Ataque de dicionário: porque as palavras com sentido caem primeiro

Ficha complementar da lição “Ataques de dicionário: porque caem primeiro as que têm sentido” — curso Segurança Online

Um ataque de dicionário não experimenta todas as palavras-passe possíveis. Experimenta as prováveis — palavras, nomes, datas, as pequenas variações a que as pessoas recorrem. Funciona porque quase todas as palavras-passe foram escolhidas para serem recordadas, e tudo o que é memorável é, por definição, previsível.

A. Porque é que isto conta

Um ataque de dicionário percorre listas: palavras comuns, nomes populares, cidades, clubes de futebol, anos de nascimento, e as pequenas alterações que as pessoas lhes fazem — trocar um a por um 4, acrescentar um ponto de exclamação no fim.

A Microsoft descreve o método em português de Portugal com uma precisão que vale a pena citar: «os hackers tentam descodificar a palavra-passe ao introduzir cada palavra no dicionário, através de derivados dessas palavras com alteração de carateres». Essa segunda metade é a parte importante. As substituições de letras por números não são um truque novo — são uma linha do próprio ataque.

É muito mais rápido do que experimentar todas as combinações, porque não experimenta tudo. Experimenta o que as pessoas escolhem de facto. E as pessoas escolhem coisas de que se lembram.

Vale mais compreender isto do que simplesmente obedecer, porque muda o significado de «uma boa palavra-passe». Não se trata de parecer complicada. Trata-se de ser imprevisível.

B. Conceitos-chave

Seis ideias, cada uma com o que muda para ti.

Ataque de dicionário

Um programa que experimenta palavras e expressões de dicionários e de listas de palavras-passe expostas em fugas de dados, uma atrás da outra, incluindo as variantes quase certas como P4ssword!. O Santander Portugal chama-lhe, no seu blogue, «hacking de dicionário ou de força bruta», e resume o mecanismo em três palavras: tentativa e erro.

Porque é que isto conta para ti: conhecer o método é o que torna o conselho concreto — evitar tudo o que uma lista possa conter, em vez de simplesmente acrescentar um símbolo ao que já usas.

Palavras-passe feitas de dados pessoais

Nomes, datas de nascimento, o clube de que gostas, a cidade onde vives, uma alcunha. Estes entram em listas personalizadas, construídas para uma pessoa em concreto.

Porque é que isto conta para ti: tudo o que está visível nos teus perfis das redes sociais pode ser montado numa lista curta. Os detalhes que fazem uma palavra-passe parecer tua são os que a entregam.

Frases-passe longas e pouco óbvias

Várias palavras sem relação entre si, de preferência com um número e um símbolo. Longas o suficiente para resistir à força bruta, imprevisíveis o suficiente para ficarem fora de qualquer lista. Uma nota sobre o nome: o CNCS chama-lhes frases-chave, e a DECO usa frase-passe para outra coisa — uma frase com sentido com letras substituídas, que é precisamente o que aqui se pede para evitar.

Porque é que isto conta para ti: ficas com as duas propriedades ao mesmo tempo — e, ao contrário de um cordão aleatório, ainda a consegues escrever de memória quando tens de o fazer.

Unicidade da palavra-passe

Uma palavra-passe por serviço, nunca repetida. Quando um site sofre uma fuga de dados, a exposição acaba ali. É o que a CNPD (Portugal) exige na DIRETRIZ/2023/1: credenciais «únicas», por serviço.

Porque é que isto conta para ti: é isto que impede uma única fuga de se tornar várias. Conta mais do que a qualidade de qualquer palavra-passe isolada.

Reutilização de credenciais roubadas

Alguém pega nas palavras-passe expostas numa fuga de dados e experimenta-as automaticamente em muitos outros serviços. Em inglês chama-se credential stuffing, e é assim que a Microsoft lhe chama também em pt-PT: «a utilização automática de nomes de utilizador e palavras-passe roubados para obter acesso ilícito a contas online». A Google, em português, prefere a perífrase transparente — «reutilização de credenciais roubadas» —, e é essa que usamos aqui. Nenhuma autoridade portuguesa lhe deu ainda um nome.

