Invasão de contas por credential stuffing: como funciona, sinais de alerta e o que fazer
Roubo de identidade · médio
Criminosos reúnem listas de e-mails e senhas de vazamentos antigos ou capturados por malware infostealer e testam essas combinações automaticamente, com robôs, em milhares de sites. Onde a senha foi reutilizada, eles entram.
Com a conta tomada, trocam e-mail e telefone de recuperação, fazem compras com cartão salvo, resgatam pontos, vendem a conta ou usam o e-mail para redefinir senhas de outros serviços.
O relatório anual do ITRC contabilizou 28 ataques de credential stuffing entre os incidentes de dados de 2025 nos EUA.
Sinais / Signs
- Alertas de login de local ou aparelho desconhecido
- E-mail ou telefone de recuperação alterados sem você pedir
- Pedidos ou resgates de pontos que você não fez
- Recebimento de vários códigos de redefinição de senha
- Seu e-mail aparece em serviços de alerta de vazamento
Prevenção / Prevention
- Use senha única para cada serviço, com gerenciador de senhas
- Ative MFA, de preferência por app autenticador ou chave de acesso (passkey)
- Proteja primeiro o e-mail principal, que redefine todas as outras contas
- Remova cartões salvos de sites pouco usados
- Empresas: limite tentativas, detecte bots e ofereça passkeys
O que fazer / What to do
- Redefina a senha e encerre todas as sessões ativas
- Restaure e-mail e telefone de recuperação e ative MFA
- Troque a mesma senha em todos os outros serviços onde era usada
- Conteste compras e avise o serviço afetado
- Se houve uso de seus dados para abrir contas, use o IdentityTheft.gov (EUA)
FAQ
Minha senha é forte. Ainda corro risco?
Sim, se ela foi reutilizada e vazou em algum serviço. Força não protege contra reuso.
Qual a diferença para phishing?
No phishing, a vítima entrega a senha. No credential stuffing, a senha já vazou antes e é testada automaticamente.
Radar
- — Dashlane: ataque de força bruta obtém cofres criptografados de clientes. Atacantes usaram força bruta contra contas do gerenciador de senhas; a quantidade de cofres afetados não foi informada. Fonte: Help Net Security
- — Compilação de 30 bases de infostealers reúne cerca de 16 bilhões de logins · ~16 bi de logins. O conjunto agrega credenciais roubadas por malware infostealer; o número vem de compilação secundária (VoxBooster). Fonte: VoxBooster (compilação secundária)
FTC - IdentityTheft.gov · ITRC 2025 Annual Data Breach Report (PDF) · CERT.br · ANPD