Ataque de dicionário.

Um ataque de dicionário restringe o espaço de pesquisa testando apenas candidatos plausíveis: palavras comuns, nomes, datas, palavras-passe vazadas e mutações por regras ("Password" → "P@ssw0rd!2025"). Ferramentas modernas (Hashcat, John the Ripper) sobrepõem dicionários, máscaras, regras híbridas e modelos de Markov contra hashes capturados, sendo ordens de grandeza mais rápidas que a força bruta pura.

Porque as wordlists são tão eficazes

As palavras-passe humanas reais concentram-se numa fração mínima do espaço de chaves. A wordlist canónica, rockyou.txt, vem da brecha da RockYou de dezembro de 2009, na qual uma injeção de SQL expôs cerca de 32 milhões de credenciais que a empresa guardava em texto simples. A lista deduplicada de 14 344 392 palavras-passe ainda é incluída por omissão no Kali Linux e costuma ser o primeiro recurso do pentester perante um hash capturado. Compilações posteriores como RockYou2021 e RockYou2024 agregam milhares de milhões de cadeias vazadas de muitas brechas, mas a maioria das quebras continua a vir dos primeiros milhões.

Como decorre uma quebra moderna

Raramente se usa uma lista em bruto. Aplicam-se rule files (por exemplo best64 ou dive do Hashcat) que fazem substituição leet, alternância de maiúsculas e adição de anos/sufixos, recorrendo depois a máscaras e Markov para a cauda longa. Em GPUs de consumo isto quebra palavras-passe fracas atrás de hashes rápidos (MD5, SHA-1 sem sal, NTLM) em segundos.

Defesas

A defesa vive sobretudo na camada de armazenamento: hashing salgado memory-hard com Argon2id, bcrypt ou scrypt (ou PBKDF2 com muitas iterações) torna cada tentativa dispendiosa. Combine-o com triagem de palavras-passe comprometidas (por ex. a API k-anonymity do Have I Been Pwned), frases-passe longas, rate limiting, bloqueio de conta e MFA, para que uma palavra-passe recuperada não baste por si só.

flowchart LR
  A[Hash de palavra-passe capturado] --> B[Carregar wordlist<br/>rockyou.txt]
  B --> C[Aplicar regras de mutação<br/>leet, sufixos, maiúsculas]
  C --> D[Calcular hash de cada candidato<br/>com o sal e o algoritmo do alvo]
  D --> E{O digest coincide?}
  E -->|Sim| F[Palavra-passe recuperada]
  E -->|Não| G[Próximo candidato]
  G --> C