O acesso remoto

A maior parte dos chamados é resolvida a distância, por uma ferramenta de acesso remoto ou pela Área de Trabalho Remota do Windows. O mesmo caminho que leva o técnico até o servidor da loja também é um dos mais usados em invasões, e a forma de liberar, conduzir e encerrar o acesso decide o risco.

O acesso assistido

As ferramentas de acesso remoto mostram a tela de um computador em outro pela internet. No acesso assistido, o usuário abre o programa e informa ao técnico um código de identificação e uma senha temporária, ou aceita o pedido de conexão, e a conexão passa pelos servidores do fabricante, sem abrir portas no roteador da loja. O usuário acompanha tudo o que acontece na tela, e o fechamento do programa encerra o acesso.

O Windows traz uma ferramenta desse tipo, a Assistência Rápida. Quem ajuda entra com uma conta Microsoft e gera um código de segurança com validade limitada, que o usuário digita em Obter ajuda, e o controle da tela depende da autorização do usuário. A conexão usa a porta 443, a mesma dos sites seguros.

O acesso não assistido

O acesso não assistido deixa a ferramenta instalada como serviço, com uma senha fixa, e permite a conexão sem ninguém diante do computador. Ele é útil no servidor da loja fora do horário de atendimento, mas uma senha fraca, repetida em várias lojas ou conhecida por ex-funcionários deixa o computador aberto a qualquer um. Uma senha longa e única para cada computador, a verificação em duas etapas, quando a ferramenta oferece, e uma lista de quem pode se conectar reduzem esse risco.

Ferramentas instaladas e esquecidas, ou instaladas sem autorização, também são portas de entrada. A lista das ferramentas autorizadas em cada computador ajuda a perceber uma que não deveria estar ali.

A Área de Trabalho Remota

A Área de Trabalho Remota usa o protocolo RDP, na porta 3389, e abre uma sessão no computador de destino. Algumas regras definem o uso:

• Edição: o computador que recebe a conexão precisa de uma edição Pro ou Enterprise do Windows, ou do Windows Server, e o Windows Home só se conecta a outros computadores;
• Sessões nos Windows 10 e 11: só uma pessoa usa o computador por vez, e a conexão remota tira a sessão de quem está diante da tela;
• Sessões no Windows Server: duas conexões simultâneas para administração, e mais sessões pedem a função de Serviços de Área de Trabalho Remota, que funciona por 120 dias sem servidor de licenças e depois exige licenças próprias;
• Quem pode se conectar: os administradores e os usuários incluídos na lista de acesso remoto do computador;
• Autenticação no nível da rede: a NLA exige a autenticação antes da criação da sessão e reduz o risco de acesso indevido.

Alguns comandos ajudam no atendimento:

• mstsc /v:servidor-loja: abre a conexão com o servidor da loja;
• mstsc /v:servidor-loja /admin: conecta a uma sessão de administração do servidor;
• query user: lista as sessões do computador, com o usuário, o número da sessão, o estado e o tempo ocioso;
• query user /server:servidor-loja: lista as sessões do servidor da loja a partir de outro computador;
• logoff 2: encerra a sessão de número 2 e fecha todos os programas dela, com a perda do que não foi salvo.

A porta 3389 aberta na internet

Encaminhar a porta 3389 do roteador para o servidor da loja expõe a Área de Trabalho Remota a varreduras automáticas, que testam senhas comuns o dia inteiro, e serviços remotos expostos e mal protegidos são uma das formas frequentes de entrada de grupos de ransomware. A troca da porta padrão esconde o serviço de parte das varreduras, mas não substitui a proteção. As alternativas mais seguras são a VPN, que coloca o técnico dentro da rede da loja antes da conexão, e as ferramentas de acesso assistido, que dispensam portas abertas.

O log de Segurança do Visualizador de Eventos mostra as tentativas:

• Evento 4624: um logon bem-sucedido, e o tipo de logon 10 indica uma conexão pela Área de Trabalho Remota;
• Evento 4625: uma falha de logon, e uma sequência de falhas com nomes de usuário variados, como administrador, admin e teste, indica tentativas automáticas de senha.

A política de bloqueio de conta, que bloqueia a conta depois de um número de senhas erradas, freia essas tentativas, e as linhas de base de segurança da Microsoft recomendam o limite de 10 tentativas.

O atendimento remoto

Alguns cuidados tornam o atendimento remoto mais seguro:

• a identificação do técnico e a autorização do usuário antes de assumir o controle;
• o aviso antes de mexer no mouse do caixa 01, para não interromper uma venda;
• o acesso restrito ao que o chamado pede, sem abrir pastas, e-mails ou arquivos pessoais;
• a transferência de arquivos só quando necessária, com os dados pessoais protegidos;
• o encerramento da sessão e a retirada dos acessos temporários no fim;
• o registro no chamado do horário, do computador acessado e do que foi feito.

Os golpes do falso suporte usam o mesmo caminho: alguém liga ou envia uma mensagem em nome do suporte, cria urgência e pede a instalação de uma ferramenta de acesso remoto. A orientação da Microsoft é liberar o acesso só quando o próprio usuário procurou o suporte por um canal conhecido, e um retorno pelo telefone oficial do suporte confirma um contato inesperado.