Há dias em que basta abrir a caixa de entrada para perceber que alguma coisa não está bem. Entre os pedidos dos clientes, os avisos do servidor e os tickets do helpdesk, aparecem notificações do Facebook, recibos de compras online, alertas de uma plataforma de streaming e mais uma newsletter que ninguém se lembra de ter subscrito.
Tudo na mesma caixa de correio. Tudo no mesmo endereço.
Percebo a conveniência. É menos uma password para memorizar e menos uma conta para consultar. O problema é que, quando se mistura a vida pessoal com o trabalho, também se misturam os riscos. E esses não desaparecem com um clique no botão de eliminar.
O e-mail profissional é uma ferramenta da empresa. Está sujeito às políticas internas, a regras de segurança e a procedimentos de auditoria. Isso não significa que o empregador possa ler livremente todas as mensagens, mas também não significa que a conta seja um espaço privado, protegido de qualquer intervenção.
Ao fim de 30 anos a lidar com redes, servidores e utilizadores, aprendi uma coisa. As pequenas facilidades de hoje dão frequentemente origem aos problemas de amanhã. Eis sete razões para manter as contas separadas.
1. Está a facilitar o trabalho aos piratas informáticos
Imagine que utiliza o endereço nome@empresa.pt para criar uma conta numa rede social, num site de compras e num serviço de streaming. Cada registo acrescenta mais uma ligação entre a sua identidade, os seus hábitos e a empresa onde trabalha.
Para um atacante, esta informação vale dinheiro. Permite identificar o seu cargo, conhecer os serviços que utiliza e preparar mensagens que parecem legítimas.
Um e-mail que menciona uma reunião, uma factura pendente ou uma alteração na conta de um serviço que realmente utiliza tem muito mais hipóteses de enganar alguém do que uma mensagem genérica mal escrita.
É aqui que entra o spear-phishing, um ataque dirigido a uma pessoa ou organização específica. Quanto mais informação estiver disponível, mais convincente pode ser a tentativa de fraude. E, se o endereço profissional estiver exposto em bases de dados comerciais ou públicas, também pode começar a receber spam e mensagens fraudulentas que imitam fornecedores ou colegas.
O atacante não precisa de adivinhar tudo. Basta encontrar a peça certa para completar o puzzle.
2. Uma password repetida pode abrir a porta à empresa
Este é um clássico. E continua a acontecer.
Um utilizador cria uma conta num site qualquer e, para não ter de memorizar outra password, utiliza a mesma que já usa no trabalho. Passam meses. Um dia, o site sofre uma fuga de dados e as credenciais dos utilizadores acabam nas mãos erradas.
O atacante pega nessa lista e começa a testar as combinações de e-mail e password noutros serviços. É um método conhecido como credential stuffing.
Se a password for a mesma no serviço externo e na conta profissional, o problema deixou de estar limitado àquele site. Pode passar para o correio electrónico da empresa e, dependendo das permissões e das protecções existentes, chegar a outros sistemas.
Não é preciso uma falha sofisticada no firewall nem um servidor mal configurado. Basta uma password reutilizada.
Use passwords diferentes em todos os serviços e active a autenticação multifator, sobretudo nas contas profissionais. Se uma plataforma externa for comprometida, pelo menos não leva consigo as restantes.
3. O seu endereço profissional também representa a empresa
Um endereço de e-mail corporativo não é apenas uma forma de contacto. É também uma identificação profissional.
Quando o utiliza para compras pessoais, comentários em plataformas públicas ou registos em serviços sem qualquer relação com o trabalho, o nome da empresa pode ficar associado a essas actividades.
Isso não significa que a organização seja automaticamente responsável por tudo o que um trabalhador faz online. Mas a associação existe e pode criar situações desagradáveis, sobretudo quando o endereço identifica claramente o empregador.
Imagine que utiliza o e-mail profissional para criar uma conta num fórum e participa numa discussão polémica. Se alguém quiser identificar onde trabalha, não precisa de grande esforço.
A separação de contas não resolve todos os problemas de reputação, mas evita associações desnecessárias. A marca da empresa deve aparecer onde faz sentido, não em todos os cantos da Internet onde se pede um endereço de correio electrónico.
4. Os avisos importantes perdem-se no meio do ruído
Quem utiliza a caixa de correio profissional para tudo acaba por receber mensagens de todo o lado. Confirmações de compras, notificações de redes sociais, recibos, newsletters e alertas de serviços que raramente consulta.
Agora imagine que alguém tenta aceder indevidamente a uma das suas contas pessoais. O serviço envia um aviso de segurança para o endereço registado. O problema é que esse aviso chega à mesma caixa onde já existem dezenas de mensagens automáticas.
Pode passar despercebido.
Os atacantes também podem aproveitar a confusão para enviar mensagens fraudulentas em quantidade, na esperança de que uma delas seja aberta. Quando tudo parece urgente, torna-se mais difícil distinguir o que realmente exige atenção.
É como ter um sistema de monitorização que dispara alertas por tudo e por nada. Ao fim de algum tempo, ninguém lhes liga. Até ao dia em que aparece um alerta verdadeiro.
