A maioria das violações não começa com um ataque sofisticado. Começa com uma palavra-passe que alguém utilizou em dois sites diferentes. Segundo o 2026 Data Breach Investigations Report da Verizon, as credenciais roubadas estiveram presentes, nalgum ponto, em 39 % de todas as violações confirmadas, não apenas como porta de entrada, mas também ao longo do movimento lateral, da persistência e do roubo de dados.
A exploração de vulnerabilidades ultrapassou as credenciais como principal vetor de acesso inicial, mas os atacantes não abandonaram o abuso de credenciais. Integraram-no mais a fundo na cadeia de intrusão. Se os colaboradores reutilizarem palavras-passe (e, estatisticamente, a maioria fá-lo), a empresa está exposta a riscos de reutilização de palavras-passe que só se tornam visíveis quando os atacantes já estão dentro.
Pontos principais
- Uma única palavra-passe reutilizada cria um risco sistémico imediato. Quando uma credencial é divulgada a partir de qualquer fonte, pessoal ou empresarial, ferramentas automatizadas testam-na em toda a rede da organização em poucas horas.
- O credential stuffing (teste automatizado de credenciais roubadas) é altamente automatizado e imediato. Poucas horas após uma violação pública, os atacantes testam, de forma automatizada, bases de dados de credenciais divulgadas contra portais empresariais.
- O sequestro de sessão (session hijacking) contorna por completo a autenticação multifator (MFA). Os infostealers (malware de roubo de informação) roubam cookies de sessão ativos juntamente com as palavras-passe guardadas no navegador, o que permite aos atacantes clonar sessões legítimas sem acionar pedidos de MFA.
- A rotação forçada de palavras-passe enfraquece a segurança empresarial. As alterações obrigatórias a cada 90 dias conduzem a padrões previsíveis. As normas atuais (incluindo a NIST SP 800-63B) recomendam um comprimento mínimo de 15 caracteres e a rotação apenas em caso de comprometimento efetivo.
- Eliminar a reutilização exige uma abordagem estruturada assente em três pilares. As organizações devem atualizar as políticas desatualizadas, realizar auditorias de credenciais para identificar shadow IT e implementar um cofre centralizado que torne os hábitos seguros isentos de fricção.
- O controlo sistémico deve substituir a responsabilidade individual. O gestor de palavras-passe automatiza a higiene das credenciais: analisa continuamente a existência de duplicados, protege contas de serviço órfãs e gere o acesso granular de fornecedores num cofre centralizado.
Porque a reutilização de palavras-passe é perigosa: O panorama de 2026
A reutilização de palavras-passe cria um ponto único de falha em todas as contas que partilham a mesma credencial. Quando os atacantes obtêm essa credencial a partir de qualquer fonte (empresarial ou pessoal), ferramentas automatizadas testam-na no correio eletrónico empresarial, nos portais de VPN e nas aplicações na nuvem em poucas horas. Em 2025, a Recorded Future indexou 1,95 mil milhões de exposições de credenciais provenientes de malware, das quais 31 % incluíam cookies de sessão ativos que contornam por completo a MFA (autenticação multifator).
Os criminosos criam e comercializam combolists: ficheiros estruturados de pares de e-mail/palavra-passe divulgados, reunidos ao longo de anos de violações de dados. As ferramentas automatizadas testam estes pares nas páginas de início de sessão empresariais, nos portais de VPN e nas aplicações na nuvem poucas horas após o aparecimento de uma nova lista em mercados da dark web. O ataque é mecânico: pegar numa lista de credenciais conhecidas, testá-las numa página de início de sessão e recolher os acertos.
Os infostealers são o canal mais rápido e mais perigoso. Este malware é executado de forma silenciosa num dispositivo infetado, extrai todas as palavras-passe guardadas no navegador, recolhe os cookies de sessão ativos e exfiltra o pacote, muitas vezes em poucos minutos. Se o atacante tiver um token de sessão válido, não é registado qualquer evento de início de sessão, não surge nenhum pedido de MFA e o acesso parece totalmente legítimo.
