O Que É uma Violação de Palavras-passe?
Uma violação de palavras-passe ocorre quando palavras-passe ou outras credenciais de conta ficam expostas a uma pessoa não autorizada ou são obtidas através de um incidente de segurança.
Uma violação pode acontecer quando um serviço online é comprometido e as informações armazenadas por esse serviço são roubadas. As credenciais também podem ser expostas através de phishing, malware, software malicioso ou outros ataques direcionados aos utilizadores.
Uma violação não significa necessariamente que todas as palavras-passe pertencentes a todos os utilizadores foram expostas. As informações afetadas dependem do incidente específico e dos sistemas envolvidos.
Como Acontecem as Violações de Palavras-passe?
Existem muitas formas de as credenciais ficarem expostas. Alguns exemplos comuns incluem:
- Serviços comprometidos — Um atacante obtém acesso não autorizado aos sistemas ou bases de dados de uma empresa.
- Phishing — Um utilizador é enganado para introduzir as suas credenciais num website ou aplicação fraudulenta.
- Malware — O software malicioso pode potencialmente capturar credenciais introduzidas num dispositivo infetado.
- Credential stuffing (Preenchimento de credenciais) — Nomes de utilizador e palavras-passe previamente roubados são testados contra outros websites.
- Práticas de segurança fracas — Sistemas mal protegidos ou credenciais manuseadas incorretamente podem aumentar o risco de acesso não autorizado.
O Que Acontece às Palavras-passe Roubadas?
As credenciais roubadas podem ser utilizadas em tentativas de acesso à conta afetada ou a outras contas pertencentes à mesma pessoa.
Esta é uma das razões pelas quais a reutilização de palavras-passe é particularmente perigosa. Se a mesma palavra-passe for utilizada em vários serviços e essa palavra-passe for exposta numa violação, os atacantes podem tentar usá-la noutros locais.
Ataques automatizados podem testar grandes quantidades de combinações de nomes de utilizador e palavras-passe previamente expostas em serviços online populares. Este tipo de ataque é vulgarmente conhecido como credential stuffing.
Por Que Razão a Reutilização de Palavras-passe Agrava as Violações
Considere um exemplo em que alguém utiliza a mesma palavra-passe para uma conta de compras online, uma conta de rede social e a sua conta de e-mail.
Se o serviço de compras sofrer uma violação e essa palavra-passe se tornar conhecida, o atacante passa a ter uma palavra-passe que também pode funcionar nas restantes contas.
Utilizar uma palavra-passe diferente para cada conta importante limita os danos que podem resultar de uma única palavra-passe exposta.
Pode saber mais sobre este tópico no nosso artigo: Por Que Nunca Deve Reutilizar Palavras-passe .
E Se as Palavras-passe Formarem um Hash (Hashed)?
Muitos serviços online não armazenam as palavras-passe dos utilizadores como texto simples. Em vez disso, as palavras-passe são normalmente processadas através de técnicas de hashing de palavras-passe antes de serem armazenadas.
Hashing e encriptação são tecnologias diferentes. A encriptação é concebida para que utilizadores ou sistemas autorizados possam desencriptar a informação original utilizando a chave adequada. Um sistema de hashing de palavras-passe devidamente concebido destina-se a dificultar a recuperação da palavra-passe original a partir do hash armazenado.
No entanto, uma violação ainda pode ser grave, mesmo quando as palavras-passe estão em hash. Os atacantes podem tentar adivinhar palavras-passe e comparar os hashes resultantes com os hashes das palavras-passe roubadas. Palavras-passe fracos ou comummente utilizadas podem ser particularmente vulneráveis a estes ataques.
Como Pode Saber Se uma Palavra-passe Foi Violada?
Alguns serviços notificam os utilizadores quando uma conta foi afetada por um incidente de segurança. Investigadores de segurança e serviços de notificação de violações também podem fornecer informações sobre violações de dados conhecidas.
Alguns gestores de palavras-passe incluem funcionalidades de monitorização de violações ou verificação de palavras-passe que ajudam a identificar palavras-passe associadas a violações conhecidas.
Mantenha em mente que nenhuma base de dados de violações garante conter todas as credenciais que alguma vez foram expostas. A ausência de uma palavra-passe numa base de dados específica não prova que a palavra-passe nunca tenha sido exposta.
O Que Deve Fazer Após uma Violação de Palavras-passe?
Se souber que uma conta foi afetada por uma violação, altere a palavra-passe dessa conta assim que for prático.
Se tiver reutilizado essa palavra-passe noutro local, altere também essas palavras-passe. Cada conta deve ter a sua própria palavra-passe única.
Também deve considerar ativar a autenticação de dois fatores (ou multifator) quando o serviço a suportar. Isto fornece um fator de autenticação adicional além da palavra-passe.
Para contas importantes, como a sua conta de e-mail principal, tenha especial cuidado. A sua conta de e-mail pode ser utilizada para redefinir palavras-passe em muitos outros serviços.
Como Pode Ajudar um Gestor de Palavras-passe?
Lembrar-se de uma palavra-passe forte e diferente para cada conta pode ser difícil. Um gestor de palavras-passe pode gerar e armazenar de forma segura palavras-passe únicas para que não tenha de as memorizar a todas.
Em vez de criar variações previsíveis da mesma palavra-passe, pode utilizar uma palavra-passe gerada aleatoriamente diferente para cada serviço.
Se um serviço for violado, a palavra-passe exposta passa a ser menos útil contra as suas outras contas, porque as restantes contas utilizam credenciais diferentes.
O Que É uma Análise de Violações (Breach Scan)?
Alguns gestores de palavras-passe oferecem uma funcionalidade comummente chamada análise de violações. Este tipo de funcionalidade pode comparar informações associadas às suas palavras-passe armazenadas com informações de violações conhecidas.
Abordagens de preservação da privacidade podem ser utilizadas para realizar estas verificações sem enviar a palavra-passe completa para um serviço externo. Um exemplo é o k-anonymity, que permite a um sistema realizar certas verificações de violação sem transmitir diretamente a palavra-passe completa.
A implementação exata varia consoante o produto, pelo que vale a pena verificar como um gestor de palavras-passe específico realiza as suas verificações de violação e que informações saem do dispositivo.
Violações de Palavras-passe e o KeenPassword Vault
O KeenPassword Vault inclui uma funcionalidade de Análise de Violações (Breach Scan) concebida para ajudar a identificar palavras-passe associadas a dados de violações conhecidas.
A análise utiliza uma abordagem de k-anonymity. As suas palavras-passe reais e a chave mestre não são enviadas pela rede durante a verificação de violações.
O KeenPassword Vault foi também concebido como um gestor de palavras-passe 100% offline. O seu cofre permanece armazenado localmente no seu computador Windows, em vez de ser sincronizado com uma conta na nuvem.
Manter as palavras-passe únicas, utilizar credenciais fortes e verificar periodicamente se há exposição conhecida são estratégias úteis para manter uma boa segurança das palavras-passe.
Resumo
Uma violação de palavras-passe pode expor credenciais que os atacantes podem tentar utilizar contra a conta afetada ou outras contas.
Uma das formas mais eficazes de reduzir o impacto de uma palavra-passe violada é utilizar uma palavra-passe única para cada conta. Um gestor de palavras-passe pode tornar isto prático ao gerar e armazenar palavras-passe fortes e únicas.
Se uma conta for afetada por uma violação, altere a sua palavra-passe, altere quaisquer palavras-passe reutilizadas noutros locais e considere ativar a autenticação de dois fatores onde estiver disponível.