Ataque de força bruta: como funciona e o que o trava

Ficha complementar da lição “Ataques de força bruta: como funcionam e o que os trava” — curso Segurança Online

Um ataque de força bruta é uma máquina a experimentar palavras-passe, uma atrás da outra, até uma abrir a conta. Não há nada de inteligente nisso — e é exatamente por isso que funciona tantas vezes contra palavras-passe curtas e falha por completo contra as longas. Esta ficha mostra onde está a linha que separa as duas.

A. Porque é que isto conta

Um ataque de força bruta experimenta automaticamente um número enorme de palavras-passe até uma delas abrir a conta. Não há perspicácia nenhuma e não há escolha de vítima: é uma máquina a percorrer possibilidades.

A Microsoft descreve-o, em português de Portugal, como «um método que utiliza tentativa e erro para descodificar palavras-passe e credenciais de início de sessão». É a definição mais simples que há, e é toda a verdade sobre o assunto.

Isso faz do resultado uma questão de aritmética e não de sorte. Se a palavra-passe é curta, simples ou reutilizada, o número de tentativas encolhe para algo que um computador percorre depressa. Se é longa e imprevisível, o mesmo ataque demoraria mais do que alguém está disposto a esperar.

Em Portugal, a resposta do lado de quem guarda os teus dados está escrita. A CNPD (Portugal) — a autoridade nacional de proteção de dados — manda, na DIRETRIZ/2023/1 de janeiro de 2023, «bloquear as contas após várias tentativas inválidas de login». A diretriz não nomeia a força bruta, mas é essa a contramedida, imposta por uma autoridade nacional.

B. Conceitos-chave

Seis ideias, cada uma com o que muda para as tuas próprias contas.

Ataque de força bruta

Tentativas automáticas de muitas combinações possíveis até se encontrar a certa. Simples, e eficaz sempre que a palavra-passe é fraca.

Porque é que isto conta para ti: explica porque é que uma palavra-passe que parece «suficientemente boa» pode ceder. Ao ataque não interessa se ela parece esperta, só quantas tentativas são precisas.

O espaço das combinações

O número total de palavras-passe que alguém teria de percorrer. Cresce com a extensão da palavra-passe e com a variedade de caracteres que ela tem — e cresce muito depressa.

Porque é que isto conta para ti: acrescentar caracteres não torna o ataque um pouco mais difícil. Multiplica o trabalho necessário, e é por isso que a extensão é a alavanca que conta.

Palavras-passe fracas e previsíveis

Palavras do dicionário, nomes, datas e velhas conhecidas como Password123. Estas estão nas listas que se experimentam primeiro, antes de começar qualquer força bruta a sério. A Microsoft Learn dá a mesma lista noutras palavras — abcdefg, password, monkey, 123456 — ao explicar porque é que convém «proibir a utilização de palavras-passe fáceis de adivinhar».

Porque é que isto conta para ti: uma palavra-passe previsível nem chega à fase da força bruta. É simplesmente consultada numa lista, o que não leva tempo que valha a pena medir.

Palavras-passe fortes e frases-passe

Credenciais longas — de preferência com 16 caracteres ou mais — a misturar maiúsculas, minúsculas, números e símbolos, ou várias palavras sem relação entre si encadeadas. Em Portugal, o mínimo pedido é mais baixo: 12 caracteres, no CNCS e na CNPD (Portugal), sempre com tipos de caracteres variados.

Porque é que isto conta para ti: os dois caminhos levam ao mesmo lugar, e 16 caracteres cumprem com folga os 12 portugueses. O caminho da frase-passe é o que consegues fazer de memória, quando tens de o fazer.

Gestor de palavras-passe

Uma ferramenta que gera e guarda uma palavra-passe longa e única para cada conta, para que nunca tenhas de inventar nenhuma. É a recomendação da autoridade nacional de cibersegurança: o CNCS aconselha o gestor de palavras-passe e, na mesma página, pede para não as guardares no navegador.

Porque é que isto conta para ti: elimina a razão pela qual as pessoas reutilizam palavras-passe, e as palavras-passe que produz são precisamente aquelas a que a força bruta não chega.

Defesas do lado do serviço

Limites ao número de tentativas de início de sessão, bloqueios temporários, alertas de tentativas falhadas, CAPTCHA e autenticação com vários fatores. O bloqueio após «várias tentativas inválidas de login» é o único destes que uma autoridade portuguesa impõe por escrito, na DIRETRIZ/2023/1 da CNPD (Portugal).

Porque é que isto conta para ti: não estão sob o teu controlo, mas onde um serviço as oferecer — sobretudo os alertas de tentativas e a autenticação com vários fatores — ligá-las vale os dois minutos que leva.

C. Um exemplo concreto: duas palavras-passe, dois desfechos

Pensa em duas pessoas a proteger o mesmo tipo de conta.

A primeira

A palavra-passe dela é uma única palavra comum:

leitedeamendoa

Nunca chega à fase da força bruta. É uma palavra de dicionário, portanto aparece nas listas que se experimentam primeiro, e a conta abre quase de imediato.