O volume em 2025 foi impressionante. O 2025 Identity Threat Landscape Report da Recorded Future (publicado em março de 2026) detetou 1,95 mil milhões de exposições de credenciais de combolists de malware ao longo do ano, com um forte aumento do volume: o último trimestre produziu mais 90 % de credenciais indexadas do que o primeiro. O 2026 Identity Breach Report da Constella Intelligence concluiu que quase 60 % dos conjuntos de dados de violações analisados eram compilações de credenciais recicladas, um aumento face ao ano anterior.
Um detalhe dos dados da Recorded Future merece atenção: 276 milhões das credenciais indexadas em 2025 incluíam cookies de sessão ativos. Isto significa que 31 % das credenciais provenientes de malware contornam por completo a MFA, por conceção. A reutilização de palavras-passe é perigosa. A reutilização de credenciais combinada com o sequestro de sessão é um problema de outra categoria.
11 riscos da reutilização de palavras-passe que toda a empresa deve conhecer
A reutilização de palavras-passe cria uma cadeia de vulnerabilidades. Cada um dos riscos abaixo é independente, mas, numa intrusão real, acumulam-se. Um atacante que explore o risco n.º 1 obtém muitas vezes a posição necessária para explorar os riscos n.º 3, 7 e 11 na mesma sessão.
1. Os ataques de início de sessão automatizados atingem todas as contas em simultâneo
Quando uma palavra-passe surge numa violação, os atacantes testam-na em simultâneo no correio eletrónico da empresa, no sistema de RH, no armazenamento na nuvem e no portal de VPN. Trata-se de credential stuffing, totalmente automatizado e executado em grande escala poucas horas após o aparecimento de uma nova combolist. Segundo a investigação complementar da Verizon sobre credential stuffing, no âmbito do DBIR 2025, a proporção diária mediana de credential stuffing nos logs de fornecedores de SSO foi de 19 % de todas as tentativas de autenticação. Quase uma em cada cinco tentativas de início de sessão, num dia normal.
2. Uma violação num dispositivo pessoal torna-se um problema da empresa
Se o portátil doméstico de um colaborador for infetado por malware infostealer (através de uma ligação de phishing ou de uma descarga comprometida), todas as palavras-passe guardadas no navegador são roubadas. Se alguma delas coincidir com as que o colaborador utiliza no trabalho, os sistemas da empresa ficam expostos. A empresa não teve qualquer participação nessa violação, mas suporta as consequências na mesma.
O 2025 Annual Identity Exposure Report da SpyCloud concluiu que 91 % das organizações declararam ter sofrido um incidente relacionado com identidade no último ano, quase o dobro dos valores do ano anterior, com o malware infostealer como um dos principais fatores. A infeção não precisa de ocorrer num equipamento da empresa para se tornar um problema da empresa.
3. Uma palavra-passe abre muitas portas
Numa empresa, os sistemas estão interligados. Um atacante que entre numa conta com uma palavra-passe reutilizada pode usar essa mesma credencial para sondar outros sistemas internos. O que começa como acesso à conta de um único colaborador pode estender-se a servidores de ficheiros, ferramentas internas ou consolas de administração. Quando a intrusão é detetada, o atacante já está lá dentro há semanas.
4. As aplicações não controladas criam backdoors ocultas
Os colaboradores inscrevem-se por iniciativa própria em ferramentas (gestão de projetos, plataformas de design, aplicações de comunicação) com o e-mail profissional e, muitas vezes, com uma palavra-passe que também usam no trabalho. A equipa de TI desconhece a existência destas contas. Quando uma dessas aplicações sofre uma violação, o atacante fica com uma credencial funcional para os sistemas da empresa, através de uma porta que ninguém sabia estar aberta.
Trata-se de shadow IT, um dos riscos de reutilização de palavras-passe mais difíceis de gerir, porque a exposição ocorre por completo fora do alcance da visibilidade da empresa.
