Este artigo baseia-se em pesquisas de segurança cibernética disponíveis publicamente, relatórios do setor e práticas de segurança amplamente aceitas. Onde a experiência pessoal é mencionada, é declarada explicitamente.

Uma violação que a maioria das pessoas esqueceu — mas não deveria

Em 2012, o LinkedIn foi atingido pelo que foi, na época, uma das maiores violações de dados da história. Análises posteriores mostraram que cerca de 167 milhões de registros de contas foram expostos, e cerca de 117 milhões deles incluíam endereços de e-mail e hashes de senhas.

Quando as equipes de segurança examinaram as senhas quebradas, os resultados foram dolorosamente familiares. password1, linkedin123 e escolhas semelhantes de baixo esforço apareceram aos milhões. Mais interessante — e mais preocupante — mesmo senhas que pareciam inteligentes, como L!nk3d1n2020, caíram rapidamente. Por quê? Porque seguiam padrões que os humanos quase sempre usam.

Passei mais de quinze anos trabalhando em testes de penetração de segurança cibernética. Meu trabalho é invadir sistemas — legalmente — usando os mesmos métodos em que os invasores reais confiam. Senhas não são um tópico teórico para mim; são algo que vejo falhar na prática todos os dias.

Como as senhas são realmente atacadas

Para entender por que algumas senhas sobrevivem e outras não, você precisa olhar do lado do invasor. Os invasores não ficam lá adivinhando senhas uma por uma. Eles automatizam tudo.

Ataques de Dicionário (Dictionary Attacks): Estes dependem de coleções massivas de senhas reais, palavras, frases e variações coletadas de anos de violações de dados. Esses dicionários contêm bilhões de entradas e continuam crescendo.
Ataques Baseados em Regras (Rule-Based Attacks): Estes são devastadoramente eficazes contra a criatividade humana. As ferramentas aplicam automaticamente hábitos comuns: trocar "o" por "0", adicionar "123" ou "!" no final, colocar a primeira letra em maiúscula, inserir um ano e assim por diante. A maioria das senhas "inteligentes" cai exatamente aqui.
Força Bruta (Brute Force): Tentar todas as combinações possíveis. Isso parece assustador, mas contra senhas longas e verdadeiramente aleatórias armazenadas com algoritmos de hash modernos, a força bruta rapidamente se torna impraticável simplesmente porque leva muito tempo.

O problema com senhas criadas por nós mesmos

Gostamos de senhas que inventamos porque parecem pessoais e memoráveis. Infelizmente, a pesquisa — e a experiência — mostra que elas também são altamente previsíveis.

Padrões se Repetem: Estudos em larga escala, incluindo trabalhos da Carnegie Mellon University, mostram consistentemente as mesmas estruturas: uma palavra ou nome, uma letra maiúscula no início e números ou símbolos no final. O conteúdo muda, mas a forma permanece a mesma. Uma vez que os invasores modelam essa estrutura, a quebra torna-se dramaticamente mais rápida.
O Comprimento Atinge um Teto: A maioria das senhas criadas por usuários fica entre 8 e 10 caracteres. Não porque as pessoas não saibam que mais longo é mais seguro, mas porque a memória nos empurra para sequências mais curtas.
Informações Pessoais Vazaram: Aniversários, nomes de animais de estimação, datas comemorativas — as pessoas os usam constantemente. E na era das mídias sociais, os invasores muitas vezes nem precisam adivinhar.

Por que senhas aleatórias jogam um jogo diferente

Uma senha criada por um gerador de senhas aleatórias seguro — algo como r8$NpL#2qW9 — não é apenas "mais complexa". É fundamentalmente diferente.

Cada caractere é escolhido de forma independente. Não há palavras, não há substituições, não há lógica humana. Esse fato único remove as ferramentas mais poderosas do invasor: dicionários e regras.

De uma perspectiva numérica:

Uma senha de 8 caracteres usando apenas letras minúsculas tem cerca de 26⁸ possibilidades (~209 bilhões).
Adicione letras maiúsculas, números e símbolos, e você de repente está em torno de 95⁸ (~6 quatrilhões).
Aumente para 12 caracteres e o espaço se torna astronomicamente grande.

Mas a verdadeira vantagem não é apenas o tamanho — é que senhas aleatórias forçam os invasores à força bruta, que é lenta, cara e muitas vezes não vale o esforço.

Como é quebrar essas senhas na prática

Do ponto de vista de um testador de penetração, a diferença é gritante:

Se a senha for armazenada corretamente com hash usando algo como bcrypt ou Argon2, a força bruta contra a sequência aleatória implica um prazo que torna o ataque inviável. Na maioria dos casos do mundo real, o invasor simplesmente segue em frente.

A verdadeira troca: Humanos vs. Aleatoriedade

A maior fraqueza das senhas aleatórias não é a segurança — é a usabilidade. Os humanos são terríveis em lembrar sequências sem sentido. Essa é a tensão central na segurança de senhas:

Senhas que os humanos lembram bem tendem a ser fracas.
Senhas que são fortes tendem a ser imemoráveis.

Práticas modernas de segurança existem para preencher essa lacuna.

O que realmente funciona hoje

Com base no consenso da indústria e na experiência do mundo real:

Use um Gerenciador de Senhas: Ferramentas como Bitwarden ou 1Password permitem que você confie em uma única senha mestra forte, enquanto todo o resto é longo, aleatório e único. Esta é amplamente considerada a melhor opção para a maioria das pessoas.
Se você deve memorizar, use comprimento: Uma sequência de palavras não relacionadas (por exemplo, coffee-zebra-battery-stapler) é frequentemente mais resistente a ataques — e mais fácil de lembrar — do que uma senha curta e cheia de símbolos.
Nunca reutilize senhas: Uma vez que um site é violado, a reutilização transforma isso em um efeito dominó.
Habilite MFA: E-mail, banco, contas na nuvem — sempre use autenticação multifator.
Verifique a exposição a violações: Serviços como Have I Been Pwned permitem que você veja se seu e-mail aparece em conjuntos de dados de violações conhecidos.

Pensamentos Finais

Este não é um debate filosófico sobre se humanos ou máquinas criam senhas "melhores". É sobre gerenciamento de riscos.

Computadores são bons em gerar aleatoriedade. Humanos são bons em proteger um único segredo e responder a solicitações como MFA. A abordagem mais segura é deixar cada um fazer o que faz de melhor.

Pronto para atualizar sua segurança? Gere uma senha forte offline agora para proteger suas contas imediatamente.

Por que os atacantes adoram senhas criadas por humanos