--- id: CP-036 slug: credential-stuffing-reutilizacao-credenciais lang: pt title: Credential stuffing description: Palavras-passe roubadas numa fuga de dados são testadas por robôs noutros serviços. Como o ataque funciona e como se proteger. canonical_url: https://startbrain.io/cyberpedia/pt/articles/credential-stuffing-reutilizacao-credenciais/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/credential-stuffing-reutilizacao-credenciais.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Credential stuffing», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/credential-stuffing-reutilizacao-credenciais/ (CC BY 4.0) wing: 1 theme: master_passwords reflex: cr-008 schema: G3 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/credential-stuffing-reutilizacao-credenciais/ fr: https://startbrain.io/cyberpedia/fr/articles/credential-stuffing-reinjection-identifiants/ en: https://startbrain.io/cyberpedia/en/articles/credential-stuffing-leaked-passwords/ de: https://startbrain.io/cyberpedia/de/articles/credential-stuffing-wiederverwendete-zugangsdaten/ es: https://startbrain.io/cyberpedia/es/articles/credential-stuffing-reutilizacion-credenciales/ it: https://startbrain.io/cyberpedia/it/articles/credential-stuffing-reinserimento-credenziali/ nl: https://startbrain.io/cyberpedia/nl/articles/credential-stuffing-hergebruikte-inloggegevens/ sources: - "n": 1 title: Credential stuffing | OWASP Foundation publisher: OWASP url: https://community.owasp.org/attacks/Credential_stuffing accessed: "2026-11-03" - "n": 2 title: "Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/004/ accessed: "2026-11-03" - "n": 3 title: Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/ accessed: "2026-11-03" - "n": 4 title: Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/ accessed: "2026-11-03" - "n": 5 title: Pourquoi et comment bien gérer ses mots de passe ? publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe published: "2019-11-23" accessed: "2026-11-03" - "n": 6 title: Les conseils de la CNIL pour un bon mot de passe publisher: CNIL url: https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe published: "2017-01-26" accessed: "2026-11-03" - "n": 7 title: Choosing and Protecting Passwords publisher: CISA url: https://www.cisa.gov/news-events/news/choosing-and-protecting-passwords published: "2009-05-21" accessed: "2026-11-03" - "n": 8 title: Password administration for system owners publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/passwords published: "2018-11-19" accessed: "2026-11-03" --- # Credential stuffing O credential stuffing, em português reutilização de credenciais, consiste em pegar em pares de nome de utilizador e palavra-passe roubados numa fuga de dados e experimentá-los automaticamente noutros sites. A OWASP descreve-o como a injeção automatizada desses pares em formulários de início de sessão, para aceder de forma fraudulenta a contas [1]. O colaborador não precisa de cometer qualquer erro para ser afetado: a sua conta não foi atacada diretamente. Basta que uma palavra-passe usada num site sem importância sirva também noutro lado, por exemplo no correio eletrónico profissional. ## Em 30 segundos - Onde acontece: em qualquer serviço com um formulário de início de sessão, incluindo o correio eletrónico, as aplicações em linha da empresa e os portais de autenticação única [1][2]. - O que o atacante quer: encontrar, entre pares de credenciais roubados, os que abrem uma conta real, contando com a reutilização de palavras-passe [1][2]. - O reflexo: uma palavra-passe diferente para cada serviço, guardada num gestor de palavras-passe, com autenticação de dois fatores quando existe [5][6]. - Se já aconteceu: alterar sem demora a palavra-passe em causa [5]. ## Perguntas diretas ### Qual é a diferença em relação à força bruta? A força bruta experimenta várias palavras-passe contra uma ou várias contas: o atacante adivinha. O credential stuffing usa pares já conhecidos, provenientes de uma fuga, contra outros sites [1]. A OWASP classifica-o como um subconjunto da força bruta, e a MITRE faz dele a subtécnica T1110.004 da técnica «Brute Force» [1][2]. ### Porque funciona? Porque muita gente reutiliza a mesma palavra-passe e o mesmo nome de utilizador ou endereço de correio eletrónico. Quando esses dados são expostos, submetê-los a dezenas ou centenas de outros sites pode bastar para comprometer contas [1]. A MITRE acrescenta que a reutilização