A complexidade das passwords é um mito — o que realmente o protege#
💡 Resumo rápido: Passwords ultra-complexas não são o que o protege — a reutilização de passwords é o verdadeiro problema. Uma estratégia simples de compartimentação é mais eficaz do que qualquer combinação de caracteres especiais.
Durante anos fomos ensinados que uma boa password tinha de ter maiúsculas, minúsculas, números e caracteres especiais. Quanto mais difícil de escrever, melhor. Mas esta ideia está desatualizada e, pior ainda, pode dar-lhe uma falsa sensação de segurança.
A verdade é que a grande maioria das pessoas não é alvo de ataques de força bruta — aqueles em que um atacante tenta todas as combinações possíveis. As plataformas online têm limites de tentativas, autenticação de dois fatores e atrasos automáticos que tornam esse tipo de ataque praticamente inviável para o utilizador comum.
O problema real tem outro nome: reutilização de passwords. Quando uma plataforma é atacada — e isso acontece com regularidade, do LinkedIn ao SNS, o par email + password fica exposto. Se usar a mesma password em vários serviços, um único ataque pode comprometer tudo.
Pontos-chave#
- Força bruta não é a ameaça principal: Com limites de tentativas, atrasos e autenticação de dois fatores, os ataques de força bruta a contas online são, na prática, inviáveis para o utilizador comum.
- A reutilização de passwords é o verdadeiro risco: Quando uma plataforma sofre uma fuga de dados, o par email/password é testado noutros serviços. É assim que a maioria das contas é comprometida.
- Verifique se já foi afetado: O site HaveIBeenPwned.com agrega bases de dados de fugas e indica se o seu email já foi exposto. As probabilidades de já estar na lista são elevadas.
- Phishing é a outra grande ameaça: A maior parte dos ataques chega por email ou SMS com links falsos. Nunca introduza credenciais numa página acedida através de um link recebido — vá diretamente ao site pelo browser.
- Passkeys e chaves de hardware: Muitas plataformas já suportam passkeys, uma alternativa mais segura às passwords tradicionais. Para máxima segurança, uma chave física como a YubiKey elimina a dependência de dispositivos específicos.
Estratégia prática de passwords#
A abordagem recomendada divide as passwords em dois níveis:
Nível 1 — Alta segurança (email, banco, serviços críticos): use uma frase com seis palavras aleatórias, nunca reutilizada, com 28 a 35 caracteres. Este formato é longo, difícil de atacar e fácil de ler — mas deve ser armazenado num gestor de passwords (poderá usar o excelente gestor de senhas Keepass).
Nível 2 — Segurança intermédia (redes sociais, streaming, compras): divida os serviços em três grupos — redes sociais, entretenimento e compras — e use uma frase de quatro palavras aleatórias diferente para cada grupo. A reutilização existe, mas está compartimentada: uma fuga num serviço de streaming não afeta as redes sociais nem as compras.
O ponto de partida é sempre o mesmo: comece do zero. Não reutilize passwords antigas, pois podem já estar comprometidas.
A minha opinião#
Com muitos anos a trabalhar com sistemas, já vi muitas modas em matéria de segurança. A obsessão com passwords “difíceis” sempre me pareceu mais teatro do que proteção real — e os dados confirmam isso. O vetor de ataque mais comum não é o hacker paciente a tentar combinações, é a fuga de dados de plataformas que guardaram as suas credenciais de forma descuidada.
O que me agrada nesta abordagem é a sua honestidade: não pede ao utilizador comum que memorize strings de 40 caracteres nem que mude de comportamento de forma radical. Pede algo mais razoável — compartimentar o risco e nunca clicar em links suspeitos. Ferramentas como o HaveIBeenPwned deviam ser de uso regular, da mesma forma que se verifica o extrato bancário. Se ainda não o fez, vá lá agora. 💡🐭