💡 Ótima ideia que você apresentou, Filipe!
Seu canal seria o primeiro que conheço a oferecer a opção para definir dois passwords com níveis distintos de acesso. Algo, como uma masterkey, para raramente acessar as informações de cadastro, e outra para ações mais corriqueiras!
Se ideia engaja, vários sites poderiam manter as informações de cadastro do usuário fora da mesma seção de serviço.
Invasão de contas
A preocupação é justificável, mas é recomendável aguardar a solução do caso, pois esse incidente com o Gameplayrj foi relatado ontem (20). Também não entendi o que realmente ocorreu levando em conta os relatos prestados pelo youtuber aos seguidores. Seria mais uma vítima do YTStealer? Seguem mais três reportagens 1 2 3.
Não sabemos se é uma brecha da plataforma, mas se todos inscritos pedissem esclarecimentos, pelo menos uma nota poderia ser dada pelo gestor de segurança do Youtube! Afinal, fica a dúvida, e eles são os detentores da tecnologia e dos logs! Enquanto uma manifestação da plataforma não aparece, extraio algumas lições:
- O processo de recuperação de conta parece ser logicocrático, temos que saber lidar com isso por enquanto
- "Diversifique suas plataformas de divulgação!" Ter mais de um canal de comunicação com seu público pode ser útil caso um deles seja comprometido temporariamente, porém as credenciais de acesso não podem ficar todas com a mesma pessoa!
🔠 FOR DUMMIES
Ataques
Todas as vezes que tomo conhecimento pela mídia de ações hackers, procuro observar os efeitos do incidente ao longo do tempo e a partir de alguns pontos de vista:
Negativos:
- traz vários transtornos gerais para o usuário
- gera uma desconfiança sobre os critérios de segurança da plataforma
- causa considerável perda de tempo, monetização, seguidores
Parcialmente negativos:
- o canal pode ganhar uma certa evidência face à sua relevância
- traz à tona a (falsa) impressão de segurança no ambiente digital
- por mais seguros que sejam os protocolos, quando (maus) hábitos de uso imperam, comprometem o sigilo da informação
Positivos:
- o setor de relacionamento da plataforma é colocado à prova
- boas atitudes, por parte dos seguidores, são colocadas em prática
- busca por conhecimento para se protejer e como proceder num eventual incidente
- reforçar as formas de autenticação que adota
- procurar e fechar possíveis brechas passíveis de serem exploradas
- usar o 2FA em cada acesso (jamais pedir para lembrar o dispositivo, pois isso invalida o papel do 2FA)
- se possível, verificar como é o caminho de recuperação de uma conta
- os infratores serão encontrados, pois nada não há nada oculto que não venha a ser revelado
❄️️ Na curiosidade, sacrifique uma VM, mas não seu PC de produção : )
Senhas
Penso que MegaYoutubers deveriam utilizar, pelo menos, um smartcard, consultado à cada sessão além de fatores adicionais, revogando outras sessões simultâneas (junto com a ideia do agjunior, implementar também o geofenced login).
Segundo meu ponto de vista, acredito que passwords, passphrases ainda são pessoais e intransferíveis. Atitudes que vão em sentido contrário a esse princípio (como salvá-las no navegador, password managers) podem ferir cláusulas do contrato firmado entre as partes, mas esse assunto é bem polêmico e, talvez por isso, as plataformas também disponibilizam opções de 2FA.
De qualquer forma, as duas partes (plataforma e usuário) têm certo grau de responsabilidade num eventual incidente de segurança, ainda que a parte mais fraca dependa de uma infraestrutura que também pode ter vulnerabilidades.