Uma caixa de entrada profissional deve servir para trabalhar. Se também for o destino de todas as notificações da sua vida pessoal, está a acrescentar ruído a uma ferramenta que já costuma ter demasiado.
5. O e-mail profissional não é uma caixa privada
Este ponto merece algum cuidado, porque há quem pense que a empresa pode ler tudo e há quem esteja convencido do contrário. Nenhuma das ideias, apresentada dessa forma, está correcta.
Em Portugal, a utilização do correio electrónico profissional para fins pessoais não é, por si só, automaticamente ilegal. Por outro lado, isso não significa que o empregador possa aceder indiscriminadamente às mensagens de um trabalhador.
O acesso ao correio electrónico deve respeitar os direitos de privacidade, as regras de protecção de dados e os princípios da necessidade e proporcionalidade. As políticas internas, a informação prestada aos trabalhadores e as circunstâncias concretas também contam.
Uma empresa pode estabelecer regras para a utilização do seu sistema de correio electrónico, incluindo limitações ao uso pessoal. Mas uma política interna não elimina, por si só, os direitos de privacidade dos trabalhadores.
Existem ainda situações em que a utilização do e-mail profissional pode ter consequências disciplinares. Por exemplo, o envio não autorizado de informação confidencial para uma conta pessoal pode constituir uma violação grave dos deveres profissionais, dependendo dos factos e das circunstâncias.
No fundo, a melhor maneira de evitar ambiguidades é não misturar as duas coisas. O e-mail da empresa deve ficar reservado ao trabalho, e as conversas pessoais devem permanecer numa conta pessoal.
6. Quando sair da empresa, pode perder o acesso a tudo
Há uma situação que costuma ser esquecida até ser tarde demais. O que acontece às contas pessoais quando deixa de trabalhar na empresa?
Se utilizou o endereço profissional para criar contas em lojas online, serviços de streaming, redes sociais ou plataformas de viagens, pode ter um problema quando o departamento de informática desactivar a conta.
De repente, deixa de receber os códigos de recuperação, os avisos de segurança e as mensagens necessárias para alterar passwords. Alguns serviços permitem mudar o endereço de e-mail associado à conta. Outros podem exigir procedimentos adicionais para recuperar o acesso.
A empresa não tem de manter a sua conta profissional activa para lhe facilitar a vida depois da saída. E a equipa de IT também não deve ser obrigada a resolver problemas pessoais que podiam ter sido evitados.
Se tem serviços pessoais associados ao e-mail do trabalho, comece a transferi-los para uma conta privada enquanto ainda tem acesso à caixa de entrada.
É um daqueles trabalhos aborrecidos que vale a pena fazer antes de se tornar urgente.
7. Está a criar problemas de segurança e de conformidade
A mistura de contas também pode criar dificuldades para a própria organização.
Quando os trabalhadores utilizam serviços externos não aprovados para guardar, enviar ou partilhar informação profissional, estão a contribuir para aquilo a que se chama shadow IT. São ferramentas e práticas que escapam ao controlo habitual da equipa de informática.
O problema agrava-se quando dados pessoais de clientes, documentos internos ou informação confidencial passam para contas particulares, serviços sem protecção adequada ou dispositivos que a empresa não consegue gerir.
O RGPD exige que as organizações adoptem medidas adequadas para proteger os dados pessoais que tratam. A utilização de contas pessoais não constitui automaticamente uma violação do regulamento, mas pode criar riscos sérios quando não existem controlos, regras e garantias de segurança apropriados.
Por isso, uma coisa é consultar uma mensagem pessoal durante a pausa para café. Outra, bastante diferente, é encaminhar mensagens com dados de clientes para uma conta externa ou guardar documentos da empresa num serviço pessoal de armazenamento.
São situações distintas e devem ser tratadas como tal.
Separe as contas antes que alguém o faça por si
A solução não exige uma ferramenta nova, uma subscrição adicional ou um projecto de transformação digital com seis meses de reuniões.
Crie ou utilize uma conta de e-mail pessoal para compras online, redes sociais, serviços de streaming e comunicações privadas. Reserve o endereço profissional para os assuntos relacionados com o trabalho. Utilize passwords diferentes e active a autenticação multifator nas duas contas.
Depois, faça uma pequena revisão. Percorra os serviços pessoais que utiliza e verifique quais estão associados ao endereço da empresa. Altere o endereço de recuperação, actualize os contactos e confirme que consegue recuperar cada conta sem depender do e-mail profissional.
Se trabalha numa empresa, consulte também as regras internas para a utilização do correio electrónico. Se gere uma equipa de IT, garanta que essas regras são claras, conhecidas e aplicadas de forma proporcional.
A verdade é que uma única caixa de entrada parece mais prática até ao dia em que deixa de o ser. Separar contas não elimina todos os riscos, mas reduz a exposição, protege a privacidade e evita problemas perfeitamente dispensáveis.
Na informática, o falhanço não deixa rasto, mas acrescenta experiência. O problema é que, quando falamos de uma conta comprometida ou de dados da empresa expostos, a experiência costuma sair cara.
Faça hoje uma verificação rápida. Se utiliza o e-mail do trabalho para serviços pessoais, comece a mudar os endereços associados. É uma tarefa simples, não demora muito e pode evitar uma dor de cabeça que ninguém precisa de ter.