O que é Credential Stuffing? Como funciona e como travá-lo (2026)

Se reutilizar uma palavra-passe e um único site onde a usou sofrer uma violação, todas as outras contas que partilham essa palavra-passe ficam subitamente em risco — não por adivinhação, mas por credential stuffing. É uma das formas mais comuns de sequestrar contas comuns em 2026, e funciona precisamente porque a reutilização de palavras-passe é tão generalizada. Este guia explica o que é o credential stuffing, em que difere do brute force, como os atacantes o executam em larga escala e como o desligar.

O que é o credential stuffing

O credential stuffing é um ataque que reproduz pares utilizador/palavra-passe já expostos contra muitos sites. Quando um serviço sofre uma violação de dados, os logins roubados são reunidos em „combo lists“ e trocados. Os atacantes usam então ferramentas automatizadas para testar cada par em dezenas de outros sites — e-mail, banca, compras, streaming — apostando que a vítima reutilizou a mesma palavra-passe.

A ideia central: o atacante não adivinha. Está a testar credenciais reais que já funcionaram nalgum sítio. A robustez da sua palavra-passe é irrelevante se a reutilizou num site que sofreu uma violação.

Credential stuffing vs brute force

As pessoas confundem frequentemente os dois, mas são opostos no método:

• O brute force adivinha palavras-passe do nada, testando combinações até uma funcionar. Uma palavra-passe longa, aleatória e única derrota-o porque o espaço de procura é astronomicamente grande.
• O credential stuffing não adivinha de todo. Usa palavras-passe já conhecidas como reais, recolhidas de violações. Uma palavra-passe forte não oferece nenhuma proteção se foi reutilizada nalgum sítio que foi exposto.

É por isso que a defesa mais importante contra o stuffing não é a robustez da palavra-passe — é a sua unicidade.

Como os atacantes o executam em larga escala

O stuffing é industrializado. Os atacantes carregam combo lists com milhões de pares expostos em ferramentas automatizadas e depois encaminham as tentativas de login através de botnets que abrangem milhares de endereços IP para esquivar limites de taxa e deteção. As taxas de sucesso por lista são minúsculas — muitas vezes bem abaixo de 1% — mas contra milhões de credenciais, até uma fração significa milhares de contas comprometidas. A matéria-prima vem do fluxo constante de violações cujos dados acabam comprados, trocados ou divulgados publicamente.

Como travá-lo

Três camadas desligam o credential stuffing:

1. Uma palavra-passe única por conta. Esta é a correção central — a exposição de um site nunca pode desbloquear outro. Nenhum ser humano consegue memorizar centenas de palavras-passe únicas, por isso deixe um gestor de palavras-passe gerá-las e guardá-las.
2. Autenticação de dois fatores. Mesmo que uma palavra-passe seja exposta, a 2FA (uma app autenticadora ou uma chave de hardware) faz com que a palavra-passe roubada por si só não consiga entrar.
3. Consciência das violações. Verifique se as suas contas aparecem em violações conhecidas e mude de imediato quaisquer palavras-passe reutilizadas.

Para os alicerces, veja como criar uma palavra-passe forte, porque os gestores de palavras-passe são seguros para lhes confiar todas, e o que fazer se uma conta já foi pirateada.

Conclusão

O credential stuffing transforma uma palavra-passe exposta em muitas contas sequestradas — e vence até palavras-passe fortes quando são reutilizadas. A correção é estrutural, não heroica: uma palavra-passe única por site (através de um gestor) para que uma única violação fique contida, mais a 2FA para que uma palavra-passe exposta por si só seja um beco sem saída. Ponha estes dois em prática e o ataque de tomada de conta mais comum de 2026 simplesmente deixa de funcionar consigo.

Guia editorial baseado em técnicas de credential stuffing documentadas (combo lists, tentativas de login distribuídas por botnet) e defesas padrão (credenciais únicas, 2FA, monitorização de violações). Distinguimos claramente o stuffing do brute force. As ligações comerciais têm o atributo rel="sponsored nofollow"; pode aplicar-se uma comissão de afiliado sem custo adicional para si.