5. A autenticação de dois fatores nem sempre protege
Vale a pena adotar a 2FA. Mas não resolve por completo a reutilização de palavras-passe. Os atacantes intercetam o processo de autenticação em tempo real e capturam tanto a palavra-passe como o token de sessão temporário que comprova que a verificação da 2FA já foi concluída. Com esse token, entram, e a 2FA, do ponto de vista do sistema, já cumpriu a sua função.
A 2FA reduz o risco de forma significativa. Ainda assim, uma palavra-passe reutilizada continua a dar aos atacantes um ponto de partida utilizável, e o sequestro de sessão retira a MFA da equação por completo.
6. As palavras-passe reutilizadas podem reprovar na próxima auditoria
Se a empresa trata dados de pagamento ou dados pessoais, ou opera ao abrigo de qualquer quadro formal de segurança, as práticas de gestão de palavras-passe são analisadas com rigor. Normas de segurança como SOC 2, ISO 27001 e PCI DSS exigem que os controlos de acesso sejam geridos de forma adequada, e os auditores verificam se a organização aplica requisitos de qualidade das palavras-passe. A constatação de reutilização generalizada é um sinal de alerta que pode resultar em conclusões de auditoria, falhas de certificação ou lacunas de conformidade que exigem correção formal antes de ser possível fechar um negócio ou renovar um contrato.
7. O acesso de fornecedores faz parte da superfície de ataque
Os prestadores de serviços e os fornecedores externos precisam frequentemente de acesso aos sistemas da empresa. Se essas credenciais forem partilhadas de forma descuidada, ou se o próprio pessoal do fornecedor reutilizar palavras-passe, uma violação no fornecedor torna-se uma violação na organização. O 2026 DBIR da Verizon concluiu que 48 % das violações envolveram, de alguma forma, um terceiro, o que representa um aumento de 60 % face ao ano anterior. As contas de fornecedores são frequentemente esquecidas depois de um projeto terminar. O acesso mantém-se ativo, a palavra-passe nunca muda e ninguém o vigia.
8. As palavras-passe de sistemas também são reutilizadas
As contas de serviço e as credenciais de sistema recebem muito menos atenção do que as contas dos colaboradores. Um programador que gere três ambientes de bases de dados com a mesma palavra-passe não consta de nenhuma lista de saída de colaboradores dos RH. Ninguém é responsável por essa credencial, pelo que ninguém a audita. Quando um ambiente é comprometido, todos os sistemas que partilham essa credencial ficam expostos.
Estas contas não constam de um diretório normal de colaboradores. Nenhuma pessoa é responsável por elas. É por essa lacuna que os atacantes passam.
9. As contas profissionais e pessoais contaminam-se mutuamente
A linha entre palavras-passe pessoais e profissionais esbateu-se quase por completo. Segundo o 2025 Annual Identity Exposure Report da SpyCloud, 70 % dos utilizadores expostos em violações reutilizaram palavras-passe já expostas em várias contas. A SpyCloud descreve esta percentagem como uma taxa histórica (all-time), ou seja, reflete o comportamento de reutilização acumulado em todas as violações do seu conjunto de dados, e não um retrato de um único ano. Um colaborador que usa a palavra-passe de trabalho numa conta pessoal expõe a empresa quando essa conta pessoal sofre uma violação. O inverso é igualmente verdadeiro.
Os dados da SpyCloud mostram ainda que as exposições provenientes de infostealers combinam cada vez mais dados de identidade pessoais e empresariais do mesmo dispositivo, o que torna a fronteira entre o pessoal e o profissional funcionalmente irrelevante para um atacante que já tem a credencial.
10. As alterações forçadas de palavra-passe têm o efeito contrário
Muitas empresas continuam a exigir que os colaboradores alterem as palavras-passe a cada 90 dias. O resultado é, normalmente, Password123! passar a Password124!, uma alteração que cumpre a política sem oferecer qualquer proteção real. As pessoas fazem a menor alteração possível para que o lembrete desapareça.
