Cyberpediapor Brain
PTDEENESFRITNL

Ataque de força bruta e poder de cálculo

Como um atacante testa milhares de palavras-passe, em linha ou numa base de dados roubada, e o que o colaborador vê e pode fazer.

Em 30 segundos

Onde acontece
Num serviço de início de sessão (correio eletrónico, VPN, acesso remoto) ou offline, sobre hashes de palavras-passe já roubados1.
O que quer o atacante
Obter uma palavra-passe em texto simples, utilizável para entrar em todos os sistemas a que a conta dá acesso2.
O reflexo
Uma palavra-passe longa e única por serviço, guardada num gestor de palavras-passe, com autenticação de dois fatores quando existe3.
Se já aconteceu
Mudar imediatamente a palavra-passe à menor suspeita3.

Do que se trata

Um ataque de força bruta consiste em experimentar palavras-passe umas a seguir às outras até encontrar a certa. Visa contas cuja palavra-passe o atacante desconhece, ou impressões digitais de palavras-passe (hashes) que ele obteve1.

Para um colaborador, uma palavra-passe curta ou comum cai depressa, quer o ataque vise a página de início de sessão da empresa, quer uma base de dados roubada.

Perguntas diretas

O que é um ataque de força bruta?

É uma pesquisa sistemática, por um mecanismo repetitivo, de uma palavra-passe desconhecida1. Faz-se interrogando um serviço que verifica as credenciais, ou offline, contra dados já roubados, como hashes1. A Cybermalveillance.gouv.fr precisa que estes ataques, realizados por computadores, podem testar dezenas de milhares de combinações por segundo3.

Qual é a diferença entre ataque em linha e ataque offline?

Em linha, o atacante passa pelo serviço de início de sessão, que pode contar as falhas e bloquear. Offline, já dispõe dos hashes e trabalha, na maior parte das vezes, nas suas próprias máquinas, fora da rede da vítima2.

A minha palavra-passe corre perigo se outro site tiver sido pirateado?

Sim, se for reutilizada. Quando um site é comprometido, grandes quantidades de pares de nome de utilizador e palavra-passe acabam por vezes publicadas. O atacante experimenta-os noutras contas, contando com a tendência para reutilizar a mesma palavra-passe na vida privada e no trabalho4.

Uma regra de bloqueio chega?

Não. O password spraying contorna o bloqueio: o atacante experimenta uma única palavra-passe comum, ou uma lista curta, em muitas contas, para evitar os bloqueios que atingiriam uma conta alvo de muitas tentativas5. E um bloqueio demasiado rígido pode bloquear todas as contas visadas e tornar o ambiente inutilizável1.

1Na pele do atacante1 min

O atacante escolhe o método consoante o que possui. Sem nada, adivinha: experimenta uma lista de palavras-passe comuns, com ou sem atenção à política de complexidade do alvo6. Esta escolha é arriscada para ele, porque pode provocar muitas falhas e bloqueios6.

Com uma lista de credenciais proveniente de uma fuga de dados, passa ao credential stuffing4. Com uma única palavra-passe comum testada em muitas contas, trata-se de password spraying5. Com hashes, quebra as palavras-passe offline, por pesquisa sistemática ou com uma tabela pré-calculada chamada tabela arco-íris (rainbow table)2.

Os serviços visados são muitas vezes serviços de administração em portas comuns: SSH, RDP, SMB ou LDAP, por exemplo5. As aplicações na nuvem e o correio eletrónico expostos na Internet, como o Office 365, também o são6.

Um atacante pode ainda adaptar o seu ambiente. Se encontrar a palavra-passe certa mas for travado por regras de acesso ligadas à localização, pode mudar de infraestrutura até corresponder à localização da vítima1.

2O que vê no ecrã1 min

A vítima de um ataque em linha vê sobretudo efeitos indiretos: uma regra de bloqueio pode bloquear a sua conta1. Nos registos, as falhas de início de sessão SMB produzem o evento Windows 4625; as tentativas LDAP e Kerberos produzem-no com menos frequência6.

O sinal clássico para as equipas de segurança é um grande número de falhas seguido de um êxito, a partir de um utilizador, de uma máquina ou de um horário suspeitos1. O password spraying reconhece-se por tentativas repartidas por muitas contas num curto intervalo1.

Outro sinal: pedidos de validação da autenticação de dois fatores que não desencadeou. A CISA descreve a técnica do «MFA bombing» ou «MFA fatigue», em que o atacante envia pedidos para o dispositivo da vítima até que ela aceite7.

Depois de um ataque offline, o sinal visível é um início de sessão válido e repentino a partir de uma conta cujos hashes tinham sido roubados2.

3Por baixo do capôEquipas de TI2 min

Uma palavra-passe não é normalmente guardada em texto simples, mas sob a forma de hash. A página citada é a revisão SP 800-63-3 do NIST, substituída pela SP 800-63-4 desde 1 de agosto de 20258. Essa revisão exigia que as palavras-passe fossem salgadas e depois processadas por uma função de derivação de chaves adequada8. Uma função deste tipo recebe como entrada a palavra-passe, um sal e um fator de custo, e produz o hash8. O sal deve ter pelo menos 32 bits e ser escolhido de forma arbitrária, para limitar as colisões entre hashes guardados8.

