O Que É um Vazamento de Senhas?
Um vazamento de senhas ocorre quando senhas ou outras credenciais de conta ficam expostas a uma pessoa não autorizada ou são obtidas por meio de um incidente de segurança.
Um vazamento pode acontecer quando um serviço online é comprometido e as informações armazenadas por esse serviço são roubadas. As credenciais também podem ser expostas por meio de phishing, malware, softwares maliciosos ou outros ataques direcionados diretamente aos usuários.
Um vazamento não significa necessariamente que todas as senhas pertencentes a todos os usuários foram expostas. As informações afetadas dependem do incidente específico e dos sistemas envolvidos.
Como Acontecem os Vazamentos de Senhas?
Existem muitas maneiras pelas quais as credenciais podem ser expostas. Alguns exemplos comuns incluem:
- Serviços comprometidos — Um atacante obtém acesso não autorizado aos sistemas ou bancos de dados de uma empresa.
- Phishing — O usuário é enganado para inserir suas credenciais em um site ou aplicativo fraudulento.
- Malware — Softwares maliciosos podem, em potencial, capturar credenciais digitadas em um dispositivo infectado.
- Credential stuffing — Nomes de usuário e senhas roubados anteriormente são testados em outros sites.
- Práticas de segurança fracas — Sistemas mal protegidos ou credenciais manuseadas incorretamente podem aumentar o risco de acesso não autorizado.
O Que Acontece com as Senhas Roubadas?
As credenciais roubadas podem ser usadas em tentativas de acesso à conta afetada ou a outras contas pertencentes à mesma pessoa.
Essa é uma das razões pelas quais a reutilização de senhas é particularmente perigosa. Se a mesma senha for usada em vários serviços e for exposta em um vazamento, os atacantes poderão testá-la em outros lugares.
Ataques automatizados podem testar grandes quantidades de combinações de nome de usuário e senha previamente expostas contra serviços online populares. Esse tipo de ataque é comumente conhecido como credential stuffing.
Por Que a Reutilização de Senhas Piora os Vazamentos
Considere um exemplo em que alguém usa a mesma senha para uma conta de loja online, uma conta de rede social e seu e-mail principal.
Se o serviço da loja sofrer um vazamento e a senha se tornar conhecida, o atacante passará a ter uma senha que também pode funcionar nas outras contas.
Usar uma senha diferente para cada conta importante limita o dano que pode resultar de uma única senha exposta.
Você pode saber mais sobre este tópico no nosso artigo: Por Que Você Nunca Deve Reutilizar Senhas .
E Se as Senhas Estiverem em Hash (Hashed)?
Muitos serviços online não armazenam as senhas dos usuários em texto puro. Em vez disso, as senhas costumam ser processadas por meio de técnicas de hashing antes de serem armazenadas.
Hashing e criptografia são tecnologias diferentes. A criptografia é projetada para que usuários ou sistemas autorizados possam descriptografar a informação original usando a chave apropriada. Um sistema de hashing de senhas projetado corretamente tem o objetivo de dificultar a recuperação da senha original a partir do hash armazenado.
No entanto, um vazamento ainda pode ser grave, mesmo quando as senhas estão em hash. Os atacantes podem tentar adivinhar senhas e comparar os hashes resultantes com os hashes roubados. Senhas fracas ou comumente usadas podem ser especialmente vulneráveis a esses ataques.
Como Saber Se uma Senha Foi Vazada?
Alguns serviços notificam os usuários quando uma conta foi afetada por um incidente de segurança. Pesquisadores de segurança e serviços de notificação de vazamentos também podem fornecer informações sobre vazamentos conhecidos.
Alguns gerenciadores de senhas incluem recursos de monitoramento ou verificação de senhas que ajudam a identificar senhas associadas a vazamentos conhecidos.
Lembre-se de que nenhum banco de dados de vazamentos pode garantir que contém todas as credenciais que já foram expostas. A ausência de uma senha em um banco de dados específico não prova que ela nunca tenha sido exposta.
O Que Fazer Após um Vazamento de Senhas?
Se você souber que uma conta foi afetada por um vazamento, altere a senha dessa conta o mais rápido possível.
Se você reutilizou essa senha em qualquer outro lugar, altere essas senhas também. Cada conta deve ter sua própria senha única.
Você também deve considerar ativar a autenticação de dois fatores quando o serviço oferecer suporte. Isso fornece um fator de autenticação adicional além da senha.
Para contas importantes, como seu e-mail principal, tome um cuidado especial. Sua conta de e-mail pode ser usada para redefinir senhas de muitos outros serviços.
Como um Gerenciador de Senhas Pode Ajudar?
Lembrar de uma senha forte e diferente para cada conta pode ser difícil. Um gerenciador de senhas pode gerar e armazenar com segurança senhas únicas para que você não precise memorizar todas elas.
Em vez de criar variações previsíveis da mesma senha, você pode usar uma senha diferente e gerada aleatoriamente para cada serviço.
Se um serviço for vazado, a senha exposta será menos útil contra suas outras contas, porque as outras contas usam credenciais diferentes.
O Que É uma Varredura de Vazamentos (Breach Scan)?
Alguns gerenciadores de senhas oferecem um recurso comumente chamado de varredura de vazamentos. Esse tipo de recurso pode comparar informações associadas às suas senhas armazenadas com dados de vazamentos conhecidos.
Abordagens que preservam a privacidade podem ser usadas para realizar essas verificações sem enviar a senha completa para um serviço externo. Um exemplo é o k-anonymity, que permite que um sistema realize certas verificações de vazamento sem transmitir diretamente a senha completa.
A implementação exata varia entre os produtos, por isso vale a pena verificar como um gerenciador de senhas específico realiza suas verificações de vazamento e quais informações saem do dispositivo.
Vazamentos de Senhas e o KeenPassword Vault
O KeenPassword Vault inclui um recurso de Varredura de Vazamentos projetado para ajudar a identificar senhas associadas a dados de vazamentos conhecidos.
A varredura usa uma abordagem de k-anonymity. Suas senhas reais e sua chave mestra não são enviadas pela rede durante a verificação de vazamentos.
O KeenPassword Vault também foi projetado como um gerenciador de senhas 100% offline. Seu cofre permanece armazenado localmente no seu computador Windows em vez de ser sincronizado com uma conta na nuvem.
Manter as senhas únicas, usar credenciais fortes e verificar periodicamente por exposições conhecidas são práticas úteis para manter uma boa segurança de senhas.
Resumo
Um vazamento de senhas pode expor credenciais que os atacantes podem tentar usar contra a conta afetada ou outras contas.
Uma das maneiras mais eficazes de reduzir o impacto de uma senha vazada é usar uma senha única para cada conta. Um gerenciador de senhas pode tornar isso prático ao gerar e armazenar senhas fortes e únicas.
Se uma conta for afetada por um vazamento, altere a senha dela, altere quaisquer senhas reutilizadas em outros lugares e considere ativar a autenticação de dois fatores onde estiver disponível.