Credential Stuffing: Quando Uma Violação Se Torna Muitas
Se alguma vez reutilizou uma palavra-passe em várias contas — e a maioria das pessoas já o fez — é um potencial alvo de credential stuffing. É um dos métodos de ataque mais comuns e eficazes utilizados pelos cibercriminosos atualmente, e explora um hábito muito humano: escolher a comodidade em detrimento da segurança.
O Que É
Credential stuffing é um tipo de ciberataque automatizado em que hackers pegam em grandes listas de nomes de utilizador e palavras-passe vazados (normalmente obtidos de violações de dados anteriores) e os testam sistematicamente em dezenas ou centenas de sites diferentes. A lógica é simples: se alguém utilizou o mesmo e-mail e palavra-passe tanto num fórum de jogos como na sua conta bancária online, comprometer uma delas compromete efetivamente a outra.
Ao contrário dos ataques de força bruta, que testam palavras-passe aleatórias ou baseadas em dicionários, o credential stuffing utiliza credenciais reais que já provaram funcionar nalgum lugar. Isto torna-o significativamente mais eficiente e mais difícil de detetar.
Como Funciona
O processo segue tipicamente um padrão previsível:
- Aquisição de dados — Os atacantes compram ou descarregam bases de dados de credenciais comprometidas em marketplaces da dark web. Algumas listas contêm centenas de milhões de pares de nome de utilizador e palavra-passe.
- Automação — Usando ferramentas especializadas (por vezes chamadas de "verificadores de contas" ou frameworks de credential stuffing), os atacantes carregam as credenciais roubadas e direcionam-nas para uma página de login alvo.
- Ataque distribuído — Para evitar acionar limitações de taxa ou bloqueios de IP, os atacantes encaminham o tráfego através de botnets ou de um grande número de proxies residenciais, fazendo parecer que as tentativas de login provêm de milhares de utilizadores diferentes em todo o mundo.
- Recolha de contas válidas — O software assinala qualquer login bem-sucedido, dando aos atacantes acesso a contas verificadas. Estas são exploradas diretamente, vendidas, ou utilizadas para cometer fraudes adicionais.
As taxas de sucesso são geralmente baixas — frequentemente entre 0,1% e 2% — mas quando se testam milhões de credenciais, mesmo 0,5% se traduz em milhares de contas comprometidas.
Por Que Isto É Relevante para Utilizadores de VPN
Os utilizadores de VPN não estão imunes ao credential stuffing — na verdade, há um aspeto específico que vale a pena conhecer. Alguns fornecedores de VPN foram eles próprios alvo de ataques. Em incidentes anteriores, ataques de credential stuffing contra serviços VPN resultaram no acesso de atacantes às contas dos utilizadores e, em alguns casos, aos seus dispositivos ligados ou configurações privadas.
Além disso, utilizar uma VPN não o protege se as suas credenciais já estiverem comprometidas. Uma VPN oculta o seu endereço IP e encripta o seu tráfego, mas não consegue impedir um atacante de aceder à sua conta do Netflix, e-mail ou banco com uma palavra-passe que reutilizou de um site comprometido.
No entanto, uma VPN pode ajudar a reduzir a sua exposição de formas indiretas. Ao mascarar o seu endereço IP real, torna-se mais difícil para rastreadores e data brokers construírem perfis que liguem as suas várias contas online — o que pode limitar o impacto quando ocorrem violações.
Exemplos Reais
- Em 2020, ataques de credential stuffing atingiram simultaneamente vários fornecedores de VPN e serviços de streaming de vídeo, com atacantes a testar credenciais roubadas de violações não relacionadas nos setores de jogos e retalho.
- O Disney+ sofreu uma vaga de apropriações de contas pouco após o seu lançamento — não devido a uma violação dos sistemas da Disney, mas porque os utilizadores tinham reutilizado palavras-passe de outros serviços comprometidos.
- As instituições financeiras registam regularmente tentativas de credential stuffing na ordem dos milhões por dia, na sua maioria neutralizadas por limitação de taxa e autenticação multifator.
Como Se Proteger
A defesa é simples, mesmo que a mudança de hábitos não o seja:
- Use uma palavra-passe única para cada conta. Um gestor de palavras-passe torna isto prático.
- Ative a autenticação de dois fatores (2FA) sempre que possível. Mesmo que um atacante tenha a sua palavra-passe, não terá o seu segundo fator.
- Consulte bases de dados de violações como o HaveIBeenPwned para verificar se as suas credenciais foram expostas.
- Monitorize os logins das suas contas em busca de localizações ou dispositivos não reconhecidos.
O credential stuffing funciona porque as pessoas reutilizam palavras-passe. Deixe de o fazer, e o ataque deixa em grande medida de funcionar contra si.