Chega um aviso de tentativa de login numa loja em que você não entra há dois anos. No dia seguinte, um código que você não pediu. Não há ninguém digitando no escuro do outro lado: quase sempre é credential stuffing, um programa testando em massa senhas vazadas de outro lugar.
O que é credential stuffing
Quando um site sofre um vazamento, o que escapa costuma ser uma lista de pares: e-mail e senha. Criminosos reproduzem esses pares automaticamente em centenas de outros serviços — bancos, lojas, streaming, redes sociais. Não há adivinhação: cada tentativa usa uma senha que já é verdadeira em algum lugar, e a aposta é que a pessoa a tenha repetido.
A taxa de sucesso por tentativa é baixa, quase sempre abaixo de 1%, mas o volume compensa: com milhões de pares testados, uma fração de um por cento ainda é muita conta.
Não confunda com força bruta nem com phishing
São três coisas com defesas diferentes. Força bruta adivinha: percorre senhas comuns até acertar, e senha longa mais limite de tentativas resolvem. Phishing engana: leva você a digitar a senha numa página falsa. Credential stuffing não adivinha nem engana — reutiliza. A senha já está correta; descobre-se apenas onde mais ela funciona. A causa raiz é uma só, a repetição, e senha complicada não protege se for a mesma em dez sites.
Por que seu e-mail é a peça que liga tudo
O endereço de e-mail é o identificador que você usa em todo lugar, e é isso que o torna uma chave perfeita para cruzar bases vazadas. Se ele aparece num vazamento de um fórum de 2016, num de uma loja de 2021 e no cadastro do banco, ligar os três registros não custa esforço.
Reduzir essa superfície é simples: guarde o endereço principal para o que importa (banco, trabalho, documentos, saúde) e use descartáveis para cadastros de baixo valor, downloads e promoções. Uma caixa de entrada temporária gratuita resolve isso em segundos, e o vazamento do fórum que você usou uma vez não se liga à sua conta bancária. O limite: não serve para contas que você precisa recuperar depois, e não substitui senha única.
Como você percebe que estão tentando
Os sinais são discretos e quase sempre chegam pelo próprio e-mail:
- Avisos de login ou de novo dispositivo em serviços que você não abriu.
- Códigos e pedidos de aprovação repetidos até você aprovar por cansaço, a fadiga de MFA.
- Mensagens de redefinição de senha sem explicação.
- Bloqueio súbito da conta por tentativas em excesso.
- Cobranças pequenas e estranhas no cartão, testando se ele funciona.
- Filtros, encaminhamentos ou endereços de recuperação que você não criou.
O último item merece atenção: quem entra numa conta de e-mail costuma criar um encaminhamento silencioso, em vez de trocar a senha.
Defesa 1 — uma senha diferente para cada site
Essa é a defesa que encerra o assunto. Com uma senha exclusiva por serviço, o vazamento continua sendo problema, mas de uma conta só: não há outra porta com a mesma chave.
Fazer isso de cabeça é impossível, e é aí que entra o gerenciador de senhas: ele guarda tudo, preenche sozinho e — vantagem subestimada — se recusa a preencher num domínio errado, o que também derruba phishing. Para as poucas senhas que você digita, gere algo longo e aleatório com um gerador de senhas seguras.
Defesa 2 — um segundo fator que sobrevive à senha vazada
A verificação em duas etapas existe para quando a senha já está com outra pessoa. Mas os fatores não são equivalentes. Passkeys são o mais forte: a chave privada não sai do dispositivo e não pode ser digitada num site falso. Aplicativos TOTP, com códigos de seis dígitos que mudam a cada trinta segundos, vêm em seguida e funcionam offline. SMS é o mais fraco: o código viaja por uma rede que não foi feita para segurança e a linha pode ser transferida na troca de chip. Prefira app ou passkey — nosso gerador de códigos TOTP ajuda a conferir a configuração na migração.
Defesa 3 — saiba o que já vazou
Você não precisa adivinhar. Dá para consultar quais vazamentos conhecidos incluem os seus endereços e priorizar a partir disso: primeiro as contas com senha repetida, depois as de alto valor, depois o resto. Nosso guia sobre como saber se sua senha vazou mostra como fazer a checagem. Senha que aparece num vazamento antigo e continua em uso muda hoje, não no fim de semana.
Se já aconteceu: a ordem que funciona
Comece sempre pela conta de e-mail: ela controla a redefinição de todas as outras. Troque a senha por uma nova e exclusiva e encerre as sessões ativas — sem isso, a sessão de quem entrou continua válida mesmo com senha nova.
Depois faça a limpeza que quase todo mundo pula: revise endereços de recuperação e telefones e remova o que não reconhece; apague filtros e encaminhamentos estranhos; revogue senhas de aplicativo e apps de terceiros; confira o cadastro do segundo fator e gere novos códigos de recuperação. Só então vá às demais contas, trocando a senha em todo serviço onde a comprometida foi reutilizada, não só naquele que avisou.
Comprimento vale mais do que pontuação
A ideia de que senha segura é a cheia de símbolos veio de regras antigas de formulário e envelheceu mal. Uma frase secreta de quatro ou cinco palavras aleatórias tem muito mais entropia que oito caracteres com cifrão e exclamação, e é bem mais fácil de digitar. Para o que não precisa ser memorizado, longo e aleatório pelo nosso gerador de senhas é melhor ainda.
Nada disso vale contra credential stuffing se a senha for reutilizada: uma frase excelente repetida em cinco sites cai junto com o site mais frágil. Para montar as frases que você digita de cabeça, veja como criar uma frase secreta forte.
Para quem administra um site
Do lado de quem defende usuários, poucas medidas cobrem a maior parte do risco: limitar tentativas por conta e por origem, com bloqueio progressivo; recusar senhas novas que constem em listas públicas de senhas vazadas; oferecer verificação em duas etapas; monitorar padrões anômalos, como muitas contas testadas de poucos endereços; e nunca dizer qual metade do par estava errada — "e-mail ou senha inválidos" protege mais que "senha incorreta".
Ordem de prioridade e um aviso honesto
Com tempo limitado, siga esta ordem: e-mail principal, contas com dinheiro (banco, cartão, carteiras, lojas com cartão salvo), todo serviço onde a senha comprometida foi repetida e, aos poucos, o resto. Vinte minutos hoje cobrem a maior parte do risco.
E o aviso honesto: nada disso protege uma conta cuja caixa de recuperação continua fraca. Quem controla o seu e-mail redefine todo o resto, por melhores que sejam as senhas. Comece por ali.
