Este artigo se baseia em pesquisas de cibersegurança de acesso público, relatórios do setor e práticas de segurança amplamente aceitas. Quando a experiência pessoal é mencionada, isso é indicado explicitamente.

Resumo rápido

Senhas criadas por humanos seguem padrões previsíveis que os atacantes exploram com ataques de dicionário e baseados em regras.
Mesmo senhas que parecem "espertas", como L!nk3d1n2020, caem em minutos porque seguem regras comuns de substituição.
Senhas geradas por CSPRNG eliminam as ferramentas mais poderosas do atacante: dicionários e regras.
Use um gerenciador de senhas com uma senha mestra forte, ative o MFA e nunca reutilize senhas.

Resposta curta

Depois de quinze anos em testes de invasão, posso confirmar que senhas criadas por humanos são sistematicamente o elo mais fraco nas avaliações de segurança. Atacantes não adivinham senhas uma a uma: eles automatizam ataques usando dicionários com bilhões de senhas reais e transformações baseadas em regras. Senhas como Tiger2021! são quebradas em minutos porque seguem padrões que os humanos praticamente não conseguem evitar: uma palavra, uma letra maiúscula, números no final. A única defesa real é eliminar completamente essa previsibilidade humana por meio de geração aleatória criptograficamente segura.

Para uma geração rápida, use o Gerador de Senhas. Para mais contexto, leia Entropia de Senhas Explicada, Gerenciador de Senhas vs Navegador, Qual Deve Ser o Tamanho de uma Senha?, e É Seguro Usar Geradores Online?.

Um vazamento que a maioria esqueceu — mas não deveria

Em 2012, o LinkedIn sofreu o que foi, na época, um dos maiores vazamentos de dados da história. Análises posteriores mostraram que cerca de 167 milhões de registros de contas foram expostos, e cerca de 117 milhões deles incluíam endereços de e-mail e hashes de senhas.

Quando as equipes de segurança examinaram as senhas quebradas, os resultados foram dolorosamente familiares. password1, linkedin123 e escolhas igualmente descuidadas apareceram aos milhões. Mais interessante — e mais preocupante — é que até senhas que pareciam espertas, como L!nk3d1n2020, caíram rapidamente. Por quê? Porque seguiam padrões que os humanos quase sempre usam.

Trabalho há mais de quinze anos com testes de invasão em cibersegurança. Meu trabalho é invadir sistemas — legalmente — usando os mesmos métodos que atacantes reais utilizam. Senhas não são um tópico teórico para mim; são algo que vejo falhar na prática todos os dias.

Como as senhas são realmente atacadas

Para entender por que algumas senhas sobrevivem e outras não, é preciso olhar pelo lado do atacante. Atacantes não ficam adivinhando senhas uma por uma. Eles automatizam tudo.

Ataques de dicionário: Baseiam-se em enormes coleções de senhas reais, palavras, frases e variações reunidas ao longo de anos de vazamentos de dados. Esses dicionários contêm bilhões de entradas e continuam crescendo.
Ataques baseados em regras: São devastadoramente eficazes contra a criatividade humana. As ferramentas aplicam automaticamente hábitos comuns: trocar "o" por "0", adicionar "123" ou "!" no final, colocar a primeira letra em maiúscula, inserir um ano, e assim por diante. A maioria das senhas "espertas" cai exatamente nesse ponto.
Força bruta: Tentar todas as combinações possíveis. Isso parece assustador, mas contra senhas longas e verdadeiramente aleatórias, armazenadas com algoritmos de hash modernos, a força bruta rapidamente se torna impraticável simplesmente porque leva tempo demais.

O problema das senhas autocriadas

Gostamos de senhas que inventamos nós mesmos porque elas parecem pessoais e fáceis de lembrar. Infelizmente, a pesquisa — e a experiência — mostram que elas também são altamente previsíveis.

Padrões se repetem: Estudos em larga escala, incluindo trabalhos da Universidade Carnegie Mellon, mostram consistentemente as mesmas estruturas: uma palavra ou nome, uma letra maiúscula no início e números ou símbolos no final. O conteúdo muda, mas a forma permanece a mesma. Uma vez que os atacantes modelam essa estrutura, a quebra se torna dramaticamente mais rápida.
O comprimento tem um teto: A maioria das senhas criadas pelos usuários fica entre 8 e 10 caracteres. Não porque as pessoas não saibam que senhas mais longas são mais seguras, mas porque a memória nos empurra para strings mais curtas.
Informações pessoais vazam para dentro: Aniversários, nomes de animais de estimação, datas comemorativas — as pessoas os usam constantemente. E na era das redes sociais, os atacantes muitas vezes nem precisam adivinhar.