NIST SP 800-63B-4 (2025) desaconselha a rotação periódica obrigatória precisamente por este motivo. As alterações forçadas produzem padrões previsíveis. A norma exige um mínimo de 15 caracteres para palavras-passe escolhidas pelo utilizador quando a palavra-passe é o único autenticador, e recomenda a rotação apenas perante indícios de comprometimento, e não segundo um calendário.
11. As credenciais roubadas são difíceis de detetar
Quando um atacante utiliza uma palavra-passe real e válida de um colaborador, a sua atividade assemelha-se ao comportamento normal de um utilizador. Não dispara nenhum alarme, nenhum início de sessão é bloqueado e não surge qualquer sinal evidente de que algo está errado. Pode permanecer nos sistemas durante semanas, a ler e-mails, a aceder a ficheiros e a mapear a estrutura interna, antes de alguém reparar. Segundo o 2025 Cost of a Data Breach Report da IBM, as organizações demoraram em média 158 dias a identificar uma violação e mais 83 dias a contê-la, o que perfaz um ciclo de vida total de 241 dias, o valor mais baixo em nove anos, mas ainda assim suficiente para um atacante com uma credencial válida causar danos graves.
Como afastar a equipa da reutilização de palavras-passe
Mudar os hábitos de palavras-passe numa equipa não se consegue com o envio de um documento de política. É necessário eliminar a fricção que faz com que a reutilização pareça necessária. A estrutura abaixo (a estratégia de defesa de palavras-passe em três pilares: política, auditoria e cofre) aborda cada camada em que a reutilização se enraíza.
Pilar 1 – Política: Alterar as regras, e não apenas os lembretes.
Abandone a exigência de rotação a cada 90 dias. Siga, em vez disso, as diretrizes da NIST SP 800-63B: exija palavras-passe com pelo menos 15 caracteres, verifique as novas palavras-passe face a listas de violações conhecidas e deixe de impor regras de complexidade que apenas geram padrões como Summer2026!. Comunique a alteração à equipa com uma justificação clara: «estamos a abandonar a rotação forçada porque produzia palavras-passe previsíveis, e não seguras». As pessoas cumprem as regras que compreendem.
| Área da política | Abordagem tradicional | NIST SP 800-63B (2025) |
|---|---|---|
| Comprimento mínimo | 8 caracteres | 15 caracteres (escolhidos pelo utilizador) |
| Rotação | A cada 90 dias | Apenas perante indícios de comprometimento |
| Regras de complexidade | Maiúsculas + número + símbolo obrigatórios | Não recomendadas, pois geram padrões previsíveis |
| Verificação face a violações | Raramente implementada | Obrigatória: verificação face a listas de violações conhecidas |
| Restrição de reutilização | Frequentemente, as 5 palavras-passe anteriores | Única por conta, imposta por ferramentas |
| Contas partilhadas | Comuns na prática | Proibidas: um ID único por utilizador |
Pilar 2 – Auditoria: Descobrir o que realmente se tem entre mãos.
Antes de poder corrigir o problema, é necessário mapeá-lo. Nesta fase, não se auditam palavras-passe, audita-se a superfície de ataque. Obtenha uma lista de todos os sistemas, aplicações e serviços a que a equipa acede. Verifique no diretório AD/LDAP as contas ativas, as contas obsoletas e as credenciais partilhadas. Identifique onde o SSO já abrange a autenticação e onde não abrange. O resultado é um retrato claro: quantas palavras-passe distintas a equipa gere realmente e que sistemas representam maior risco se essas credenciais forem comprometidas.
Este é o trabalho de base do Pilar 3. Depois de o gestor de palavras-passe estar implementado, realiza-se a segunda passagem: a análise de palavras-passe fracas, duplicadas ou obsoletas em tudo o que está fora do SSO. É nesse momento que surge o retrato completo.
Pilar 3 – Cofre: Tornar a opção segura a opção mais fácil.
