Senhas roubadas, fracas e reutilizadas são a principal causa das violações de dados relacionadas a hackers e uma forma comprovada de obter acesso aos recursos de TI da empresa. Além disso, com bilhões de credenciais disponíveis na dark web, os cibercriminosos não precisam se esforçar muito para encontrar senhas comprometidas.
Os kackers desejam um modo fácil de obter algum lucro de seus investimentos. Por isso, aumentar a segurança das senhas da organização estabelece mais barreiras a serem transpostas.
Ataques de senhas podem ocorrer de diversas formas. Porém, também existem várias práticas para diminuir os riscos corporativos. É indispensável entender quais são os tipos de ataques de senha, e os mais comuns deles, para a implementação de processos e sistemas de segurança para obter eficiência e eficácia na prevenção e resposta a esses ataques.
Entendendo os ataques de senha
Um ataque de senha é um ataque cibernético que visa obter acesso não autorizado a sistemas, redes ou contas, por meio da exploração de senhas fracas ou comprometidas. Os invasores usam diversas técnicas para obter senhas, normalmente como parte de campanhas mais amplas para se infiltrar em sistemas ou ampliar privilégios.
Tipos de ataques de senha
Ataques de senha se enquadram em diversas categorias amplas. Eles são categorizados com base nas táticas e técnicas utilizadas e na natureza do ataque. Os principais tipos de ataques de senha são:
- Ataques de reutilização de credenciais se aproveitam de credenciais, vazadas em violações de dados anteriores, para ataques onde os invasores usam pares conhecidos de nome de usuário e senha em vários serviços (preenchimento de credenciais).
- Ataques de busca exaustiva tentam adivinhar senhas sistematicamente, testando todas as combinações possíveis (força bruta) ou usando listas pré-compiladas de senhas ou frases comuns (ataques de dicionário).
- Ataques de interceptação de rede capturam senhas à medida que são transmitidas pelas redes (ataques man-in-the-middle, sniffing de pacotes e spoofing de DNS).
- Ataques de cracking offline têm como alvo hashes de senhas ou bancos de dados de senhas criptografadas obtidos de sistemas comprometidos (ataques de tabela arco-íris).
- Ataques de adivinhação dependem da adivinhação de senhas com base em informações pessoais ou padrões previsíveis (spraying de senhas).
- Ataques de engenharia social manipulam o comportamento humano e exploram as vulnerabilidades dos usuários para a obtenção de senhas (phishing e personificação).
- Ataques de vigilância envolvem o monitoramento da entrada ou do comportamento do usuário para capturar credenciais (keylogging, shoulder surfing ou vigilância por câmeras ocultas).
Tipos comuns de ataques de senha
O processo de hacking de senhas abrange várias técnicas que os cibercriminosos empregam para obter acesso não autorizado a sistemas seguros. Esses métodos de hacking, juntamente com outros, demonstram um contínuo cenário de ameaças, o que exige boas práticas de segurança cibernética e vigilância.
Ao entender esses principais tipos de ataque, indivíduos e organizações podem implementar estratégias voltadas para o fortalecimento de suas defesas contra tentativas de acesso não autorizado.
- Ataque de força bruta: Um ataque de força bruta é um tipo de ataque de senha em que hackers fazem inúmeras tentativas aleatórias para obter acesso. É um ataque simples e frequentemente envolve métodos automatizados, como softwares, para testar múltiplas variações de letras e números.
Como tentar um grande número de possibilidades é um processo demorado, os invasores buscam ganhar eficiência. Para gerar uma lista de possíveis combinações, normalmente, eles começam com escolhas fáceis, como senhas comuns ou curtas. Se souberem os requisitos de senha de um provedor específico (como o número mínimo de caracteres aceitos), os invasores também se aproveitarão desses critérios.
- Ataque de keylogger: Um keylogger é um tipo de spyware que registra a atividade do usuário ao gravar as teclas digitadas. Cibercriminosos usam keyloggers para roubar uma variedade de dados confidenciais, de senhas a números de cartão de crédito. Em um ataque de senha, o keylogger registra não apenas o nome de usuário e a senha, mas também o site ou aplicativo onde essas credenciais são usadas, juntamente com outras informações confidenciais.
Keyloggers podem ser de hardware ou software. Como é trabalhosa a implantação de hardwares em dispositivos, a instalação de malwares por invasores em um computador ou dispositivo é mais provável, induzindo o usuário a clicar em um link ou anexo malicioso. Alguns keyloggers vêm incorporados em softwares (como aplicativos “gratuitos”) que os usuários baixam de sites de terceiros.
