CyberGlossary

Ataques e ameaças

Pulverização de palavras-passe

Também conhecido como: Adivinhação a baixa frequência

Definição

Ataque "low and slow" que testa um pequeno conjunto de palavras-passe comuns em muitas contas, mantendo-se abaixo dos limites de bloqueio e rate-limit.

A pulverização de palavras-passe inverte o padrão clássico de força bruta: em vez de testar muitas palavras-passe por conta, o atacante experimenta uma só ("Inverno2025!", "P@ssw0rd") em todo o diretório de utilizadores e passa à seguinte. Assim evita bloqueios por conta e obtém sucessos, já que qualquer organização tem uma cauda longa de palavras-passe fracas. É uma técnica preferida contra IdPs cloud (Entra ID, Okta) e portais VPN. Defesas: banir palavras-passe comuns e comprometidas, smart lockout e MFA baseada em risco, acesso condicional, analítica geográfica/IP e alertas sobre padrões de autenticação com fan-out elevado a partir de uma única palavra-passe.

Exemplos

  • Um APT testa "Primavera2025!" durante uma hora por dia em todas as contas de um tenant Entra ID.
  • Bots percorrem palavras-passe sazonais num SSL VPN corporativo à procura de utilizadores fracos.

Termos relacionados