Um único senha para todos: quando um escritório de advocacia aposta no oposto do senso comum

Um escritório de advocacia americano impôs a seus funcionários uma única e mesma senha para todo o sistema de informação. Voltemos a uma decisão tão antiga quanto uma mesa de escritório e ao que ela nos ensina em 2026.

Um escritório de advocacia foi exposto publicamente na imprensa especializada em cibersegurança por ter imposto, internamente, uma única senha utilizada por todos os seus funcionários no sistema de informação. Estamos em 2026, há leis nacionais sobre segurança de dados, há o RGPD na Europa, há uma centena de normas ISO 27000, e mesmo assim.

Os fatos

O que aconteceu

Segundo o relatório divulgado em nossos canais e replicado por diversos veículos especializados, um escritório de advocacia — não identificado publicamente nesta matéria — estabeleceu como política de segurança uma senha compartilhada e única para todo o seu pessoal.

Quem é afetado

• Os clientes do escritório, em primeiro lugar: seus processos podem ser acessados por meio dessa senha única.
• Os funcionários: suas ações não são mais atribuíveis individualmente, o que inviabiliza qualquer rastreabilidade forense.
• O próprio escritório: responsabilidade jurídica significativa em caso de vazamento.

O que fazer

Este caso de estudo merece que recordemos as boas práticas básicas, mesmo em uma breve notícia:

1. Um identificador + uma senha única por usuário. Não negociável.
2. Um gerenciador de senhas (Bitwarden, 1Password, KeePassXC para código aberto).
3. MFA obrigatório em todos os acessos sensíveis (TOTP no mínimo, chave física idealmente).
4. Política de rotação razoável — o NIST SP 800-63B não recomenda mais a rotação sistemática, mas sim a revogação imediata em caso de suspeita.
5. Registro de logs + auditoria — sem contas individuais, nenhuma auditoria séria é possível.

Análise

O que este caso revela — mais do que a falha em si — é a persistência de pontos cegos em profissões não técnicas, inclusive aquelas que manipulam o maior volume de dados sensíveis. Um escritório de advocacia lida com processos judiciais, divórcios, sucessões, casos criminais. O custo de um vazamento não se mede apenas em euros, mas em vidas pessoais expostas.

A senha compartilhada não é incomum em pequenas estruturas — já vimos isso em consultórios médicos, associações e PMEs industriais. O que é novo é a visibilidade pública dessas práticas quando elas vêm à tona.

— O que fazer agora

Se você é DSI, RSSI, sócio de escritório ou simplesmente gestor de uma pequena estrutura:

• Auditoria rápida: quantas contas realmente individuais vs. compartilhadas existem no seu SI?
• Contas de serviço: são rastreáveis? Possuem senhas robustas?
• Wi-Fi corporativo: os convidados compartilham a mesma rede que a produção?
• Treinamento: quando foi a última sessão de conscientização sobre phishing / MFA?

Fontes primárias

Convidamos os leitores interessados a consultar as recomendações oficiais abaixo, em vez de se contentarem com nossas breves notícias. A segurança depende de guias práticos, não de artigos de atualidade.