- Ataque de dicionário: Um tipo de ataque de senha por força bruta, um ataque de dicionário baseia-se em uma lista de palavras e frases comumente usadas, bem como senhas repetidas com frequência. Para evitar a necessidade de decifrar uma longa lista de possíveis senhas, os invasores restringem a lista ao que é conhecido como palavras do dicionário.
Essas palavras não se limitam a palavras reais do dicionário. Delas também fazem parte nomes populares de animais de estimação, personagens de filmes e pessoas. Os hackers também utilizam variações, acrescentando letras com números e caracteres especiais (por exemplo, substituindo a letra O pelo número 0).
- Preenchimento de credenciais: Ataques de senhas com preenchimento de credenciais são semelhantes aos ataques de força bruta, pois os invasores aplicam o método de tentativa e erro para obter acesso. No entanto, em vez de adivinhar senhas, eles usam credenciais roubadas. O preenchimento de credenciais baseia-se na suposição de que muitas pessoas reutilizam suas senhas para várias contas em diversas plataformas.
Ao longo dos anos, inúmeras violações de sites e serviços baseados na nuvem acarretaram o comprometimento de um número enorme de credenciais. Uma única violação de um grande provedor pode gerar milhões de contas de vítimas, que os cibercriminosos vendem, alugam ou disponibilizam na dark web.
Os invasores usam o preenchimento de credenciais para verificar que senhas roubadas ainda são válidas ou funcionam em outras plataformas. Assim como nos ataques de força bruta, ferramentas automatizadas tornam esses ataques de senha incrivelmente bem-sucedidos.
- Man-in-the-middle: Um cenário man-in-the-middle envolve três partes: o usuário, o invasor e o terceiro com quem a pessoa está tentando se comunicar. Em um ataque de senha, os cibercriminosos geralmente se passam por um terceiro legítimo, geralmente por meio de um e-mail de phishing.
O e-mail parece autêntico, pode falsificar o endereço de e-mail do terceiro, sendo capaz de enganar até usuários mais experientes. Os invasores tentam convencer o destinatário a clicar em um link que leva a um site falso, mas aparentemente autêntico, e, em seguida, coletam as credenciais quando o usuário efetua login.
- Interceptação de tráfego: A interceptação de tráfego, uma variação do ataque man-in-the-middle, envolve os agentes da ameaça espionando o tráfego da rede para monitorar e capturar dados. Uma maneira comum de fazer isso é por meio de conexões Wi-Fi desprotegidas ou que não usam criptografia, como a usada no protocolo HTTP.
Até mesmo o tráfego SSL é vulnerável nesse cenário. Um hacker pode, por exemplo, usar um ataque do tipo man-in-the-middle, chamado de sequestro de SSL. Quando alguém tenta se conectar a um site seguro, o invasor cria uma espécie de ponte entre o usuário e o destino pretendido e intercepta qualquer informação que passe entre os dois, como senhas.
- Phishing: Como mencionado acima, o phishing é uma estratégia versátil. Cibercriminosos usam diferentes táticas de phishing e engenharia social, desde e-mails de phishing para ataques do tipo man-in-the-middle até uma combinação de spear phishing e vishing (um ataque de senha em várias etapas que inclui uma chamada de voz e um link para um site malicioso que coleta credenciais). Este último tem sido usado em ataques direcionados às credenciais de rede virtual privada (VPN) de funcionários.
Em geral, ataques de phishing causam uma sensação de urgência no usuário. É por isso que os e-mails frequentemente alegam uma cobrança falsa na conta, término da validade do serviço, um problema de TI ou RH ou algo semelhante que tenha maior probabilidade de chamar a atenção da pessoa.
- Spraying de senhas: Outra forma de ataque de força bruta, o spraying de senhas, envolve o uso de um grande número de senhas comuns na tentativa de invadir um pequeno número de contas de usuário ou até mesmo uma única conta. Invasores fazem de tudo para evitar a detecção durante o spraying de senhas. Normalmente, realizam antes um reconhecimento a fim de reduzir o número de tentativas de login e evitar o bloqueio da conta.
Práticas recomendadas de segurança cibernética para a redução de riscos de ataques de senhas
Apesar de serem um dos tipos mais comuns de ataques cibernéticos, os ataques de senhas podem ser evitados. Uma estratégia de defesa cibernética bem planejada, aliada a ferramentas e programas de segurança cibernética, reduz muito o risco e o impacto dos ataques a senhas.
Defesa contra ataques de senhas
As melhores estratégias contra ataques de senhas começam com a compreensão dos riscos comuns à segurança de senhas e uma avaliação de suas vulnerabilidades. Uma vez identificadas as lacunas ou fragilidades de segurança, as equipes de TI e de segurança devem decidir quais ferramentas e processos podem ser utilizados como parte da defesa e avaliar como otimizá-los e reforçá-los.
