Senha no WhatsApp é incidente: o modelo de cofre da agência

O grupo se chama “BM clientes” ou “acessos 2024” ou “não apagar”. Alguém cola a senha da conta. Alguém manda o print do autenticador. Alguém pergunta “qual é a do Google mesmo?”. O coordenador responde em trinta segundos e a campanha sai. Esse meio minuto é o incidente. Senha no WhatsApp não é atalho cultural. É cópia do segredo pra todo mundo que já passou pelo grupo — inclusive quem saiu, inclusive o backup do celular, inclusive o print na galeria.

A agência séria de publicidade trata o chat como canal de coordenação. Não como cofre. Este texto descreve o modelo que substitui o grupo: senha e 2FA no browser da operação, papel por pessoa, revogação no mesmo dia. Sem romance de segurança. Com o que a mesa aguenta na sexta.

Por que o grupo vence o roteiro

Porque o procedimento pede três cliques a mais. O grupo pede colar. Na hora do lance, o colar ganha. Sempre.

O grupo também parece privado. Não é. WhatsApp é aparelho pessoal, backup em nuvem, troca de número, print, encaminhamento, “deixa eu mandar no privado pro freelancer”. Cada um desses é uma cópia. A agência não lista as cópias. Não revoga as cópias. Não sabe que existem.

Desligamento no modelo grupo é teatro: remover o número e fingir que a galeria apagou. Não apagou. O detalhe do rito de saída está em offboarding do gestor de tráfego. Aqui cabe a causa: se o segredo passou no chat, a revogação verdadeira é rotacionar. Rotacionar dói. O grupo ensinou a adiar a dor.

2FA no mesmo chat completa o acidente. Quem tem a senha tem o código. Isso não é dois fatores. É um fator fotografado duas vezes.

O que o incidente custa de verdade

Não é “risco teórico de hacker”. São custos que a mesa já pagou e não nomeou.

Operador que saiu e ainda entra. Cliente que pede histórico de quem viu. Freelancer que levou três BMs porque o grupo misturava. Plantão que manda a senha pro número novo do estagiário. Conta que cai e o time reusa o mesmo print em “conta nova”. Jurídico que pergunta a base de acesso e a resposta é um print de 2023.

Há custo de tempo: a cada saída, a discussão “será que troca tudo?”. Há custo de confiança: o cliente descobre o grupo. Há custo de grafo: login feito no celular pessoal com a senha do grupo, fora do perfil isolado.

Nenhum desses custos aparece no ROAS. Todos aparecem no trimestre em que duas pessoas saem e um cliente pede auditoria.

O modelo de cofre que a mesa segue

Cofre da operação não é o 1Password pessoal do sócio. É o lugar onde a identidade de ads guarda senha e segundo fator, com assento por pessoa, papel e revogação.

O operador abre o perfil. O perfil já tem o segredo. Ele publica. Ele não copia. Ele não manda no chat. Ele sai. O admin recupera. O de ver nem vê o campo.

Lauth Pass faz exatamente esse recorte: senhas e 2FA no browser, não no WhatsApp. Não é extensão genérica colada em dez perfis. É o segredo dentro do ambiente que já isola o anunciante. Dois cliques a mais na primeira semana. Zero print no grupo na décima.

Regras que o cofre exige pra não virar Notion com extra:

Assento por pessoa. Login compartilhado no cofre é grupo com UI bonita.

Papel. Quem vê, quem preenche, quem revoga. Operar não exporta o cofre.

Revogação no dia da saída. Sem assento, sem próximo login. Sem depender de apagar print.

2FA no mesmo cofre, não no SMS do grupo. O detalhe de app, SMS e hardware está em 2FA compartilhado vs cofre.

Proibição explícita no roteiro: senha não se cola no chat. 2FA não se fotografia. Cliente que mandar no WhatsApp gera ticket de incidente, não “obrigado”.

Cliente, entrada e o PDF que vira grupo

O cliente adora mandar senha no WhatsApp. É o canal dele. A agência não precisa imitar.

No kickoff, o comercial e o ops dizem o canal: convite por e-mail na BM, ou preenchimento no cofre, ou reunião curta em que o admin registra. PDF no Drive com senha em texto é grupo com logo. Encaminhar o PDF pro time é o incidente com carimbo.

Se o cliente recusa convite e insiste em senha única, o contrato registra quem é dono da identidade. A agência guarda no cofre, não no grupo. Rotaciona quando alguém sai. Assume que o cliente também tem cópias. Não promete o que o cliente já vazou.

Identidade do cliente (e-mail dele, BM dele) e identidade da agência (parceiro, MCC própria) não misturam no mesmo print. Misturar é o hábito que o grupo ensinou.

2FA no chat é o pior capítulo

Gestor viaja. Código SMS cai no grupo. Cinco pessoas veem. Uma encaminha. O número é o pessoal dele. Ele sai da empresa. O número continua. O grupo continua com o histórico.

App autenticador no celular pessoal sem backup institucional é o mesmo capítulo com outra capa. Hardware key no bolso do herói também, se só existe uma.

O modelo: segundo fator no cofre do browser, ou hardware key da empresa com backup, ou app em dispositivo controlado. Código de recuperação no envelope do ops, não no chat. Plantão que precisa do 2FA abre o perfil. Não pede “manda o número”.