Porque é que isto conta para ti: explica porque é que a reutilização é o hábito concreto a cortar primeiro. Este ataque não precisa de adivinhar nada, só do teu hábito.

Um segundo fator

A autenticação com vários fatores, ou uma passkey — uma chave de acesso — onde o serviço a ofereça.

Porque é que isto conta para ti: mesmo uma palavra-passe corretamente adivinhada fica à porta. É esta a camada que torna o resto sobrevivível.

C. Um exemplo concreto: uma palavra-passe com uma história por trás

O Rui usa isto no seu correio eletrónico:

Benfica1990

O clube de que gosta e o ano em que nasceu. Tem sentido, é fácil de recordar, e assenta exatamente onde um ataque de dicionário procura primeiro: nomes de clubes populares combinados com anos plausíveis.

Um fórum antigo de que já se tinha esquecido sofre uma fuga de dados, e o endereço e a palavra-passe dele acabam numa lista a circular. A partir daí não é preciso adivinhar nada — a mesma combinação é simplesmente experimentada noutros serviços.

• Abre-lhe o correio eletrónico.
• As contas das redes sociais seguem-se, porque as palavras-passe de lá são variações da mesma coisa.
• As reposições de palavra-passe de outros serviços começam a chegar a uma caixa de correio que já não controla.

Não é um caso invulgar nem hipotético: a Polícia Judiciária mantém, nos seus Alertas ao Cidadão, um aviso dedicado à «burla informática através de captura de credenciais de correio eletrónico». A caixa de correio é o alvo, e a palavra-passe com uma história por trás é a porta.

O que teria mudado o desfecho

• Uma frase-passe só para o correio eletrónico — algo como limao-comboio-7-mar-distante — que não pertence a lista nenhuma nem a mais nenhuma conta.
• Essa frase-passe guardada num gestor de palavras-passe, que passa a gerar palavras-passe diferentes em todo o resto.
• Autenticação com vários fatores na caixa de correio, para que a palavra-passe exposta não tivesse bastado.

O Rui não foi descuidado. Escolheu algo de que se lembrasse — que é o que quase todos fazem, e exatamente aquilo à volta do qual o ataque foi construído.

D. Experimenta: do previsível ao indisponível

Cerca de 5 minutos. Trabalha com exemplos, não com as tuas palavras-passe verdadeiras.

Passo 1 — Ordena estas por risco

• Joana90
• Lisboa2024!
• Azul!Cao$27Massa
• verao123
• Livro!Mesa-Nuvem7
• Para cada uma: risco muito alto, médio ou baixo? Depois pergunta o que faz a diferença — raramente são os símbolos.

Passo 2 — Transforma uma, de cabeça

• Pensa numa palavra-passe fraca que seja tua. Não a escrevas.
• Substitui a palavra óbvia por três ou quatro palavras sem ligação entre si.
• Acrescenta números que não signifiquem nada — não uma data que reconhecerias.
• Põe um símbolo em qualquer sítio que não seja o fim.
• Depois pergunta: a versão nova apareceria numa lista feita a meu respeito?

A prova honesta não é se parece complicada. É se alguém que tivesse lido os teus perfis nas redes sociais conseguiria montá-la.

E. Vídeos, artigos e outros recursos

O ponto central desta ficha está coberto em português — e por uma frase só, que vale mais do que muitas páginas: as substituições de caracteres fazem parte do ataque, não da defesa. O que fica em inglês são as listas de palavras-passe violadas como ferramenta e o método das palavras aleatórias, que nenhuma fonte portuguesa descreve.