A segunda

A palavra-passe dela saiu de um gestor de palavras-passe:

L3it3!Am3ndoa_Cais17

Vinte caracteres, tipos misturados, sem ligação a nada que lhe diga respeito. O espaço das combinações a percorrer é grande o suficiente para que uma busca completa deixe de ser um plano realista.

E se a conta tiver também a autenticação com vários fatores ligada, mesmo uma palavra-passe que de alguma forma tivesse escapado não bastaria sozinha.

A diferença entre as duas não é inteligência nem competência técnica. São dez caracteres e uma ferramenta que os gera por ti.

D. Experimenta: quanto aguentaria a tua?

5 minutos. Não escrevas nenhuma das tuas palavras-passe verdadeiras em nada durante este exercício — incluindo os sites que se oferecem para as avaliar.

Passo 1 — Julga três exemplos

• chocolate
• Sapo2010
• Verde!Nevoa_Torre1979
• Para cada uma pergunta: é curta ou longa? Só letras, ou mistura? É uma palavra que alguém encontraria num dicionário?

Passo 2 — Reescreve a mais fraca

• Transforma chocolate em algo que aguentasse: quatro palavras sem ligação entre si, mais um número e um símbolo.
• Nota o pouco esforço que foi preciso para a pôr fora de alcance.

Passo 3 — Aplica-o uma vez, a sério

• Pensa numa conta em que a tua palavra-passe está mais perto do primeiro exemplo do que do terceiro.
• Muda essa. Não todas — uma.

Não testes as tuas palavras-passe verdadeiras em sites que calculam quanto tempo levariam a ser quebradas. O que lá escreveres passa a ser uma palavra-passe que partilhaste.

O objetivo do exercício é tornar a distância palpável. Depois de veres como é curto o caminho entre uma palavra-passe que cede num instante e uma que aguenta, a mudança deixa de parecer uma chatice.

E. Vídeos, artigos e outros recursos

Em português, o mecanismo tem nome e a contramedida tem autoridade; o que não tem fonte portuguesa é a aritmética — quantas tentativas por segundo, quanto tempo por cada caractere a mais. Essa parte fica em inglês, e diz-se.

Fontes portuguesas

Microsoft (pt-PT) — O que é a Proteção por Palavra-passe?
O único documento em português de Portugal que define, numa linha cada, os ataques de força bruta («tentativa e erro»), os ataques de dicionário, o credential-stuffing e o keylogging. É de um produtor e não de uma autoridade, mas é o vocabulário português destes ataques.
https://www.microsoft.com/pt-pt/security/business/security-101/what-is-password-protection

CNPD (Portugal) — DIRETRIZ/2023/1, medidas de segurança

Janeiro de 2023. A autoridade nacional de proteção de dados manda «bloquear as contas após várias tentativas inválidas de login» e exige «credenciais fortes com palavras-passe longas (pelo menos 12 caracteres), únicas, complexas». Dirige-se a quem trata dados de outras pessoas, não ao público — mas é aqui que a defesa contra a força bruta é obrigação e não conselho.
https://www.cnpd.pt/umbraco/surface/cnpdDecision/download/122048

CNCS — Boas práticas no uso de palavras-passe
A página do Centro Nacional de Cibersegurança, e o substituto natural das agências estrangeiras: pelo menos 12 caracteres, uma palavra-passe diferente por serviço, um gestor de palavras-passe, não as guardar no navegador, e mudá-las só em caso de suspeita de comprometimento.
https://www.cncs.gov.pt/pt/boas-praticas-passwords/

Microsoft Learn (pt-PT) — Recomendações de política de palavras-passe

Escrito para administradores, não para ti — mas é a única fonte em português europeu que diz o que este curso diz: os requisitos de caracteres especiais e de mudança periódica levam à «normalização das palavras-passe, o que facilita aos hackers adivinhar ou decifrar as mesmas».
https://learn.microsoft.com/pt-pt/microsoft-365/admin/misc/password-policy-recommendations?view=o365-worldwide

CNCS — curso Cidadão Ciberseguro, na plataforma NAU
Curso público gratuito de cerca de três horas, com mais de cem mil inscritos. Boa continuação depois desta ficha, e em português.
https://www.nau.edu.pt/pt/curso/cidadao-ciberseguro/

Referências internacionais que se mantêm

NIST — Digital Identity Guidelines, SP 800-63B (Revision 4) (em inglês)
A norma de agosto de 2025 por trás da passagem da complexidade para a extensão, e a origem do mínimo de 15 caracteres. Densa, mas é daqui que vem a aritmética que nenhuma fonte portuguesa apresenta.
https://pages.nist.gov/800-63-4/sp800-63b.html

NCSC (Reino Unido) — Three random words, or #thinkrandom (em inglês)

Porque é que três palavras aleatórias valem mais do que as regras convencionais de complexidade — e porque é que isso também as torna mais difíceis de atacar por força bruta.
https://www.ncsc.gov.uk/blog-post/three-random-words-or-thinkrandom-0

NCSC (Reino Unido) — Password managers: how they help you secure passwords (em inglês)
A resposta sóbria à pergunta que quase todos fazem primeiro: é seguro guardar todas as palavras-passe num só lugar? O CNCS recomenda o gestor, mas não explica esta parte.
https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/password-managers

EFF — Creating strong passwords (em inglês)
Um método claro para construir uma frase-passe de que te lembres, incluindo a abordagem com dados de jogar. Não há equivalente em português.
https://ssd.eff.org/module/creating-strong-passwords

Ligações verificadas a 26 de setembro de 2026. As listas de palavras-passe prováveis são o tema da ficha «Ataque de dicionário: porque as palavras com sentido caem primeiro».

