Em primeiro lugar, 68% das passwords modernas podem ser quebradas em menos de um dia. Em segundo lugar, verificou-se que a esmagadora maioria das credenciais comprometidas começa ou termina com um dígito — um padrão comum que as torna potencialmente vulneráveis a ataques de força bruta. Por fim, os utilizadores também privilegiam palavras positivas e tendências do momento; por exemplo, nos últimos anos, o uso da palavra “Skibidi” nas passwords analisadas aumentou 36 vezes, acompanhando a popularidade dessa tendência online.
Nos últimos anos, as regras para passwords seguras tornaram-se um tema amplamente debatido. Cada vez mais serviços exigem passwords com pelo menos 10 caracteres, incluindo uma letra maiúscula e um número ou símbolo. Ainda assim, uma análise comparativa de credenciais expostas ao longo dos últimos anos demonstra que cumprir apenas alguns desses requisitos não garante resistência a ataques de força bruta ou baseados em IA.
Os especialistas da Kaspersky partilham recomendações práticas para tornar as passwords mais complexas e seguras, bem como para evitar erros comuns.
Seja criativo na utilização de símbolos e números
Entre as passwords expostas que incluem apenas um símbolo, a arroba (@) lidera a lista, surgindo em 10% dos casos. O segundo símbolo mais comum é o ponto final, presente em 3% das passwords. Considerando o total analisado, a arroba ocupa o segundo lugar em prevalência e o ponto de exclamação o terceiro.
Os números seguem padrões igualmente previsíveis:
- 53% das passwords analisadas terminam com dígitos
- 17% começam com dígitos
- Quase 12% incluem uma sequência numérica semelhante a uma data (entre 1950 e 2030)
- 3% das credenciais expostas incluem sequências de teclado como “qwerty” ou “ytrewq”, embora a maioria corresponda a sequências numéricas como “1234”
Alexey Antonov, responsável da equipa de Data Science da Kaspersky, sublinha que símbolos, números ou datas comuns, sobretudo quando colocados em posições previsíveis (como no início ou no fim da password), simplificam significativamente os ataques de força bruta por parte de cibercriminosos. Por isso, recomenda-se a utilização de caracteres menos comuns e a evitação de sequências numéricas ou de teclado.
«O ataque de força bruta funciona ao testar sistematicamente todas as combinações possíveis de caracteres até encontrar a opção correcta. Quando os atacantes já conhecem os caracteres que os utilizadores tendem a preferir, o tempo necessário para quebrar uma password reduz-se drasticamente. Para evitar a tentação de escolher símbolos previsíveis, recomenda-se recorrer a geradores dedicados que criam combinações aleatórias de letras, números e símbolos com igual probabilidade», afirma Alexey Antonov.
Entre o céu e o inferno: evite usar palavras em passwords
O estudo demonstra que palavras com carga emocional e tendências populares são frequentemente utilizadas como base para passwords. Por exemplo, entre 2023 e 2026, o uso da palavra “Skibidi” aumentou 36 vezes, refletindo a rápida disseminação dessa tendência online.
A análise da Kaspersky à presença de palavras positivas e negativas nas passwords revela que predominam claramente as positivas. Entre as mais comuns encontram-se termos como “love”, “magic”, “friend”, “team”, “angel”, “star” e “eden”. Ainda assim, surgem também palavras negativas como “hell”, “devil”, “nightmare” e “scar”.
Em 2025, a palavra “admin” foi a opção mais usada nas passwords dos portugueses, seguida de sequências óbvias como “123456” ou “123456789”. Na maioria dos casos, muitas passwords incluem datas, nomes próprios ou palavras comuns, o que as torna altamente previsíveis e vulneráveis a ataques de força bruta.
«Utilizar uma palavra única como password, mesmo com um número ou caractere especial no final, é uma escolha fraca. O padrão é demasiado previsível, tornando-o fácil de adivinhar. Em vez disso, opte por uma frase que combine várias palavras não relacionadas, complementadas com números e símbolos no interior, incluindo alguns erros propositados. Quanto mais longa, aleatória e imprevisível for a password, mais difícil será quebrá-la. Como medida adicional, active a autenticação de dois fatores (2FA) sempre que possível», conclui Alexey Antonov.
O comprimento da password é importante?
É sabido que as passwords mais longas são mais difíceis de quebrar e esta análise confirma esse princípio. No entanto, com o avanço das ferramentas baseadas em IA, o comprimento por si só já não garante segurança: mesmo as mais longas podem ser comprometidas se seguirem padrões previsíveis.
O estudo indica que passwords curtas, até oito caracteres, são normalmente quebradas em menos de um dia através de ataques de força bruta. Contudo, graças a algoritmos inteligentes com recurso a IA, mais de 20% das passwords com 15 caracteres podem ser quebradas em menos de um minuto.
Além disso, independentemente do comprimento, 60,2% de todas as passwords analisadas podem ser quebradas em cerca de uma hora e 68,2% em menos de um dia.
Nos exemplos apresentados, os cálculos assumem a utilização de uma única GPU RTX 5090 e o algoritmo MD5. Em cenários reais, os atacantes podem recorrer a múltiplas GPUs — dez, cem ou mais — o que aumenta significativamente a velocidade de quebra.
Actualmente, uma password verdadeiramente segura não só deve cumprir o padrão de referência de 16 ou mais caracteres, como também deve incluir combinações aleatórias de letras, números e símbolos, sem repetições, sendo única para cada conta.
