O que é um ataque de força bruta e como proteger suas senhas?

Publicado em 2026-10-20 por frfrand

Fuerza bruta, password spraying y credential stuffing: diferencias, defensas con MFA, límites de intentos y seguridad de inicios de sesión.

Um ataque de força bruta contra uma conta consiste em testar muitas senhas até encontrar uma que funcione. É um conceito simples, mas é frequentemente confundido com outros ataques que também buscam entrar por meio de credenciais.

Não significa que alguém necessariamente teste todas as combinações possíveis. Em ataques reais, são exploradas senhas frequentes, vazamentos e automações.

O exemplo da fechadura

Imagine uma porta que permite inserir um código numérico. Se você puder testar milhares de combinações sem que ninguém o impeça, cedo ou tarde você poderia acertar uma senha fraca.

Em um aplicativo web acontece algo parecido quando um login aceita tentativas ilimitadas e não aplica mecanismos de proteção.

A defesa não consiste apenas em pedir senhas complicadas; também importa controlar como uma pessoa se autentica e como o abuso é detectado.

Força bruta, dicionário e reutilização: não são a mesma coisa

Força bruta: testar inúmeras possibilidades contra uma conta.

Ataque de dicionário: usar uma lista de senhas previsíveis ou comuns, em vez de gerar combinações completamente aleatórias.

Password spraying: testar uma senha frequente em muitas contas, o que pode tentar evitar certos limites por usuário.

Credential stuffing: usar combinações de usuário e senha vazadas em outros serviços, esperando que algumas pessoas reutilizem suas credenciais.

Essas diferenças importam porque uma medida projetada apenas para bloquear muitas tentativas em uma conta pode não detectar bem as tentativas distribuídas entre muitas contas.

O que torna uma senha mais resistente?

O comprimento e a imprevisibilidade costumam ser mais úteis do que adicionar símbolos aleatórios a uma palavra comum. Um gerenciador de senhas pode gerar chaves longas e diferentes para cada serviço.

Reutilizar a mesma senha é especialmente perigoso: um vazamento em um site pequeno pode afetar contas muito mais importantes.

As políticas modernas também consideram bloquear senhas conhecidas por vazamentos e evitar regras de composição que apenas fazem as pessoas inventarem padrões previsíveis.

Quais defesas um aplicativo pode aplicar?

Limites de tentativas: reduzir o ritmo das solicitações abusivas de autenticação.

Controles de risco: detectar padrões incomuns sem bloquear arbitrariamente usuários legítimos.

Autenticação multifator: exigir uma verificação adicional quando a senha sozinha não basta.

Alertas úteis: informar sobre atividade suspeita e permitir revisar sessões ou dispositivos.

Essas medidas devem ser projetadas com cuidado. Um atacante poderia tentar abusar dos bloqueios para impedir que usuários legítimos acessem suas contas.

Serve esconder a página de login?

Alterar o caminho de acesso pode reduzir o ruído de ferramentas muito simples, mas não deve ser considerado uma defesa real.

Se a autenticação aceitar senhas fracas ou não limitar abusos, trocar /login por uma URL estranha não corrige o problema de fundo.

Tampouco é suficiente mudar o SSH para outra porta: pode reduzir certas tentativas automatizadas, mas continuam sendo necessárias chaves, permissões, atualizações e regras de rede.

E as passkeys?

Os mecanismos de autenticação baseados em criptografia de chave pública, como passkeys compatíveis com FIDO2/WebAuthn, oferecem propriedades de segurança diferentes das senhas tradicionais, incluindo resistência a certas formas de phishing.

Não significa que você possa esquecer a recuperação de contas ou o controle de dispositivos perdidos. A segurança também depende de como esses processos são gerenciados.

Como revisar defensivamente um servidor?

Verifique quais serviços expõem autenticação, se são usadas senhas ou chaves, quais alertas existem e se os acessos remotos estão restritos a quem precisa deles.

Não é necessário tentar entrar em contas alheias para aprender sobre o problema. Você pode revisar a configuração de seus próprios serviços e estudar a documentação do seu provedor.

Qual a relação com o ArduMaker?

Ao administrar VPS, repositórios e contas de plataforma, como acontece na ArduMaker, utilizar credenciais únicas, permissões limitadas e mecanismos de autenticação disponíveis reduz riscos. Também é importante controlar quais serviços permitem tentativas de acesso pela Internet.

Em resumo: força bruta é testar chaves repetidamente. A proteção real combina senhas únicas, limites de abuso, autenticação adicional e bom design de acessos.

Fontes: OWASP: defesa contra credential stuffing e ataques relacionados · Autenticadores segundo NIST.