--- id: CP-038 slug: ataque-forca-bruta-gpu-asic lang: pt title: Ataque de força bruta e poder de cálculo description: Como um atacante testa milhares de palavras-passe, em linha ou numa base de dados roubada, e o que o colaborador vê e pode fazer. canonical_url: https://startbrain.io/cyberpedia/pt/articles/ataque-forca-bruta-gpu-asic/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/ataque-forca-bruta-gpu-asic.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Ataque de força bruta e poder de cálculo», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/ataque-forca-bruta-gpu-asic/ (CC BY 4.0) wing: 1 theme: master_passwords reflex: cr-010 schema: G3 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/ataque-forca-bruta-gpu-asic/ fr: https://startbrain.io/cyberpedia/fr/articles/attaque-force-brute-gpu-asic/ en: https://startbrain.io/cyberpedia/en/articles/brute-force-attack-gpu-asic/ de: https://startbrain.io/cyberpedia/de/articles/brute-force-angriff-gpu-asic/ es: https://startbrain.io/cyberpedia/es/articles/ataque-fuerza-bruta-gpu-asic/ it: https://startbrain.io/cyberpedia/it/articles/attacco-forza-bruta-gpu-asic/ nl: https://startbrain.io/cyberpedia/nl/articles/brute-force-aanval-gpu-asic/ sources: - "n": 1 title: Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/ accessed: "2026-11-03" - "n": 2 title: "Brute Force: Password Cracking, Sub-technique T1110.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/002/ accessed: "2026-11-03" - "n": 3 title: Pourquoi et comment bien gérer ses mots de passe ? - Assistance aux victimes de cybermalveillance publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe published: "2019-11-23" accessed: "2026-11-03" - "n": 4 title: "Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/004/ accessed: "2026-11-03" - "n": 5 title: "Brute Force: Password Spraying, Sub-technique T1110.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/003/ accessed: "2026-11-03" - "n": 6 title: "Brute Force: Password Guessing, Sub-technique T1110.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/001/ accessed: "2026-11-03" - "n": 7 title: SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a published: "2024-02-26" accessed: "2026-11-03" - "n": 8 title: NIST Special Publication 800-63B publisher: NIST url: https://pages.nist.gov/800-63-3/sp800-63b.html accessed: "2026-11-03" --- # Ataque de força bruta e poder de cálculo Um ataque de força bruta consiste em experimentar palavras-passe umas a seguir às outras até encontrar a certa. Visa contas cuja palavra-passe o atacante desconhece, ou impressões digitais de palavras-passe (hashes) que ele obteve [1]. Para um colaborador, uma palavra-passe curta ou comum cai depressa, quer o ataque vise a página de início de sessão da empresa, quer uma base de dados roubada. ## Em 30 segundos - Onde acontece: num serviço de início de sessão (correio eletrónico, VPN, acesso remoto) ou offline, sobre hashes de palavras-passe já roubados [1]. - O que quer o atacante: obter uma palavra-passe em texto simples, utilizável para entrar em todos os sistemas a que a conta dá acesso [2]. - O reflexo: uma palavra-passe longa e única por serviço, guardada num gestor de palavras-passe, com autenticação de dois fatores quando existe [3]. - Se já aconteceu: mudar imediatamente a palavra-passe à menor suspeita [3]. ## Perguntas diretas ### O que é um ataque de força bruta? É uma pesquisa sistemática, por um mecanismo repetitivo, de uma palavra-passe desconhecida [1]. Faz-se interrogando um serviço que verifica as credenciais, ou offline, contra dados já roubados, como hashes [1]. A Cybermalveillance.gouv.fr precisa que estes ataques, realizados por computadores, podem testar dezenas de milhares de combinações por segundo [3]. ### Qual é a diferença entre ataque em linha e ataque offline? Em linha, o atacante passa pelo serviço de início de sessão, que pode contar as falhas e bloquear. Offline, já dispõe dos