Fontes portuguesas

Microsoft (pt-PT) — O que é a Proteção por Palavra-passe?
A fonte desta ficha para os nomes dos ataques em português de Portugal: ataques de dicionário, com os «derivados dessas palavras com alteração de carateres», ataques de força bruta, credential-stuffing e keylogging. É um produtor e não uma autoridade, e é o melhor que existe em português.
https://www.microsoft.com/pt-pt/security/business/security-101/what-is-password-protection

CNCS — Boas práticas no uso de palavras-passe
A autoridade nacional de cibersegurança: pelo menos 12 caracteres, uma palavra-passe diferente por serviço, um gestor de palavras-passe, e mudá-las só em caso de suspeita de comprometimento.
https://www.cncs.gov.pt/pt/boas-praticas-passwords/

CNCS — Boas práticas nas redes sociais
Importa aqui por causa dos dados pessoais que alimentam as listas personalizadas. É também onde o CNCS reúne os números portugueses: 16% dos portugueses mudaram a palavra-passe de uma rede social em doze meses, contra 25% na média europeia (Eurobarómetro 499, 2020).
https://www.cncs.gov.pt/pt/boas-praticas-nas-redes-sociais/

Polícia Judiciária — Alertas ao Cidadão
Inclui o alerta sobre «burla informática através de captura de credenciais de correio eletrónico». É o vocabulário penal português do que esta ficha descreve, e a confirmação de que a caixa de correio é o alvo preferido.
https://www.policiajudiciaria.pt/alertas-2/

Google (pt-PT) — Ferramentas de autenticação para um início de sessão seguro
Onde aparece, em português corrente, a expressão «reutilização de credenciais roubadas», e a explicação do alerta automático quando uma palavra-passe guardada aparece numa violação de dados.
https://safety.google/intl/pt-PT_pt/authentication/

CNPD (Portugal) — DIRETRIZ/2023/1, medidas de segurança
Janeiro de 2023. A autoridade nacional de proteção de dados exige credenciais fortes, longas e únicas, e o bloqueio das contas após várias tentativas inválidas. Dirige-se a quem trata dados de outras pessoas.
https://www.cnpd.pt/umbraco/surface/cnpdDecision/download/122048

Referências internacionais que se mantêm

NCSC (Reino Unido) — Three random words, or #thinkrandom (em inglês)

O texto curto mais claro sobre porque é que a imprevisibilidade vence a complexidade — e como consegui-la sem um sistema para memorizar. Em português, o método das palavras aleatórias não está descrito em lado nenhum.
https://www.ncsc.gov.uk/blog-post/three-random-words-or-thinkrandom-0

EFF — Creating strong passwords (em inglês)
Um método claro para construir uma frase-passe de que te lembres, incluindo a abordagem com dados de jogar.
https://ssd.eff.org/module/creating-strong-passwords

NIST — Digital Identity Guidelines, SP 800-63B (Revision 4) (em inglês)
A norma de agosto de 2025 por trás de quase todo o conselho moderno sobre palavras-passe. Técnica, mas é daqui que vem a «extensão antes da complexidade».
https://pages.nist.gov/800-63-4/sp800-63b.html

NCSC (Reino Unido) — What to do if your account is hacked (em inglês)
O que fazer nas horas seguintes a uma conta deixar de ser tua. Em Portugal, o primeiro contacto é a Linha Internet Segura da APAV: 800 21 90 90.
https://www.ncsc.gov.uk/section/respond-recover/hacked-accounts

Ligações verificadas a 26 de setembro de 2026.

F. O Framework Cyber Welfare: Competências, Consciência, Comportamento Seguro

Esta lição assenta no pilar Consciência, no nível FL2, e faz par com a ficha sobre a força bruta.

Competências

• Distinguir uma palavra-passe previsível de uma imprevisível, independentemente do aspeto que tenha.
• Construir frases-passe que não se baseiem em palavras comuns nem em dados pessoais.
• Usar um gestor de palavras-passe e configurar um segundo fator nas contas críticas.

Para profissionais e organizações

• Reconhecer os ataques de dicionário como um risco sistémico para as contas das equipas, e não como uma falha individual.

Consciência

• Reconhecer que as palavras-passe cómodas e com sentido são as mais visadas precisamente por serem comuns.
• Compreender a ligação entre a reutilização e o que acontece depois da fuga de dados de outra pessoa.