afeta tanto as contas pessoais como as profissionais [2]. ### A minha palavra-passe é longa e complexa: estou a salvo? Não, se for usada em vários sítios. Segundo a CISA, reutilizar uma palavra-passe, mesmo robusta, põe as contas em risco tanto como uma palavra-passe fraca [7]. O comprimento protege contra a tentativa de adivinhação, não contra a reutilização de uma palavra-passe já roubada. ### Uma palavra-passe reutilizada é a única porta de entrada? Não. A OWASP assinala que os dados de uma fuga também servem para repor palavras-passe, sobretudo em contas de empresa: as perguntas de segurança, os endereços de recuperação ou outras informações pessoais contidas na fuga permitem então tomar o controlo da conta mesmo sem reutilização [1]. ### Uma conta tomada pode servir para outra coisa? Sim. Uma conta válida permite entrar na rede sem software malicioso, o que torna a presença do atacante mais difícil de detetar [4]. ## Na pele do atacante O atacante começa por obter credenciais: fuga de um site, phishing ou site de depósito de palavras-passe [1]. Não precisa de ter algo contra uma pessoa em particular. A CISA nota que um ataque muitas vezes não visa uma conta concreta, mas o acesso que ela dá para lançar um ataque mais vasto [7]. Entrega depois esses pares a ferramentas automáticas, que os experimentam em muitos sites: redes sociais, lojas em linha, aplicações web [1]. Um início de sessão bem-sucedido indica-lhe que tem credenciais válidas [1]. Falta tirar partido delas. A OWASP cita quatro seguimentos possíveis: esvaziar as contas do valor armazenado ou fazer compras, ler informações sensíveis (números de cartão, mensagens privadas, documentos), enviar mensagens de phishing ou spam a partir da conta, revender as credenciais válidas a outros atacantes [1]. A MITRE sublinha que este método pode provocar muitas falhas de autenticação e bloqueios de contas, consoante a política da organização visada [2]. Os defensores, por seu lado, podem bloquear os pedidos de início de sessão arriscados, como os que passam por serviços de anonimização ou por proxies [2]. ## O que vê no ecrã A vítima raramente vê o ataque em si. Vê os seus efeitos, que variam consoante o que o atacante decidiu fazer com a conta. - Uma mensagem do serviço a assinalar um início de sessão a partir de um dispositivo desconhecido. A CNIL descreve este caso: o site avisa por SMS ou por correio eletrónico, e a pessoa pode autorizar ou recusar o acesso [6]. - Uma conta bloqueada, após muitas falhas de início de sessão. A MITRE menciona estes bloqueios como uma consequência possível [2]. - Compras, mensagens ou documentos afetados que o titular não fez nem enviou, uma vez que são as utilizações descritas pela OWASP [1]. - Um correio eletrónico de reposição de palavra-passe que ninguém pediu. A Cybermalveillance.gouv.fr explica porque é que o correio eletrónico é visado: recebe as ligações de reposição das outras contas, e quem o pirateia pode usar a função «palavra-passe esquecida» para tomar o controlo, por exemplo, de uma conta bancária [5]. Nenhuma destas situações prova, por si só, um credential stuffing. Todas justificam alterar a palavra-passe e avisar o serviço informático se a conta for profissional. ## Por baixo do capô A OWASP ilustra o mecanismo com um esquema: a base de dados de um site, acme.com, é comprometida. O atacante experimenta essas credenciais em três outros sites. Constata que um utilizador, «spongebob», reutiliza a palavra-passe em dois sites e que uma utilizadora, «sally», a reutiliza num site: três contas ficam abertas [1]. Os alvos não se limitam aos sites do grande público. A MITRE cita serviços de administração em portas comuns (SSH, RDP, SMB, LDAP, bases de dados), mas também a autenticação única, as aplicações na nuvem assentes em protocolos federados e os serviços de correio expostos, como o Office 365 [2]. Quanto à deteção, a MITRE descreve sinais típicos: muitas falhas com pares diferentes a partir do mesmo endereço IP em pouco tempo, ou falhas em aplicações na nuvem com pares provenientes de domínios sem relação entre si [2]. Outro ponto técnico: quando um atacante conhece a palavra-passe certa mas esbarra numa regra de acesso baseada no local, pode mudar de infraestrutura para corresponder à localização da vítima e contornar a regra [3]. As medidas de proteção do lado da organização, segundo a MITRE: bloquear as contas após um certo número de falhas (uma