Cyberpediapor Brain
PTDEENESFRITNL

Credential stuffing

Palavras-passe roubadas numa fuga de dados são testadas por robôs noutros serviços. Como o ataque funciona e como se proteger.

Em 30 segundos

Onde acontece
Em qualquer serviço com um formulário de início de sessão, incluindo o correio eletrónico, as aplicações em linha da empresa e os portais de autenticação única12.
O que o atacante quer
Encontrar, entre pares de credenciais roubados, os que abrem uma conta real, contando com a reutilização de palavras-passe12.
O reflexo
Uma palavra-passe diferente para cada serviço, guardada num gestor de palavras-passe, com autenticação de dois fatores quando existe56.
Se já aconteceu
Alterar sem demora a palavra-passe em causa5.

Do que se trata

O credential stuffing, em português reutilização de credenciais, consiste em pegar em pares de nome de utilizador e palavra-passe roubados numa fuga de dados e experimentá-los automaticamente noutros sites. A OWASP descreve-o como a injeção automatizada desses pares em formulários de início de sessão, para aceder de forma fraudulenta a contas1.

O colaborador não precisa de cometer qualquer erro para ser afetado: a sua conta não foi atacada diretamente. Basta que uma palavra-passe usada num site sem importância sirva também noutro lado, por exemplo no correio eletrónico profissional.

Perguntas diretas

Qual é a diferença em relação à força bruta?

A força bruta experimenta várias palavras-passe contra uma ou várias contas: o atacante adivinha. O credential stuffing usa pares já conhecidos, provenientes de uma fuga, contra outros sites1. A OWASP classifica-o como um subconjunto da força bruta, e a MITRE faz dele a subtécnica T1110.004 da técnica «Brute Force»12.

Porque funciona?

Porque muita gente reutiliza a mesma palavra-passe e o mesmo nome de utilizador ou endereço de correio eletrónico. Quando esses dados são expostos, submetê-los a dezenas ou centenas de outros sites pode bastar para comprometer contas1. A MITRE acrescenta que a reutilização afeta tanto as contas pessoais como as profissionais2.

A minha palavra-passe é longa e complexa: estou a salvo?

Não, se for usada em vários sítios. Segundo a CISA, reutilizar uma palavra-passe, mesmo robusta, põe as contas em risco tanto como uma palavra-passe fraca7. O comprimento protege contra a tentativa de adivinhação, não contra a reutilização de uma palavra-passe já roubada.

Uma palavra-passe reutilizada é a única porta de entrada?

Não. A OWASP assinala que os dados de uma fuga também servem para repor palavras-passe, sobretudo em contas de empresa: as perguntas de segurança, os endereços de recuperação ou outras informações pessoais contidas na fuga permitem então tomar o controlo da conta mesmo sem reutilização1.

Uma conta tomada pode servir para outra coisa?

Sim. Uma conta válida permite entrar na rede sem software malicioso, o que torna a presença do atacante mais difícil de detetar4.

1Na pele do atacante1 min

O atacante começa por obter credenciais: fuga de um site, phishing ou site de depósito de palavras-passe1. Não precisa de ter algo contra uma pessoa em particular. A CISA nota que um ataque muitas vezes não visa uma conta concreta, mas o acesso que ela dá para lançar um ataque mais vasto7.

Entrega depois esses pares a ferramentas automáticas, que os experimentam em muitos sites: redes sociais, lojas em linha, aplicações web1. Um início de sessão bem-sucedido indica-lhe que tem credenciais válidas1.

Falta tirar partido delas. A OWASP cita quatro seguimentos possíveis: esvaziar as contas do valor armazenado ou fazer compras, ler informações sensíveis (números de cartão, mensagens privadas, documentos), enviar mensagens de phishing ou spam a partir da conta, revender as credenciais válidas a outros atacantes1.

A MITRE sublinha que este método pode provocar muitas falhas de autenticação e bloqueios de contas, consoante a política da organização visada2. Os defensores, por seu lado, podem bloquear os pedidos de início de sessão arriscados, como os que passam por serviços de anonimização ou por proxies2.

2O que vê no ecrã1 min

A vítima raramente vê o ataque em si. Vê os seus efeitos, que variam consoante o que o atacante decidiu fazer com a conta.

  • Uma mensagem do serviço a assinalar um início de sessão a partir de um dispositivo desconhecido. A CNIL descreve este caso: o site avisa por SMS ou por correio eletrónico, e a pessoa pode autorizar ou recusar o acesso6.
  • Uma conta bloqueada, após muitas falhas de início de sessão. A MITRE menciona estes bloqueios como uma consequência possível2.
  • Compras, mensagens ou documentos afetados que o titular não fez nem enviou, uma vez que são as utilizações descritas pela OWASP1.
  • Um correio eletrónico de reposição de palavra-passe que ninguém pediu. A Cybermalveillance.gouv.fr explica porque é que o correio eletrónico é visado: recebe as ligações de reposição das outras contas, e quem o pirateia pode usar a função «palavra-passe esquecida» para tomar o controlo, por exemplo, de uma conta bancária5.

Nenhuma destas situações prova, por si só, um credential stuffing. Todas justificam alterar a palavra-passe e avisar o serviço informático se a conta for profissional.

3Por baixo do capôEquipas de TI2 min

A OWASP ilustra o mecanismo com um esquema: a base de dados de um site, acme.com, é comprometida. O atacante experimenta essas credenciais em três outros sites. Constata que um utilizador, «spongebob», reutiliza a palavra-passe em dois sites e que uma utilizadora, «sally», a reutiliza num site: três contas ficam abertas1.