Para futuros formadores e embaixadores

• Ser capaz de explicar isto sem fazer ninguém sentir-se tolo. Quase todos têm uma palavra-passe com uma história por trás.

Comportamento Seguro

• Retirar de circulação as palavras-passe fracas aos poucos, a começar pelas contas que contam.
• Fazer do gestor de palavras-passe parte da rotina, e não um esforço ocasional.
• Verificar de vez em quando se os teus endereços aparecem em fugas de dados conhecidas — a Google e a Apple avisam-te automaticamente.

Para organizações

• Fixar políticas mínimas de extensão, unicidade, autenticação com vários fatores e bloqueio após tentativas repetidas (R8). Em Portugal, o bloqueio é exigência da CNPD (Portugal), não uma opção.

G. Perguntas para levar contigo

1. Quantas das tuas palavras-passe atuais contêm uma palavra, um nome, uma data ou uma referência que alguém encontraria nos teus perfis das redes sociais?
2. Se uma delas fosse adivinhada, quantas outras contas usam a mesma coisa, ou uma pequena variação dela?
3. Já tens pelo menos uma conta crítica protegida por algo que não pertence a lista nenhuma?
4. Que conta poderias pôr fora de alcance antes do fim do dia de hoje?

H. O que fazer agora

As recomendações (R) e as medidas de segurança (MS) que se aplicam tanto aos ataques de dicionário como aos de força bruta.

Credenciais

• R1 — Não uses a mesma palavra-passe, nem quase a mesma, em várias contas.
• R2 — Usa um gestor de palavras-passe de confiança, com uma palavra-passe principal forte e única.
• R3 — Leva as tuas palavras-passe ou frases-passe a pelo menos 16 caracteres, com números, letras maiúsculas e minúsculas e símbolos.
• R4 — Liga a autenticação com vários fatores nas contas importantes: correio eletrónico, redes sociais principais, serviços financeiros.
• MS1 — Usa um gerador em vez de inventares as palavras-passe: produz coisas que nenhum dicionário contém.
• MS2 — Deixa o gestor preenchê-las, o que também evita as variantes humanas fracas a que se acaba por recorrer.

À volta das credenciais

• R6 — Mantém o software dos dispositivos atualizado: o software malicioso que rouba ou interceta palavras-passe não se preocupa com a força delas.
• R8 — Liga os limites de tentativas e os alertas de início de sessão onde o serviço os oferecer.
• MS4 — Usa um código de acesso alfanumérico longo no dispositivo onde está instalado o teu gestor de palavras-passe.
• MS17 — Dá ao endereço de correio eletrónico ligado aos teus serviços financeiros uma palavra-passe única e forte e um segundo fator. É normalmente a primeira conta a ser tentada depois de uma adivinhação bem-sucedida.

O passo útil mínimo

1. Escolhe uma conta crítica: correio eletrónico, banco ou armazenamento na nuvem.
2. Dá-lhe uma frase-passe nova que não contenha nenhuma palavra ligada a ti (R3, MS1).
3. Deixa de a reutilizar em qualquer outro sítio (R1), e guarda-a num gestor de palavras-passe (R2, MS2).
4. Liga o segundo fator (R4, MS17).

Essa única conta sai do alcance dos dois tipos de ataque ao mesmo tempo — a adivinhação e a reutilização.

Em resumo

• Os ataques de dicionário experimentam o que as pessoas escolhem, não tudo o que é possível — e é por isso que são rápidos.
• Os dados pessoais são o ingrediente mais fraco: estreitam a lista em vez de a alargarem.
• As substituições de letras por números fazem parte do ataque: P@ssw0rd não é mais forte do que password.
• Palavras sem ligação entre si valem mais do que qualquer truque, e um gerador vale mais do que as duas coisas.
• A unicidade é o que limita os danos quando a fuga de dados acontece noutro sítio qualquer.

Descobre mais fichas complementares dos cursos do programa Proteja a Sua Privacidade Digital.