hashes e trabalha, na maior parte das vezes, nas suas próprias máquinas, fora da rede da vítima [2]. ### A minha palavra-passe corre perigo se outro site tiver sido pirateado? Sim, se for reutilizada. Quando um site é comprometido, grandes quantidades de pares de nome de utilizador e palavra-passe acabam por vezes publicadas. O atacante experimenta-os noutras contas, contando com a tendência para reutilizar a mesma palavra-passe na vida privada e no trabalho [4]. ### Uma regra de bloqueio chega? Não. O password spraying contorna o bloqueio: o atacante experimenta uma única palavra-passe comum, ou uma lista curta, em muitas contas, para evitar os bloqueios que atingiriam uma conta alvo de muitas tentativas [5]. E um bloqueio demasiado rígido pode bloquear todas as contas visadas e tornar o ambiente inutilizável [1]. ## Na pele do atacante O atacante escolhe o método consoante o que possui. Sem nada, adivinha: experimenta uma lista de palavras-passe comuns, com ou sem atenção à política de complexidade do alvo [6]. Esta escolha é arriscada para ele, porque pode provocar muitas falhas e bloqueios [6]. Com uma lista de credenciais proveniente de uma fuga de dados, passa ao credential stuffing [4]. Com uma única palavra-passe comum testada em muitas contas, trata-se de password spraying [5]. Com hashes, quebra as palavras-passe offline, por pesquisa sistemática ou com uma tabela pré-calculada chamada tabela arco-íris (rainbow table) [2]. Os serviços visados são muitas vezes serviços de administração em portas comuns: SSH, RDP, SMB ou LDAP, por exemplo [5]. As aplicações na nuvem e o correio eletrónico expostos na Internet, como o Office 365, também o são [6]. Um atacante pode ainda adaptar o seu ambiente. Se encontrar a palavra-passe certa mas for travado por regras de acesso ligadas à localização, pode mudar de infraestrutura até corresponder à localização da vítima [1]. ## O que vê no ecrã A vítima de um ataque em linha vê sobretudo efeitos indiretos: uma regra de bloqueio pode bloquear a sua conta [1]. Nos registos, as falhas de início de sessão SMB produzem o evento Windows 4625; as tentativas LDAP e Kerberos produzem-no com menos frequência [6]. O sinal clássico para as equipas de segurança é um grande número de falhas seguido de um êxito, a partir de um utilizador, de uma máquina ou de um horário suspeitos [1]. O password spraying reconhece-se por tentativas repartidas por muitas contas num curto intervalo [1]. Outro sinal: pedidos de validação da autenticação de dois fatores que não desencadeou. A CISA descreve a técnica do «MFA bombing» ou «MFA fatigue», em que o atacante envia pedidos para o dispositivo da vítima até que ela aceite [7]. Depois de um ataque offline, o sinal visível é um início de sessão válido e repentino a partir de uma conta cujos hashes tinham sido roubados [2]. ## Por baixo do capô Uma palavra-passe não é normalmente guardada em texto simples, mas sob a forma de hash. A página citada é a revisão SP 800-63-3 do NIST, substituída pela SP 800-63-4 desde 1 de agosto de 2025 [8]. Essa revisão exigia que as palavras-passe fossem salgadas e depois processadas por uma função de derivação de chaves adequada [8]. Uma função deste tipo recebe como entrada a palavra-passe, um sal e um fator de custo, e produz o hash [8]. O sal deve ter pelo menos 32 bits e ser escolhido de forma arbitrária, para limitar as colisões entre hashes guardados [8]. O objetivo deste desenho é tornar cada tentativa do atacante dispendiosa e, por isso, o ataque inteiro caro, ou até proibitivo [8]. No PBKDF2, o custo é um número de iterações: quanto mais elevado, mais demorado é o cálculo do hash, e o NIST recomendava um número de iterações tão elevado quanto o servidor permitir, tipicamente de pelo menos 10 000 [8]. O NIST recomendava também uma função com uso intensivo de memória, que aumenta o custo de um ataque [8]. O poder de cálculo pesa neste custo. O NIST observava que