Prevenção de ataques de senha
Adotar as práticas recomendadas de higienização e gerenciamento de senhas é a melhor maneira de prevenir ataques de senha. Ambientes fáceis de hackear, com uma postura de segurança fraca, são muito mais atraentes para cibercriminosos oportunistas. Uma defesa eficaz contra ataques de senha requer uma combinação de políticas, ferramentas e estruturas que aumente a capacidade de uma empresa de evitar uma violação de dados.
Políticas de defesa contra ataques de senha
- Exigir senhas fortes, longas (por exemplo, com mais de 12 caracteres), complexas, incomuns e exclusivas para cada site ou conta.
- Alterar senhas quando houver suspeita de violação.
- Implementar autenticação multifator quando possível.
- Adotar um gerenciador de senhas para simplificar o gerenciamento de senhas e garantir seu armazenamento seguro.
- Limitar o acesso a contas privilegiadas e acrescentar camadas extras de segurança para essas contas.
- Oferecer treinamento em segurança de senhas a todos os funcionários e a qualquer indivíduo que tenha acesso aos recursos organizacionais também possibilita a prevenção.
Ferramentas de prevenção contra ataques de senha
- Autenticação multifator (MFA): ferramentas de controle de acesso que exigem que os usuários apresentem várias formas de verificação (por exemplo, senhas, biometria, tokens de hardware) para efetuarem o login.
- Gerenciamento de Acesso Privilegiado (PAM): ferramentas que protegem, monitoram e gerenciam contas privilegiadas.
- Hashing e salting de senhas: ferramentas que armazenam senhas com segurança ao aplicar algoritmos de hash fortes (por exemplo, bcrypt, Argon2) com salts exclusivos tornam ataques de cracking offline, como o de tabela arco-íris, ineficazes.
- Mecanismos de limitação de taxa e bloqueio de conta: ferramentas que limitam as tentativas de login ou bloqueiam temporariamente as contas após várias tentativas mal sucedidas.
- Detecção de anomalias de monitoramento: ferramentas que monitoram de forma proativa as tentativas de autenticação e identificam comportamentos incomuns.
- Mecanismos seguros de redefinição de senhas: ferramentas que garantem a segurança dos processos de recuperação de senhas.
- Segmentação de rede: divisão dos recursos da rede em segmentos isolados visando limitar os danos causados por credenciais comprometidas e impedir o movimento lateral.
- Autenticação contínua: avaliação contínua da identidade do usuário por meio de sinais contextuais (por exemplo, postura do dispositivo, geolocalização, biometria comportamental).
Exemplos reais de ataques de senhas
Ataques reais recentes a senhas ressaltam a necessidade crítica de fortes medidas de segurança cibernética para prevenir ataques de senhas. A seguir, alguns incidentes dignos de nota.
Violação de dados da 13cabs (março de 2025)
A 13cabs, uma empresa de táxi australiana, detectou acesso não autorizado a seus aplicativos, o qual possivelmente expôs informações de usuários, como nomes, números de telefone e endereços. Acredita-se que esse ataque de senhas tenha aplicado o preenchimento de credenciais.
Ataque de ransomware à Parascript (agosto de 2024)
A Parascript, LLC, uma empresa de processamento inteligente de documentos (IDP, Intelligent Document Processing), com clientes em setores que produzem e gerenciam informações confidenciais (bancos, seguradoras, organizações de saúde e governos), sofreu um ataque de ransomware. Nesse ataque de senha, que resultou no acesso não autorizado a informações confidenciais de consumidores, inclusive de números da previdência social, os invasores exploraram credenciais comprometidas para se infiltrar nos sistemas.
Ataque do grupo Midnight Blizzard à Microsoft (janeiro de 2024)
Hackers russos acessaram com sucesso os sistemas da Microsoft para comprometer contas de locatários de teste, roubando e-mails e documentos de um número limitado de contas de e-mail corporativas, inclusive de altos executivos e funcionários dos departamentos de segurança cibernética e setor jurídico. Os invasores usaram um ataque de spraying de senhas para obter acesso não autorizado.
AVISO LEGAL: AS INFORMAÇÕES CONTIDAS NESTA PÁGINA TÊM FINALIDADE MERAMENTE INFORMATIVA. NADA AQUI APRESENTADO CONSTITUI OU TEM A INTENÇÃO DE CONSTITUIR CONSULTORIA OU ACONSELHAMENTO JURÍDICO DE QUALQUER NATUREZA. NÃO CABE À SAILPOINT OFERECER TAL ASSESSORIA, SENDO, PORTANTO, RECOMENDADA A CONSULTA A UM ADVOGADO QUANTO A QUAISQUER QUESTÕES LEGAIS APLICÁVEIS.