Implemente um gestor de palavras-passe de utilização obrigatória para todas as contas fora do SSO. O objetivo é tornar a opção segura a opção predefinida. Quando a ferramenta gera e preenche as credenciais automaticamente, a reutilização deixa de ser uma escolha. Faça a implementação equipa a equipa, a começar pelos grupos com acesso aos sistemas mais sensíveis. Complemente-a com uma breve sessão de integração, e não com um documento de formação extenso.
Como o Passwork aborda a reutilização de palavras-passe a nível organizacional
A gestão da reutilização de palavras-passe exige a passagem da responsabilidade individual para o controlo sistémico. A tabela abaixo resume a forma como o Passwork mitiga os principais riscos de reutilização de palavras-passe identificados neste guia.
| Risco de reutilização de palavras-passe | Nível de risco | Resposta e mitigação do Passwork |
|---|---|---|
| Movimento lateral e credential stuffing (riscos 1, 3 e 9) | Crítico | O Security Dashboard (painel de segurança) sinaliza automaticamente palavras-passe duplicadas, fracas e desatualizadas em todos os cofres. Os administradores podem identificar e eliminar credenciais partilhadas antes que os atacantes as explorem. |
| Malware infostealer e exposição do armazenamento no navegador (risco 2) | Elevado | O Passwork substitui as palavras-passe guardadas de forma insegura no navegador por um cofre centralizado e cifrado. Os colaboradores acedem às credenciais através de extensões de navegador seguras, o que impede que dados em bruto fiquem em cache local em texto em claro. |
| Contas de serviço e de sistema órfãs (risco 8) | Elevado | Os cofres estruturados permitem às equipas atribuir uma responsabilidade explícita às credenciais de bases de dados, de API e de serviços. Cada credencial de sistema é catalogada, monitorizada e auditada. |
| Acesso de fornecedores e prestadores de serviços sem gestão (risco 7) | Elevado | O controlo de acesso baseado em funções (RBAC) concede acesso temporário e granular a credenciais específicas. Os administradores revogam o acesso de imediato, num único passo, quando um projeto ou contrato termina. |
| Falhas de auditoria e de conformidade (risco 6) | Elevado | Os registos de atividade detalhados e a auditoria de segurança contínua fornecem prova verificável da qualidade das palavras-passe e do controlo de acessos para a conformidade com SOC 2, ISO 27001 e PCI DSS. |
O painel de auditoria de segurança do Passwork analisa continuamente todos os cofres. As credenciais fracas e desatualizadas surgem automaticamente, sem necessidade de verificação manual. Os administradores dispõem de uma vista consolidada de todas as equipas e contas. É essa camada de visibilidade que permite que uma auditoria de credenciais funcione em grande escala.
O controlo de acesso baseado em funções (RBAC) significa que as palavras-passe são partilhadas através do cofre, e não através de mensagens de chat ou de cadeias de e-mails. Quando um membro da equipa se junta a um projeto, obtém automaticamente acesso às credenciais relevantes. Quando sai, o acesso é revogado num único passo. Deixa de ser necessário procurar a que pastas partilhadas ainda tem acesso.
Para organizações com requisitos rigorosos de residência de dados ou de conformidade, o Passwork está disponível numa implementação autoalojada: tudo é executado em infraestrutura sob o controlo da organização, sem dependência de um fornecedor externo. As equipas que pretendam uma implementação mais rápida, sem gerir os próprios servidores, podem utilizar o Passwork Cloud, que oferece o mesmo conjunto de funcionalidades sem a carga de infraestrutura.
Conclusão
A reutilização de palavras-passe persiste porque os sistemas que a rodeiam fazem dela o caminho de menor resistência. Quando 70 % dos utilizadores expostos em violações reutilizam palavras-passe já expostas em várias contas, a resposta não é um memorando mais enérgico sobre higiene, mas sim eliminar as condições que fazem com que a reutilização pareça necessária.
