A segurança das plataformas digitais depende, em grande parte, da proteção das contas dos utilizadores. Um dos métodos de ataque mais antigos, e ainda muito usado, é o ataque por força bruta. Nele, o atacante tenta adivinhar palavras-passe ou códigos através de um grande número de tentativas automáticas, até encontrar a combinação correta.
Neste artigo, explicamos como funcionam os ataques por força bruta, que variantes existem, que impacto podem ter numa plataforma de gestão documental e que medidas são hoje recomendadas para os prevenir. Assinalamos, ainda, práticas antigas que continuam a ser aplicadas, embora as recomendações atuais já não as aconselhem.
O que é um ataque por força bruta
Um ataque por força bruta consiste em testar sistematicamente combinações de credenciais até encontrar uma que funcione. O atacante não precisa de conhecer a palavra-passe: basta-lhe tempo e capacidade de processamento. Por isso, as palavras-passe curtas, previsíveis ou reutilizadas são as mais vulneráveis.
Hoje, estes ataques são quase sempre automatizados. Ferramentas e redes de computadores comprometidos permitem fazer milhares de tentativas, distribuídas por muitos endereços diferentes, o que dificulta a deteção.
Tipos de ataques por força bruta
| Tipo | Como funciona |
|---|---|
| Força bruta simples | Testa todas as combinações possíveis de caracteres |
| Ataque de dicionário | Usa listas de palavras e palavras-passe comuns |
| Credential stuffing | Reutiliza credenciais roubadas noutros serviços |
| Password spraying | Testa poucas palavras-passe comuns em muitas contas, para evitar bloqueios |
| Ataque offline a hashes | Tenta descobrir palavras-passe a partir de uma base de dados roubada |
Destes, o credential stuffing é hoje um dos mais eficazes, porque muitos utilizadores reutilizam a mesma palavra-passe em vários serviços. Assim, uma fuga de dados num site pode dar acesso a uma plataforma empresarial completamente diferente.
O impacto numa plataforma de gestão documental
Uma conta comprometida pode dar acesso a documentos de trabalhadores, contratos, seguros e dados pessoais. O atacante pode ainda alterar ou eliminar documentos, carregar ficheiros maliciosos ou usar a conta para enviar mensagens fraudulentas a prestadores. Quando há dados pessoais envolvidos, a organização pode ter de notificar a CNPD no prazo de 72 horas. A proteção das contas é, portanto, uma prioridade.
Medidas de proteção recomendadas
Autenticação multifator
É a medida mais eficaz. Mesmo que o atacante descubra a palavra-passe, não consegue entrar sem o segundo fator. Sempre que possível, convém preferir aplicações de autenticação, chaves de segurança ou chaves de acesso (passkeys), que resistem melhor ao phishing do que os códigos por SMS.
Palavras-passe longas e únicas
As recomendações atuais, como as orientações do NIST, privilegiam o comprimento em vez de regras complexas. Frases-passe longas, únicas para cada serviço e geridas num gestor de palavras-passe são mais seguras e mais fáceis de usar. Além disso, a plataforma deve recusar palavras-passe que constem de listas de credenciais comprometidas.
Limitação de tentativas
A plataforma deve limitar o número de tentativas por conta e por endereço, aumentando progressivamente o tempo de espera. Do mesmo modo, a deteção de padrões suspeitos, como muitas tentativas a partir de vários endereços, ajuda a travar ataques distribuídos.
Armazenamento seguro das palavras-passe
A plataforma nunca deve guardar as palavras-passe em texto simples. Em vez disso, deve protegê-las com algoritmos de hash próprios para palavras-passe, como Argon2, bcrypt ou PBKDF2, com sal único. Em contrapartida, algoritmos antigos, como MD5 ou SHA-1, não oferecem proteção adequada.
Monitorização e alertas
A equipa de segurança deve analisar os registos de início de sessão para detetar tentativas falhadas em massa, acessos a partir de países invulgares ou várias contas atacadas ao mesmo tempo. Assim, consegue reagir antes de o atacante ter sucesso.
Força bruta para além das palavras-passe
Os ataques por força bruta não visam apenas palavras-passe. Com efeito, qualquer código curto pode ser alvo: PIN de acesso, códigos de verificação enviados por SMS, ligações de recuperação de conta ou chaves de API mal protegidas. Por exemplo, um código de seis dígitos tem apenas um milhão de combinações. Sem limitação de tentativas e sem prazo de validade curto, um atacante automatizado pode descobri-lo em pouco tempo.
Por isso, a plataforma deve aplicar as mesmas proteções a todos os mecanismos de autenticação e recuperação. As ligações de recuperação devem, igualmente, expirar rapidamente e só funcionar uma vez. Do mesmo modo, as chaves de API devem ser longas, aleatórias, guardadas de forma segura e renovadas quando há suspeita de exposição.