O objetivo deste desenho é tornar cada tentativa do atacante dispendiosa e, por isso, o ataque inteiro caro, ou até proibitivo8. No PBKDF2, o custo é um número de iterações: quanto mais elevado, mais demorado é o cálculo do hash, e o NIST recomendava um número de iterações tão elevado quanto o servidor permitir, tipicamente de pelo menos 10 0008. O NIST recomendava também uma função com uso intensivo de memória, que aumenta o custo de um ataque8.

O poder de cálculo pesa neste custo. O NIST observava que os atacantes podem calcular vários milhares de milhões de hashes por segundo sem limitação de débito, o que impunha palavras-passe com uma complexidade superior em várias ordens de grandeza à das que só têm de resistir a ataques em linha8. As fontes lidas não detalham o papel dos processadores gráficos (GPU) nem dos circuitos ASIC. A MITRE menciona apenas, entre os sinais de quebra de hashes, o uso de ferramentas como John the Ripper ou Hashcat com forte carga do processador ou recurso à GPU2.

Em linha, essa revisão impunha limitar as falhas consecutivas numa conta a 100 no máximo, e sugeria aumentar a espera à medida que o limite se aproxima (de 30 segundos a uma hora) ou exigir um CAPTCHA8. Quanto às palavras-passe, fixava um mínimo de 8 caracteres e pedia que se recusassem as que constam de uma lista de valores comprometidos8. A Cybermalveillance.gouv.fr recomenda pelo menos 12 caracteres, combinando maiúsculas, minúsculas, algarismos e caracteres especiais3.

4AutópsiasCasos reais2 min

Fevereiro de 2024: o aviso da CISA sobre o grupo APT29

A 26 de fevereiro de 2024, a CISA publica o aviso AA24-057A com o NCSC britânico e parceiros. Descreve os métodos do grupo APT29, também chamado Midnight Blizzard, que estas agências consideram quase certamente ligado ao SVR, o serviço de informações russo7. Os métodos descritos foram observados durante os últimos 12 meses7.

As campanhas anteriores conseguiram, por força bruta e password spraying, aceder a contas de serviço7. Estas contas não têm utilizador humano, pelo que se protegem mal com autenticação de dois fatores, e são muitas vezes altamente privilegiadas7. O grupo visou também contas inativas de antigos colaboradores7. Utilizou proxies residenciais para que as suas ligações se assemelhassem às de utilizadores comuns7.

2016: um ataque à rede elétrica ucraniana

Durante o ataque de 2016 à rede elétrica ucraniana, a Sandworm Team utilizou um script para tentar uma autenticação RPC contra várias máquinas1.

2025: ataques de eliminação de dados na Polónia

Durante os ataques de 2025 na Polónia, que visavam apagar dados, os atacantes tentaram quebrar palavras-passe de utilizadores2.

Abril de 2026: um relatório sobre uma intrusão assistida por IA no México

A MITRE cita uma intrusão contra a infraestrutura do governo mexicano, documentada em abril de 2026. O atacante encarregou o Claude Code de tentar inícios de sessão SSH por força bruta1 e de quebrar hashes de palavras-passe de bases de dados das organizações vítimas2.

Ficha

Identificador
CP-038
Ala
1. Ataques e técnicas
Competência Brain
Dominar as palavras-passe (master_passwords)
Reflexo Brain
cr-010
Esquema
G3 · Corte anatómico
Idiomas
de, en, es, fr, it, nl, pt
Fontes
8 fontes verificadas em 3 de novembro de 2026
Fontes8 fontes
  1. MITRE ATT&CK, «Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/ (consultado em 3 de novembro de 2026)
  2. MITRE ATT&CK, «Brute Force: Password Cracking, Sub-technique T1110.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/002/ (consultado em 3 de novembro de 2026)
  3. Cybermalveillance.gouv.fr, «Pourquoi et comment bien gérer ses mots de passe ? - Assistance aux victimes de cybermalveillance», 23 de novembro de 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (consultado em 3 de novembro de 2026)
  4. MITRE ATT&CK, «Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/004/ (consultado em 3 de novembro de 2026)
  5. MITRE ATT&CK, «Brute Force: Password Spraying, Sub-technique T1110.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/003/ (consultado em 3 de novembro de 2026)
  6. MITRE ATT&CK, «Brute Force: Password Guessing, Sub-technique T1110.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/001/ (consultado em 3 de novembro de 2026)
  7. CISA, «SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA», 26 de fevereiro de 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (consultado em 3 de novembro de 2026)
  8. NIST, «NIST Special Publication 800-63B». https://pages.nist.gov/800-63-3/sp800-63b.html (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «Ataque de força bruta e poder de cálculo», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/ataque-forca-bruta-gpu-asic/

BibTeX 
@misc{brain_cp038_pt_2026,
  author = {Brain},
  title = {Ataque de força bruta e poder de cálculo},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/ataque-forca-bruta-gpu-asic/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0