F. O Framework Cyber Welfare: Competências, Consciência, Comportamento Seguro

Esta lição trabalha principalmente o pilar Consciência no nível FL2: compreender o mecanismo é o que faz o comportamento recomendado parecer razoável.

Competências

• Julgar se uma palavra-passe está ao alcance da adivinhação automática.
• Construir palavras-passe e frases-passe longas e únicas (R3, MS1).
• Usar um gestor de palavras-passe como hábito e não de vez em quando (R2, MS2).

Para profissionais e organizações

• Reconhecer que os limites às tentativas e os alertas de início de sessão são a outra metade do mesmo problema. Em Portugal, o bloqueio após várias tentativas inválidas é uma exigência da CNPD (Portugal), não uma opção de configuração.

Consciência

• Compreender que as palavras curtas — mesmo as invulgares — estão nas listas que se experimentam primeiro.
• Ver que a reutilização transforma uma palavra-passe exposta num caminho para várias contas ao mesmo tempo.

Para futuros formadores e embaixadores

• Ser capaz de explicar a aritmética sem dar uma aula: a extensão multiplica o trabalho, a complexidade só o soma.

Comportamento Seguro

• Passar as contas críticas para credenciais longas e únicas (R1, R3, MS1).
• Ligar a autenticação com vários fatores onde ela exista (R4, MS17).
• Deixar o gerador do gestor de palavras-passe fazer o trabalho (R2, MS2).

Para organizações

• Ativar limites de tentativas e alertas de início de sessão falhado nos serviços que controlas (R8).

G. Perguntas para levar contigo

1. Quantas das tuas palavras-passe de hoje estariam ao alcance em minutos, por serem curtas, previsíveis ou reutilizadas?
2. Tens uma conta crítica — e-mail principal, banco online, um portal de trabalho — ainda protegida por uma delas?
3. Se uma das tuas palavras-passe fosse exposta, quantas outras contas abririam com ela?
4. Que conta estás disposto a pôr fora de alcance hoje?

H. O que fazer agora

As recomendações (R) e as medidas de segurança (MS) da base de dados Cyber Welfare que se aplicam à defesa contra a adivinhação automática.

Credenciais

• R1 — Não uses a mesma palavra-passe, nem quase a mesma, em várias contas.
• R2 — Usa um gestor de palavras-passe de confiança, protegido por uma palavra-passe principal forte e única.
• R3 — Leva as tuas palavras-passe a pelo menos 16 caracteres, com números, letras maiúsculas e minúsculas e símbolos.
• R4 — Liga a autenticação com vários fatores, com uma aplicação de autenticação ou uma chave de segurança física.
• MS1 — Deixa o gerador do gestor criar as palavras-passe, em vez de as inventares.
• MS2 — Deixa-o preenchê-las automaticamente: menos erros e menos exposição a páginas de início de sessão falsas.

Onde o serviço o permitir

• R8 — Liga os limites de tentativas de início de sessão e os alertas de tentativas falhadas.
• MS4 — Usa um código de acesso alfanumérico forte no dispositivo onde vive o teu gestor de palavras-passe.

Uma nota sobre a R3. Os 16 caracteres são a parte que faz a maior parte do trabalho, e vêm da ênfase do NIST na extensão. Em Portugal pede-se um mínimo de 12 caracteres e também a mistura de tipos de caracteres (CNCS, 2022; CNPD (Portugal), DIRETRIZ/2023/1). As duas exigências cabem na mesma palavra-passe — o que não se troca é a extensão.

Três coisas, hoje

1. Escolhe uma conta crítica — começa pelo teu e-mail principal.
2. Dá-lhe uma palavra-passe nova, longa e única, saída de um gerador (R3, MS1).
3. Liga-lhe a autenticação com vários fatores (R4, MS17).

Estes três passos põem essa conta fora do alcance da adivinhação automática. O resto pode seguir ao teu ritmo.

Em resumo

• A força bruta é tentativa e erro, não perspicácia — e a extensão é a variável que decide o desfecho.
• As palavras-passe previsíveis nem chegam à fase da força bruta: são consultadas numa lista.
• Um gestor de palavras-passe produz credenciais a que o ataque não chega, e retira a razão para reutilizar.
• A autenticação com vários fatores faz com que uma palavra-passe roubada não baste sozinha.

Descobre mais fichas complementares dos cursos do programa Proteja a Sua Privacidade Digital.