Como responder a um ataque em curso
Quando a monitorização deteta um ataque, a resposta deve ser rápida e coordenada. Em primeiro lugar, bloquear os endereços ou redes de origem e reforçar temporariamente os limites de tentativas. Depois, identificar as contas visadas e verificar se alguma teve um início de sessão bem-sucedido suspeito. Em seguida, forçar a renovação das palavras-passe dessas contas e confirmar que a autenticação multifator está ativa. Por fim, registar o incidente e avaliar se houve acesso a dados pessoais, para decidir sobre a notificação à CNPD.
Uma prática a abandonar: A mudança periódica obrigatória
Durante anos, muitas organizações obrigaram os utilizadores a mudar de palavra-passe a cada 30, 60 ou 90 dias. Hoje, as recomendações internacionais desaconselham esta prática quando não há indícios de comprometimento. As mudanças forçadas levam, em geral, os utilizadores a escolher palavras-passe previsíveis, como pequenas variações da anterior. Nesse sentido, a organização deve exigir a mudança apenas quando há suspeita de que a palavra-passe foi exposta.
Exemplo prático: Password spraying numa plataforma
Considere-se que, numa madrugada, a plataforma regista tentativas de início de sessão em 300 contas diferentes, cada uma com apenas duas palavras-passe comuns. Como cada conta tem poucas tentativas, os bloqueios por conta não disparam. No entanto, o sistema de monitorização deteta o padrão global e bloqueia os endereços de origem. Como as contas visadas tinham autenticação multifator, nenhuma foi comprometida. Como resultado, o ataque falha sem impacto para os utilizadores.
Lista de verificação contra ataques por força bruta
- Autenticação multifator ativa para todos os utilizadores.
- Palavras-passe longas e verificação contra listas comprometidas.
- Limitação de tentativas e atrasos progressivos.
- Hash seguro das palavras-passe armazenadas.
- Monitorização de padrões de ataque distribuídos.
- Formação dos utilizadores sobre reutilização de palavras-passe.
O papel dos utilizadores
A tecnologia resolve grande parte do problema, mas os utilizadores continuam a ter um papel decisivo. Em primeiro lugar, devem usar palavras-passe diferentes em cada serviço, sobretudo nas contas profissionais. Depois, devem ativar a autenticação multifator sempre que estiver disponível. Além disso, devem desconfiar de pedidos inesperados de códigos de verificação, que podem indicar que alguém está a tentar entrar na conta. Por fim, devem comunicar de imediato qualquer alerta de início de sessão que não reconheçam. Daí que a formação regular seja uma parte essencial da proteção contra estes ataques.
Indicadores a acompanhar
Para avaliar a proteção, a equipa de segurança pode acompanhar a percentagem de contas com autenticação multifator, o número de tentativas falhadas por dia, as contas bloqueadas e os alertas de acessos suspeitos. Desse modo, consegue perceber se as medidas estão a funcionar e onde reforçar.
Um erro frequente é confiar apenas no bloqueio de contas, que não trava ataques distribuídos por muitas contas. Outro erro é manter contas sem autenticação multifator por conveniência, sobretudo as de administradores ou de utilizadores externos. Muitas organizações também não verificam se as palavras-passe dos utilizadores constam de fugas de dados conhecidas.
Perguntas frequentes
Um captcha resolve o problema?
Ajuda a travar ataques automáticos simples, mas não substitui a autenticação multifator nem a limitação de tentativas.
Os gestores de palavras-passe são seguros?
Sim, quando protegidos com uma palavra-passe mestra forte e autenticação multifator. São a forma mais prática de ter palavras-passe únicas e longas em todos os serviços, sem depender da memória.
O que fazer se a minha palavra-passe aparecer numa fuga de dados?
Mudar de imediato a palavra-passe nesse serviço e em todos os outros onde a tenha reutilizado. Convém, ainda, ativar a autenticação multifator e verificar a atividade recente da conta.
Conclusão
Os ataques por força bruta continuam a ser uma ameaça real, sobretudo nas variantes que exploram credenciais reutilizadas. A proteção eficaz combina autenticação multifator, palavras-passe longas e únicas, limitação de tentativas, armazenamento seguro e monitorização.
Em paralelo, as organizações devem atualizar as suas políticas, abandonando práticas que já não são recomendadas, como a mudança periódica obrigatória. Dessa forma, protegem as plataformas digitais sem complicar desnecessariamente a vida dos utilizadores.
Leia também: Regras essenciais para a escolha de uma palavra-passe forte e Proteger contra hackers: Quem são, como atuam e que medidas adotar.
Para mais orientações sobre cibersegurança, consulte o Centro Nacional de Cibersegurança (CNCS).
A biometria substitui as palavras-passe?
A biometria do telemóvel, como a impressão digital ou o reconhecimento facial, é frequentemente usada para desbloquear chaves de acesso guardadas no próprio dispositivo. Neste modelo, os dados biométricos não saem do equipamento, o que torna a autenticação mais cómoda e resistente a ataques remotos.