Resumo: o que é credential stuffing
- Teste automatizado de pares de usuário e senha vazados contra um endpoint de login, muitas vezes milhares por segundo.
- Funciona porque aproximadamente 65% das pessoas reutilizam senhas e compilações de violações como RockYou2024 expõem bilhões de pares.
- O stack de detecção: lookup HIBP, reputação de IP, flags de navegador headless, limites de velocidade, pontuação de confiança comportamental de sessão.
Como o credential stuffing difere de ataques relacionados
O credential stuffing usa credenciais reais, obtidas em fugas anteriores, em vez de adivinhar, e é por isso que os controlos concebidos para travar ataques baseados em adivinhação o deixam passar.
Credential stuffing vs força bruta. Um ataque de força bruta gera tentativas de palavra-passe de forma algorítmica: sequências aleatórias, palavras de dicionário, combinações de caracteres. Não precisa de conhecimento prévio da verdadeira palavra-passe da vítima. O credential stuffing funciona ao contrário. Repete pares reais de email e palavra-passe retirados de fugas anteriores, por isso o atacante está a testar credenciais que já funcionaram nalgum outro serviço em vez de adivinhar.
Credential stuffing vs password spraying. O password spraying tenta uma ou algumas palavras-passe comuns (como "Password1" ou "Welcome2024") contra uma grande lista de contas, mantendo-se abaixo dos limiares de bloqueio ao usar muito poucas palavras-passe por conta. O credential stuffing testa uma palavra-passe específica, a que está associada a esse email nos dados da fuga, contra o serviço alvo. Executa um par conhecido por conta, em vez de uma palavra-passe comum em muitas contas.
Como funciona um ataque de credential stuffing
O credential stuffing segue um padrão consistente de cinco passos.
-
O atacante compra uma lista de credenciais num mercado de fugas de dados. Listas com milhões de pares de email e palavra-passe são baratas, e muitas circulam gratuitamente em fóruns. Os pares provêm de fugas anteriores em serviços não relacionados.
-
Uma framework automatizada testa cada par contra o endpoint de início de sessão do alvo. Está afinada para se manter dentro dos limites de taxa, imitar o ritmo natural dos pedidos e alternar por muitos endereços IP.
-
Os pedidos são distribuídos por redes de proxies residenciais, por isso cada IP faz apenas algumas tentativas de início de sessão. Isso mantém todos os endereços abaixo dos limites de taxa por IP e fora das listas de bloqueio. Uma única execução pode abranger centenas de milhares de endereços IP.
-
Os inícios de sessão bem-sucedidos são registados automaticamente. Numa lista grande e recente, a taxa de sucesso situa-se normalmente entre 1% e 3%. Contra 10 milhões de pares, isso corresponde a até 300 000 contas válidas numa só execução.
-
O atacante monetiza os acertos: esvaziando métodos de pagamento guardados, pontos de fidelização ou dados pessoais; revendendo os pares validados em grande volume; ou alimentando as contas numa operação de fraude mais ampla.
Porque é que o credential stuffing ainda funciona em 2026
Dois fatores agravam-se a favor do atacante. As bases de dados de fugas que contêm centenas de milhões de credenciais reais são baratas e fáceis de encontrar, e a maioria das pessoas ainda reutiliza palavras-passe entre serviços.
Os dados de fugas são abundantes. O Verizon Data Breach Investigations Report 2026 encontrou credenciais roubadas em 39% de todas as fugas de dados, por isso uma grande parte dos utilizadores ativos já tem pelo menos um par exposto em circulação. A matéria-prima para um ataque é trivial de obter.
A reutilização de palavras-passe continua comum apesar de anos de conselhos contra ela. Alguém que se registou num serviço comprometido em 2019 e reutilizou essa palavra-passe noutros cinco sites entregou a um atacante as chaves de todos os cinco. O atacante não precisa de saber que serviços a vítima usa. Testa o par contra os serviços web mais populares e regista os acertos.
No conjunto, uma grande base de dados de fugas mais uma taxa de sucesso ainda que modesta produz um número significativo de contas comprometidas por execução, e é isso que mantém o credential stuffing perto do topo da economia da fraude.
