Mais de seis bilhões de senhas foram desviadas por malware em 2025. Mesmo senhas complexas e bem protegidas não conseguem escapar de vírus infostealers. Essas credenciais comprometidas fornecem aos cibercriminosos combustível infinito para seus ataques.
Os pesquisadores do Specops acabaram de publicar seu relatório anual sobre senhas comprometidas. O estudo revela pela primeira vez que mais de seis bilhões de senhas foram sequestrados por malware ao longo do ano passado. A maioria dos roubos foi perpetrada por malware “infostealer”. Este é um malware que infecta computadores para sugar quaisquer dados que encontrar, como senhas salvas, cookies, e-mails e outras informações pessoais. Esses dados são extraídos e incorporados em diretórios trocados em plataformas criminosas, principalmente na dark web.
Como explica o relatório, compartilhado com 01net, as senhas são “coletados em grande escala, agregados em enormes bancos de dados e reutilizados repetidamente” por cibercriminosos como parte de seus crimes. Senhas e identificadores recuperados por hackers usado mais tarde para alimentar ataques cibernéticos. Capturado “por malware”as senhas são “preservado para uso continuado”que permite que invasores “para tentar ataques repetidos ao longo do tempo”sublinha Specops.
Esta é a origem do que é chamado de ataque de “preenchimento de credenciais”. Essa tática criminosa envolve simplesmente o uso de credenciais roubadas em uma plataforma para acessar outras contas em outros serviços online. Isto é particularmente o que aconteceu durante o último hack do Urssaf. O ataque resultou diretamente do roubo de uma senha que permitia o acesso à conta de um dos prestadores de serviços da organização.
Leia também: Ataque cibernético contra o Ministério do Interior – negligência incrível está na origem da intrusão
Quais são as senhas mais hackeadas de 2025?
Os pesquisadores analisaram detalhadamente os seis bilhões de senhas hackeadas no ano passado. Ao analisar os diretórios de dados comprometidos, eles perceberam que senhas de oito caracteres “são os mais roubados”. Na verdade, 18% de todas as senhas analisadas pelo Specops incluem apenas oito caracteres. Os pesquisadores também encontraram muitas senhas de 9 ou 10 caracteres. No entanto, a maioria dos especialistas em segurança cibernética recomenda optar por uma senha de pelo menos 12 a 16 caracteres. Esta precaução evita que a senha seja adivinhada rapidamente por algoritmos dedicados.
No entanto, uma senha longa e complexa também é suscetível a compromissos. Um vírus infiltrado no seu computador pode realmente dominá-lo, mesmo que seja composto por uma série complexa de caracteres, da mesma forma que pode hackear uma senha fraca. A predominância das palavras-passe demonstra sobretudo que muitos utilizadores da Internet ainda simplesmente negligenciam as regras básicas de cibersegurança. A presença de muitas senhas fracas e difundidas nos dados analisados confirma a negligência da maioria dos usuários. Os pesquisadores de fato encontraram muitas senhas fáceis de adivinhar nos diretórios estudados, como 123456, 123456789, 12345678, admin e senha. Essas combinações são conhecidas como as piores senhas que existem.
“Apesar de anos de conscientização e da implementação de políticas de senha baseadas na complexidade, os invasores continuam a encontrar as mesmas credenciais fracas e previsíveis nos sistemas. […] A força de uma senha baseia-se em seu comprimento — geralmente obtido por meio de senhas — combinado com a verificação contínua de senhas comprometidas, e não apenas na complexidade.explica Darren James, gerente da Specops Software.
Em outras palavras, apenas escolher uma senha complexa não é suficiente para lhe dar tranquilidade. Depois de ter optado por um código complexo, que atende a todos os critérios dos especialistas em segurança, é imprescindível fique de olho nas senhas que circulam nos círculos criminosos. Resumindo, você deve garantir que sua senha ultrassegura permaneça segura e conhecida apenas por você.
Diversas ferramentas, como o site Have I Been Pwned, permitem monitorar a dark web e garantir que seus dados não foram hackeados. Se a sua senha aparecer em um banco de dados, você obviamente precisará mude isso O mais breve possível. Entre as melhores práticas a adotar, encontramos, em primeiro lugar, a alteração regular das suas palavras-passe. Dessa forma, uma senha hackeada não poderá ser usada anos depois.
“Já não se trata apenas de saber se uma palavra-passe respeita uma determinada política, mas se permanece segura num ecossistema onde os identificadores são recolhidos, agregados e revendidos de forma permanente”estima o relatório.
Leia também: Esses 5 ataques cibernéticos mostram que uma boa senha é essencial
O ladrão de dados mais temível de 2025
Ao mesmo tempo, o estudo analisou as causas por trás da explosão no roubo de senhas, nomeadamente os ladrões de informação. Entre os vírus mais prolíficos do ano, encontramos, no topo da lista, o LummaC2. Distribuído desde o final de 2022 em fóruns russos, o vírus tem como alvo principalmente nomes de usuário, senhas, carteiras criptografadas, extensões de autenticação dupla e dados de navegadores no Windows. Parcialmente desmantelado em maio de 2025 durante uma operação orquestrada pela Microsoft, o vírus voltou à tona durante o verão.
Apesar dos esforços das autoridades, o malware é responsável pelo roubo de mais de 60 milhões de identificadores em 2025. Em segundo lugar está a RedLine, com 31 milhões de senhas comprometidas, seguida por Vidar (5,9 milhões), StealC (3,4 milhões) e Raccoon Stealer (1,6 milhão).
👉🏻 Acompanhe notícias de tecnologia em tempo real: adicione 01net às suas fontes no Google e assine nosso canal no WhatsApp.