regra demasiado rígida pode bloquear contas legítimas), impor a autenticação multifator, repor de forma proativa as contas conhecidas em fugas [2]. A OWASP designa a autenticação multifator como a principal contramedida [1]. ## O que faz - Uma palavra-passe diferente por serviço. Assim, em caso de roubo, só o serviço em causa fica vulnerável [5]. A CNIL pede uma palavra-passe própria e única para cada conta sensível (banco, correio eletrónico, rede social) para evitar pirataria em cascata [6]. - Um gestor de palavras-passe, que memoriza por si palavras-passe longas e todas diferentes [6]. A Cybermalveillance.gouv.fr cita o KeePassXC, certificado pela ANSSI na versão 2.7.9 [5]. A palavra-passe principal do gestor deve ser, ela própria, sólida [7]. - A autenticação de dois fatores quando o serviço a propõe: além da palavra-passe, uma confirmação por código, aplicação, chave ou biometria faz com que só o próprio autorize um novo dispositivo [5]. - Uma alteração imediata à menor suspeita, ou assim que se saiba que uma empresa onde se tem conta foi pirateada, sem esperar para saber se é verdade [5]. - Uma palavra-passe de correio eletrónico particularmente robusta, já que abre a reposição de muitas outras contas [5]. O NCSC britânico indica ainda, numa notícia de 23 de abril de 2026, que as chaves de acesso (passkeys) são um método de início de sessão mais seguro e mais simples, e deveriam ser a opção por defeito para os particulares [8]. ## As armadilhas - Achar que uma conta «sem importância» não conta. Uma palavra-passe roubada num site secundário é testada noutros [1]. - Memorizar uma só boa palavra-passe e usá-la igual em todo o lado. Isso é reutilização [7]. - Guardar as palavras-passe num papel de lembrete, no correio eletrónico, num ficheiro sem proteção ou no telemóvel [5]. - Gravar as palavras-passe no navegador de um computador partilhado [6]. ## Autópsias A OWASP reúne violações de dados cuja análise indica, segundo ela, que resultaram de credential stuffing. Eis quatro delas, tal como as relata [1]. ### Sony, 2011 Um analista constata que, entre os utilizadores presentes ao mesmo tempo nos dados da Sony e nos da violação da Gawker, ocorrida mais cedo no mesmo ano, dois terços tinham a mesma palavra-passe nos dois sistemas [1]. ### Yahoo, 2012 A OWASP cita Troy Hunt, que aproxima as violações da Sony e da Yahoo por um ponto comum: as palavras-passe [1]. ### Dropbox, 2012 A Dropbox indicou que os nomes de utilizador e as palavras-passe referidos na imprensa tinham sido roubados noutros serviços, e não na Dropbox. Atacantes tinham-nos depois experimentado em sites de toda a internet, incluindo a Dropbox [1]. ### JPMorgan Chase, 2014 Os dados da violação continham combinações de palavras-passe e de endereços de participantes inscritos no site Corporate Challenge, uma plataforma de corridas solidárias anuais gerida por um prestador externo, abertas aos funcionários do banco e de outras empresas. A OWASP precisa que esta violação vem de uma fonte distinta: atacantes visaram um site de corridas de terceiros para extrair credenciais a usar contra o JPMC [1]. ## Fontes 1. OWASP, «Credential stuffing | OWASP Foundation». https://community.owasp.org/attacks/Credential_stuffing (consultado em 3 de novembro de 2026) 2. MITRE ATT&CK, «Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/004/ (consultado em 3 de novembro de 2026) 3. MITRE ATT&CK, «Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/ (consultado em 3 de novembro de 2026) 4. MITRE ATT&CK, «Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/ (consultado em 3 de novembro de 2026) 5. Cybermalveillance.gouv.fr, «Pourquoi et comment bien gérer ses mots de passe ?», 23 de novembro de 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (consultado em 3 de novembro de 2026) 6. CNIL, «Les conseils de la CNIL pour un bon mot de passe», 26 de janeiro de 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (consultado em 3 de novembro de 2026) 7. CISA, «Choosing and Protecting Passwords», 21 de maio de 2009. https://www.cisa.gov/news-events/news/choosing-and-protecting-passwords (consultado em 3 de novembro de 2026) 8. NCSC (Royaume-Uni), «Password administration for system owners», 19 de novembro de 2018. https://www.ncsc.gov.uk/collection/passwords (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/credential-stuffing-reutilizacao-credenciais/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.