A estratégia de defesa de palavras-passe em três pilares oferece à equipa um caminho prático. Primeiro, as alterações à política, porque auditar com base em regras erradas faz perder tempo. Depois, a auditoria, porque não se pode corrigir o que não se vê. Por fim, o cofre, porque a imposição sem ferramentas é apenas documentação.
O primeiro mês fará surgir uma longa lista de riscos de reutilização e de palavras-passe fracas, agora visíveis. Isso não é um problema: é a auditoria a cumprir a sua função. Execute primeiro a auditoria. Tudo o resto decorre do que ela revelar.
Perguntas frequentes
A reutilização de palavras-passe é um problema se a palavra-passe for muito forte?
Sim. Uma palavra-passe forte exposta numa violação pode ser utilizada de imediato pelos atacantes: não precisam de a descobrir, porque já a têm em texto em claro na base de dados da violação. A robustez só é relevante contra ataques de adivinhação. Perante uma lista de credenciais roubadas, uma palavra-passe de 20 caracteres não oferece mais proteção do que uma de 6. O que conta é a unicidade, e não a complexidade.
Como auditar a reutilização de palavras-passe numa empresa?
Utilize um gestor de palavras-passe empresarial com auditoria de segurança integrada, que sinalize automaticamente credenciais duplicadas, fracas ou desatualizadas em todas as contas. As verificações manuais não escalam e deixam escapar contas de serviço, inícios de sessão partilhados e shadow IT. A análise automatizada proporciona visibilidade contínua, em vez de um retrato pontual.
A autenticação de dois fatores impede os ataques de reutilização de palavras-passe?
Não por completo. Os atacantes podem capturar, em tempo real, tanto a palavra-passe como o token de sessão ativo, e contornar a 2FA depois de esta já ter sido superada. A Recorded Future concluiu que 31 % das credenciais provenientes de malware em 2025 incluíam cookies de sessão ativos, ou seja, a MFA foi ultrapassada por conceção e não neutralizada. A 2FA é uma camada de defesa importante, mas não anula o risco criado pelas palavras-passe reutilizadas.
O que é uma combolist?
Uma combolist é um ficheiro com milhões de pares de nome de utilizador e palavra-passe divulgados, recolhidos de várias violações de dados e vendidos em mercados criminosos. Os atacantes utilizam estas listas para testar automaticamente credenciais em sistemas de início de sessão. Se uma palavra-passe constar de uma delas, proveniente de qualquer violação, em qualquer lugar, todas as contas em que tenha sido reutilizada ficam em risco.
Uma auditoria de segurança pode sinalizar a reutilização de palavras-passe?
Sim. Os auditores que avaliam a conformidade com SOC 2, ISO 27001 ou PCI DSS procuram evidências de que os controlos de acesso são geridos de forma adequada. A reutilização generalizada de palavras-passe é tratada como uma falha de controlo e resulta, em regra, numa constatação formal que tem de ser resolvida antes de a certificação ou a atestação ser concedida.
Qual é a diferença entre credential stuffing e um ataque de força bruta?
O credential stuffing utiliza pares de nome de utilizador/palavra-passe já roubados, provenientes de bases de dados de violações, e testa-os noutros serviços. Os ataques de força bruta tentam adivinhar uma palavra-passe desconhecida através da geração de combinações. O credential stuffing é mais rápido, mais barato e mais eficaz contra palavras-passe reutilizadas, porque o atacante já tem a resposta correta e apenas descobre que fechaduras ela abre.
O que diz o NIST sobre a rotação de palavras-passe?
A NIST SP 800-63B-4 (versão final, julho de 2025) desaconselha a rotação periódica obrigatória. As alterações forçadas produzem padrões incrementais previsíveis (Password1 passa a Password2) sem melhorar a segurança. A norma recomenda a rotação apenas quando existem indícios de comprometimento e fixa um comprimento mínimo de 15 caracteres para palavras-passe escolhidas pelo utilizador e usadas como único autenticador.
Alex Muntyan
Alex Muntyan
Alex Muntyan