SMS como único fator de conta de cliente é frágil mesmo fora do WhatsApp. SIM swap, número antigo, operadora. A mesa pode viver com SMS um tempo. Não pode viver com SMS no grupo.

Migração sem big bang

O grupo antigo não some na segunda. Some de fome.

Semana um: proíba senha nova no chat. Admin cola no cofre. Time abre pelo perfil. Quem colar no grupo recebe o rito, não a humilhação pública: apaga, move, registra.

Semana dois: identidades de produção do squad mais disciplinado. Não as 40 contas. As sete que publicam esta semana.

Semana três: 2FA das mesmas sete. Se o autenticador está no celular do gestor, transfira no horário comercial, não no plantão.

Quando alguém sair: rotacione o que essa pessoa viu no grupo. É caro. É o passivo. Não rotacionar é escolher o incidente tardio.

Quando um cliente novo entrar: cofre primeiro. Grupo nunca. A entrada do cliente é o único momento em que o hábito novo não luta com o velho.

Não crie um segundo grupo “só 2FA”. É o mesmo incidente com outro título.

Freelancer, estagiário e o encaminhamento “só desta vez”

O grupo interno já é ruim. O encaminhamento pra fora é pior. Freelancer de criativo não precisa da BM. Precisa do asset. Se alguém manda a senha “pra ele ver o anúncio no ar”, o blast radius saiu da folha de pagamento. Desligamento de PJ não apaga o celular dele.

Estagiário no grupo de acessos aprende o modelo errado na primeira semana. Depois defende o modelo porque é o único que viu. Treino é cofre. O grupo não é entrada. É o incidente com cara de cultura.

Cliente no grupo interno de senhas: agora o anunciante tem o print de outros clientes se o grupo misturava. Isso não é só risco de um CNPJ. É risco de carteira. Grupos “todos os acessos” são o anti-inventário.

Regra: ninguém de fora do assento do cofre recebe segredo. Preview, link de anúncio, captura recortada. Não a senha. Não o 2FA. Não o QR.

Auditoria que encontra o grupo — o que fazer na hora

O jurídico ou o cliente pede como o time acessa. Alguém admite o WhatsApp. Não destrua o grupo no pânico antes de listar o que passou nele. A lista é o passivo. Sem lista, a rotação é chute.

Na hora: pare senha nova. Exporte a lista de identidades mencionadas, se ainda existir histórico. Mova produção pro cofre. Rotacione o que tiver certeza de vazamento. Rotacione o resto no calendário de saídas e de incidentes, não num big bang de sexta que derruba o 2FA de trinta contas.

Comunique o cliente só o recorte dele, com fato: canal inadequado, migração, o que já rotacionou. Não envie o print do grupo. O print é prova do erro e novo vazamento.

E-mail compartilhado, Drive e os irmãos do WhatsApp

O grupo não é o único chat. midia@agencia com a senha no rodapé da planilha é o mesmo incidente. Pasta do Drive “acessos” com permissão “qualquer link” é o mesmo incidente com URL. Notion sem controle de página. Card no Trello. Mensagem no Discord do plantão.

O teste é único: se a pessoa sai e ainda abre o segredo, o canal é cofre falso. Cofre de verdade perde o assento e o próximo login falha. Drive com link não falha. WhatsApp não falha. E-mail compartilhado não falha até alguém trocar a senha — e aí o time inteiro para, o que prova que era senha mestra.

Trate esses irmãos no mesmo roteiro. Um rito. Vários esconderijos. A migração cobre todos, ou o hábito foge pro esconderijo que você esqueceu.

Custo da rotação versus custo do grupo

Rotacionar dói. Reunião, 2FA, cliente no caminho, campanha no ar. O grupo existe porque alguém evitou essa dor no passado. A dor não some. Acumula. Cada pessoa que entra é uma cópia. Cada saída é uma rotação devida. Cinco saídas sem rotação são cinco cópias vivas.

O cofre inverte o caixa: o custo está no assento e no hábito novo. A saída custa um clique. O trimestre deixa de pagar a dívida com juros de incidente.

Se o financeiro perguntar por que migrar agora, a resposta não é slide de cybersecurity. É a próxima demissão. A demissão vai acontecer. O grupo vai exigir rotação em massa. O cofre exige remoção de assento. Escolha o custo que a mesa aguenta no dia ruim, não no dia do demo.

O teste de migração, no meio do caminho: conte quantas senhas novas ainda caem no chat. Se o número não foi a zero em duas semanas, o procedimento não pegou. Alguém ainda é o atalho. O atalho tem nome. O rito fala com o nome, no privado, sem plateia. Plateia ensina a esconder o próximo print.

O que o cofre não resolve

Não impede política de anúncio. Não impede cartão recusado. Não impede o cliente de mandar a senha de novo. Não isola fingerprint. Não substitui perfil separado por anunciante.

Resolve o eixo de segredo compartilhado. Só ele. Quem vender cofre como antiban está mentindo. Quem recusar cofre porque “não é antiban” está misturando eixos pra manter o grupo.

O teste de pronto é simples. Peça ao gestor que publique amanhã sem abrir o WhatsApp de acessos. Se ele conseguir, o modelo pegou. Se ele pedir o print, o grupo ainda é o sistema. O sistema errado não vira certo com mais um aviso no roteiro. Vira certo quando o próximo login já nasce no cofre.