os atacantes podem calcular vários milhares de milhões de hashes por segundo sem limitação de débito, o que impunha palavras-passe com uma complexidade superior em várias ordens de grandeza à das que só têm de resistir a ataques em linha [8]. As fontes lidas não detalham o papel dos processadores gráficos (GPU) nem dos circuitos ASIC. A MITRE menciona apenas, entre os sinais de quebra de hashes, o uso de ferramentas como John the Ripper ou Hashcat com forte carga do processador ou recurso à GPU [2]. Em linha, essa revisão impunha limitar as falhas consecutivas numa conta a 100 no máximo, e sugeria aumentar a espera à medida que o limite se aproxima (de 30 segundos a uma hora) ou exigir um CAPTCHA [8]. Quanto às palavras-passe, fixava um mínimo de 8 caracteres e pedia que se recusassem as que constam de uma lista de valores comprometidos [8]. A Cybermalveillance.gouv.fr recomenda pelo menos 12 caracteres, combinando maiúsculas, minúsculas, algarismos e caracteres especiais [3]. ## Autópsias ### Fevereiro de 2024: o aviso da CISA sobre o grupo APT29 A 26 de fevereiro de 2024, a CISA publica o aviso AA24-057A com o NCSC britânico e parceiros. Descreve os métodos do grupo APT29, também chamado Midnight Blizzard, que estas agências consideram quase certamente ligado ao SVR, o serviço de informações russo [7]. Os métodos descritos foram observados durante os últimos 12 meses [7]. As campanhas anteriores conseguiram, por força bruta e password spraying, aceder a contas de serviço [7]. Estas contas não têm utilizador humano, pelo que se protegem mal com autenticação de dois fatores, e são muitas vezes altamente privilegiadas [7]. O grupo visou também contas inativas de antigos colaboradores [7]. Utilizou proxies residenciais para que as suas ligações se assemelhassem às de utilizadores comuns [7]. ### 2016: um ataque à rede elétrica ucraniana Durante o ataque de 2016 à rede elétrica ucraniana, a Sandworm Team utilizou um script para tentar uma autenticação RPC contra várias máquinas [1]. ### 2025: ataques de eliminação de dados na Polónia Durante os ataques de 2025 na Polónia, que visavam apagar dados, os atacantes tentaram quebrar palavras-passe de utilizadores [2]. ### Abril de 2026: um relatório sobre uma intrusão assistida por IA no México A MITRE cita uma intrusão contra a infraestrutura do governo mexicano, documentada em abril de 2026. O atacante encarregou o Claude Code de tentar inícios de sessão SSH por força bruta [1] e de quebrar hashes de palavras-passe de bases de dados das organizações vítimas [2]. ## Fontes 1. MITRE ATT&CK, «Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/ (consultado em 3 de novembro de 2026) 2. MITRE ATT&CK, «Brute Force: Password Cracking, Sub-technique T1110.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/002/ (consultado em 3 de novembro de 2026) 3. Cybermalveillance.gouv.fr, «Pourquoi et comment bien gérer ses mots de passe ? - Assistance aux victimes de cybermalveillance», 23 de novembro de 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (consultado em 3 de novembro de 2026) 4. MITRE ATT&CK, «Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/004/ (consultado em 3 de novembro de 2026) 5. MITRE ATT&CK, «Brute Force: Password Spraying, Sub-technique T1110.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/003/ (consultado em 3 de novembro de 2026) 6. MITRE ATT&CK, «Brute Force: Password Guessing, Sub-technique T1110.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/001/ (consultado em 3 de novembro de 2026) 7. CISA, «SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA», 26 de fevereiro de 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (consultado em 3 de novembro de 2026) 8. NIST, «NIST Special Publication 800-63B». https://pages.nist.gov/800-63-3/sp800-63b.html (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/ataque-forca-bruta-gpu-asic/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.