Em ataques contra escritórios jurídicos, criminosos frequentemente usam uma conta de e-mail invadida para observar conversas, identificar pagamentos em andamento e enviar instruções fraudulentas no momento certo.
O plano de resposta deve prever preservação de evidências, comunicação interna, avaliação de impacto e análise das obrigações aplicáveis pela LGPD. Nem todo incidente exige a mesma resposta, mas todo alerta merece triagem rápida. O tempo entre a identificação e a contenção costuma definir a extensão do dano.
Governança de senhas é proteção de negócio
Uma política de senha bem aplicada demonstra controle sobre um dos principais vetores de ataque ao escritório. Ela protege o sigilo profissional, reduz a exposição de dados pessoais, apoia a conformidade e fortalece a confiança de clientes que exigem evidências de segurança antes de contratar ou manter uma relação jurídica.
A Lobios orienta escritórios jurídicos a tratar credenciais como parte de uma estratégia mais ampla, que inclui acesso seguro, treinamento de usuários, gestão de vulnerabilidades, backup e continuidade operacional. O ponto de partida é entender onde estão os dados críticos, quem precisa acessá-los e quais riscos podem interromper o trabalho do escritório.
A melhor política não é a que reúne mais regras. É a que a equipe consegue seguir, a gestão consegue fiscalizar e o escritório consegue sustentar mesmo sob pressão. Quando a proteção de acessos passa a fazer parte da cultura, a confidencialidade deixa de depender da sorte ou da atenção isolada de cada usuário.