Os alvos não se limitam aos sites do grande público. A MITRE cita serviços de administração em portas comuns (SSH, RDP, SMB, LDAP, bases de dados), mas também a autenticação única, as aplicações na nuvem assentes em protocolos federados e os serviços de correio expostos, como o Office 3652. Quanto à deteção, a MITRE descreve sinais típicos: muitas falhas com pares diferentes a partir do mesmo endereço IP em pouco tempo, ou falhas em aplicações na nuvem com pares provenientes de domínios sem relação entre si2.

Outro ponto técnico: quando um atacante conhece a palavra-passe certa mas esbarra numa regra de acesso baseada no local, pode mudar de infraestrutura para corresponder à localização da vítima e contornar a regra3.

As medidas de proteção do lado da organização, segundo a MITRE: bloquear as contas após um certo número de falhas (uma regra demasiado rígida pode bloquear contas legítimas), impor a autenticação multifator, repor de forma proativa as contas conhecidas em fugas2. A OWASP designa a autenticação multifator como a principal contramedida1.

4O que faz1 min
  • Uma palavra-passe diferente por serviço. Assim, em caso de roubo, só o serviço em causa fica vulnerável5. A CNIL pede uma palavra-passe própria e única para cada conta sensível (banco, correio eletrónico, rede social) para evitar pirataria em cascata6.
  • Um gestor de palavras-passe, que memoriza por si palavras-passe longas e todas diferentes6. A Cybermalveillance.gouv.fr cita o KeePassXC, certificado pela ANSSI na versão 2.7.95. A palavra-passe principal do gestor deve ser, ela própria, sólida7.
  • A autenticação de dois fatores quando o serviço a propõe: além da palavra-passe, uma confirmação por código, aplicação, chave ou biometria faz com que só o próprio autorize um novo dispositivo5.
  • Uma alteração imediata à menor suspeita, ou assim que se saiba que uma empresa onde se tem conta foi pirateada, sem esperar para saber se é verdade5.
  • Uma palavra-passe de correio eletrónico particularmente robusta, já que abre a reposição de muitas outras contas5.

O NCSC britânico indica ainda, numa notícia de 23 de abril de 2026, que as chaves de acesso (passkeys) são um método de início de sessão mais seguro e mais simples, e deveriam ser a opção por defeito para os particulares8.

5As armadilhas1 min
  • Achar que uma conta «sem importância» não conta. Uma palavra-passe roubada num site secundário é testada noutros1.
  • Memorizar uma só boa palavra-passe e usá-la igual em todo o lado. Isso é reutilização7.
  • Guardar as palavras-passe num papel de lembrete, no correio eletrónico, num ficheiro sem proteção ou no telemóvel5.
  • Gravar as palavras-passe no navegador de um computador partilhado6.
6AutópsiasCasos reais1 min

A OWASP reúne violações de dados cuja análise indica, segundo ela, que resultaram de credential stuffing. Eis quatro delas, tal como as relata1.

Sony, 2011

Um analista constata que, entre os utilizadores presentes ao mesmo tempo nos dados da Sony e nos da violação da Gawker, ocorrida mais cedo no mesmo ano, dois terços tinham a mesma palavra-passe nos dois sistemas1.

Yahoo, 2012

A OWASP cita Troy Hunt, que aproxima as violações da Sony e da Yahoo por um ponto comum: as palavras-passe1.

Dropbox, 2012

A Dropbox indicou que os nomes de utilizador e as palavras-passe referidos na imprensa tinham sido roubados noutros serviços, e não na Dropbox. Atacantes tinham-nos depois experimentado em sites de toda a internet, incluindo a Dropbox1.

JPMorgan Chase, 2014

Os dados da violação continham combinações de palavras-passe e de endereços de participantes inscritos no site Corporate Challenge, uma plataforma de corridas solidárias anuais gerida por um prestador externo, abertas aos funcionários do banco e de outras empresas. A OWASP precisa que esta violação vem de uma fonte distinta: atacantes visaram um site de corridas de terceiros para extrair credenciais a usar contra o JPMC1.

Ficha

Identificador
CP-036
Ala
1. Ataques e técnicas
Competência Brain
Dominar as palavras-passe (master_passwords)
Reflexo Brain
cr-008
Esquema
G3 · Corte anatómico
Idiomas
de, en, es, fr, it, nl, pt
Fontes
8 fontes verificadas em 3 de novembro de 2026
Fontes8 fontes
  1. OWASP, «Credential stuffing | OWASP Foundation». https://community.owasp.org/attacks/Credential_stuffing (consultado em 3 de novembro de 2026)
  2. MITRE ATT&CK, «Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/004/ (consultado em 3 de novembro de 2026)
  3. MITRE ATT&CK, «Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1110/ (consultado em 3 de novembro de 2026)
  4. MITRE ATT&CK, «Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/ (consultado em 3 de novembro de 2026)
  5. Cybermalveillance.gouv.fr, «Pourquoi et comment bien gérer ses mots de passe ?», 23 de novembro de 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (consultado em 3 de novembro de 2026)
  6. CNIL, «Les conseils de la CNIL pour un bon mot de passe», 26 de janeiro de 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (consultado em 3 de novembro de 2026)
  7. CISA, «Choosing and Protecting Passwords», 21 de maio de 2009. https://www.cisa.gov/news-events/news/choosing-and-protecting-passwords (consultado em 3 de novembro de 2026)
  8. NCSC (Royaume-Uni), «Password administration for system owners», 19 de novembro de 2018. https://www.ncsc.gov.uk/collection/passwords (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «Credential stuffing», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/credential-stuffing-reutilizacao-credenciais/

BibTeX 
@misc{brain_cp036_pt_2026,
  author = {Brain},
  title = {Credential stuffing},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/credential-stuffing-reutilizacao-credenciais/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0