Por que senhas aleatórias jogam um jogo diferente

Uma senha criada por um gerador de senhas aleatórias seguro — algo como r8$NpL#2qW9 — não é apenas "mais complexa". Ela é fundamentalmente diferente.

Cada caractere é escolhido de forma independente. Não há palavras, substituições ou lógica humana. Esse único fato elimina as ferramentas mais poderosas do atacante: dicionários e regras.

De uma perspectiva numérica:

Uma senha de 8 caracteres usando apenas letras minúsculas tem cerca de 26⁸ possibilidades (~209 bilhões).
Adicione maiúsculas, números e símbolos, e você chega de repente a cerca de 95⁸ (~6 quatrilhões).
Aumente para 12 caracteres e o espaço se torna astronomicamente grande.

Mas a verdadeira vantagem não é apenas o tamanho — é que senhas aleatórias forçam os atacantes a recorrer à força bruta, que é lenta, cara e muitas vezes não vale o esforço.

Como é quebrar essas senhas na prática

Do ponto de vista de um pentester, a diferença é gritante:

Tipo de senha	Exemplo	Método do atacante	Tempo para quebrar
Autocriada	`Tiger2021!`	Dicionário e baseado em regras	Minutos a horas
Gerada aleatoriamente	`r8$NpL#2qW9`	Força bruta pura	Anos / Séculos

Se a senha estiver devidamente hasheada com algo como bcrypt ou Argon2, a força bruta contra a string aleatória implica um prazo que torna o ataque inviável. Na maioria dos casos reais, o atacante simplesmente segue em frente.

O verdadeiro trade-off: humanos vs. aleatoriedade

A maior fraqueza das senhas aleatórias não é a segurança — é a usabilidade. Humanos são péssimos em lembrar strings sem sentido. Essa é a tensão central na segurança de senhas:

Senhas que os humanos lembram bem tendem a ser fracas.
Senhas fortes tendem a ser impossíveis de memorizar.

As práticas modernas de segurança existem justamente para preencher essa lacuna.

O que realmente funciona hoje

Com base no consenso do setor e na experiência do mundo real:

Use um gerenciador de senhas: Ferramentas como Bitwarden ou 1Password permitem que você dependa de uma única senha mestra forte, enquanto tudo o mais é longo, aleatório e único. Isso é amplamente considerado a melhor opção para a maioria das pessoas.
Se precisar memorizar, aposte no comprimento: Uma sequência de palavras sem relação entre si (por exemplo, coffee-zebra-battery-stapler) costuma ser mais resistente a ataques — e mais fácil de lembrar — do que uma senha curta e cheia de símbolos.
Nunca reutilize senhas: Uma vez que um site é comprometido, a reutilização transforma isso em um efeito dominó.
Ative o MFA: E-mail, banco, contas na nuvem — sempre use autenticação multifator.
Verifique sua exposição a vazamentos: Serviços como Have I Been Pwned permitem que você veja se seu e-mail aparece em conjuntos de dados de vazamentos conhecidos.

Principais conclusões

Senhas humanas seguem padrões estruturais repetíveis (palavra + número + símbolo).
Ataques de dicionário contêm bilhões de senhas reais provenientes de vazamentos de dados.
Ataques baseados em regras aplicam automaticamente substituições comuns (o→0, a→@, adicionando 123 ou !).
Senhas aleatórias com 12 ou mais caracteres forçam os atacantes à força bruta, o que é computacionalmente inviável contra o hashing moderno.
Gerenciadores de senhas preenchem a lacuna entre segurança e usabilidade.

Conclusão

A criatividade humana não tem chance contra ferramentas de ataque automatizadas. As únicas senhas que sobrevivem a testes de invasão reais são as geradas por CSPRNG, em que cada caractere é independente e imprevisível. Isso não é um debate filosófico sobre se humanos ou máquinas criam senhas "melhores" — é gestão de risco. Computadores são bons em gerar aleatoriedade, e humanos são bons em proteger um único segredo e responder a solicitações como o MFA. Deixe cada um fazer o que faz de melhor.

Pronto para melhorar sua segurança? Gere agora uma senha forte e offline para proteger suas contas imediatamente.

Por que você pode confiar no PassGenerate

As senhas são geradas localmente no seu navegador usando a API Web Crypto.
Nenhuma senha é transmitida a servidores.
Usa um gerador de números pseudoaleatórios criptograficamente seguro (CSPRNG).
Segue as práticas modernas de segurança recomendadas pelo NIST e pela OWASP.

Referências

NIST SP 800-63B – Digital Identity Guidelines
OWASP Password Storage Cheat Sheet
OWASP Authentication Cheat Sheet
Documentação da API Web Crypto do MDN
CISA Password Guidance

Por que os atacantes adoram senhas criadas por humanos