Três exemplos documentados
Três incidentes bem conhecidos mostram a mesma estrutura. Em cada caso, o atacante usou credenciais de uma fuga não relacionada para comprometer contas na plataforma alvo, e não uma falha na própria plataforma.
Zoom, 2020. Após o aumento pandémico das videoconferências, uma campanha de credential stuffing contra contas do Zoom produziu um grande lote de inícios de sessão válidos colocados à venda. As credenciais não vieram de uma fuga do Zoom. Vieram da repetição de pares previamente divulgados contra os endpoints de início de sessão do Zoom, o que mostrou como o crescimento rápido da base de utilizadores expande a exposição, independentemente da segurança da própria empresa.
PayPal, 2022. A PayPal divulgou um incidente de credential stuffing que afetou cerca de 35 000 contas. Os atacantes acederam a nomes, moradas, datas de nascimento, números de identificação fiscal e dados parciais de cartões. Os pares de credenciais tiveram origem externa, e não num comprometimento dos sistemas da PayPal.
23andMe, 2023. Os atacantes usaram credential stuffing para entrar em contas da 23andMe onde os utilizadores tinham reutilizado palavras-passe de outros serviços comprometidos. Dentro de contas com a funcionalidade DNA Relatives ativada, moveram-se pelo grafo social para alcançar dados de perfil de um conjunto muito maior de utilizadores. Um número modesto de contas diretamente comprometidas levou a uma exposição a jusante muito maior.
Porque é que as defesas comuns ficam aquém
As defesas mais comuns (limitação de taxa, CAPTCHA e MFA) têm, cada uma, limites estruturais que as campanhas modernas foram concebidas para explorar.
Limitação de taxa por IP. A rotação de proxies residenciais distribui o ataque por um enorme conjunto de endereços. Uma regra que bloqueia após cinco tentativas falhadas por IP nada faz quando cada IP faz uma a três tentativas antes de rodar.
CAPTCHA. Os serviços de resolução de CAPTCHA operam em escala por muito pouco dinheiro. A resolução automatizada é um bem de consumo, por isso o CAPTCHA acrescenta atrito sem travar um atacante determinado que detém uma grande lista.
Reposições forçadas de palavra-passe. As reposições são reativas. Cortam o acesso depois de o atacante já estar dentro, muitas vezes horas ou dias depois de a execução terminar e as contas terem sido exportadas.
MFA. A autenticação multifator é a defesa comum mais forte e reduz a superfície de ataque, mas só protege as contas onde está ativada, e a adoção é muitas vezes baixa. Mesmo onde a MFA está ativada, os atacantes que obtêm acesso à sessão por outra via (por exemplo, sequestro de sessão após um início de sessão válido) continuam a ser uma ameaça.
O que realmente o apanha: correlação de fingerprint de dispositivo
A característica que define uma execução de credential stuffing é que um dispositivo, ou um pequeno conjunto de dispositivos, tenta iniciar sessão em muitas contas diferentes em sequência. A rotação de IP esconde isso ao nível da rede, por isso uma WAF ou um limitador de taxa que olha para pedidos individuais nunca o vê.
O fingerprinting de dispositivo ao nível do navegador torna o padrão visível. Quando o mesmo fingerprint de dispositivo estável surge em tentativas de início de sessão em dez contas diferentes dentro de uma janela curta, isso é um sinal de credential stuffing por muitos endereços IP que estejam envolvidos. O fingerprint segue o dispositivo, e não o caminho de rede.
A cside constrói um fingerprint de dispositivo estável que persiste através do modo de navegação anónima, de ligações VPN e da limpeza de cookies, usando mais de 100 sinais do navegador por sessão, e expõe a correlação de dispositivo entre contas em tempo real através de uma API e de uma tag de script. O veredicto regressa antes de o início de sessão ser processado, por isso a sua camada de autenticação pode desafiar ou bloquear a tentativa no momento em que acontece, em vez de a descobrir depois de as contas já estarem esvaziadas.
Para uma explicação completa dos métodos de deteção e da arquitetura defensiva, consulte o guia complementar, Credential Stuffing: como detetar e travar.
Leitura adicional
