Credential stuffing: o que é e como proteger suas contas

Às 4h da manhã do dia 1º de julho de 2025, um executivo de uma fintech brasileira foi acordado por um alerta urgente: uma transferência suspeita de R$ 18 milhões via Pix acabava de ser executada. Nas horas seguintes, pelo menos seis outras instituições financeiras brasileiras registraram o mesmo padrão de ataque coordenado — credenciais legítimas de clientes, obtidas em vazamentos anteriores, sendo usadas para invadir contas de verdade. O Banco Central estimou que o prejuízo potencial da operação poderia chegar a R$ 1 bilhão. Esse é o credential stuffing funcionando em escala industrial.

O que é credential stuffing?

Credential stuffing é um ataque automatizado em que criminosos pegam listas de usuários e senhas roubadas de um serviço e testam essas mesmas combinações em outros sites e aplicativos. O nome vem do inglês: "stuffing" significa empurrar credenciais para dentro de formulários de login.

A lógica é simples e devastadora ao mesmo tempo: se você usa o mesmo e-mail e senha no banco e no fórum de videogames, e o fórum sofre um vazamento, o criminoso agora tem a chave do banco também. Ele só precisa de um script para testar isso em escala.

Não confunda com brute force. No brute force, o atacante tenta descobrir a senha inventando combinações. No credential stuffing, ele já tem a senha — só precisa descobrir onde mais ela funciona.

Como o ataque funciona na prática

O fluxo de um ataque de credential stuffing segue etapas bem definidas:

Compra do combolist: o atacante adquire em fóruns da dark web ou canais do Telegram um arquivo com pares email:senha provenientes de vazamentos conhecidos. Combolists frescos — com credenciais ainda não rotacionadas — chegam a custar centenas de dólares por base.
Configuração do bot: ferramentas como OpenBullet ou SentryMBA permitem configurar o ataque para qualquer site. O bot lê o combolist e tenta o login automaticamente, respeitando limites de tentativas por IP para não acionar alertas.
Distribuição por botnets: para driblar bloqueios por IP, os ataques são espalhados por milhares de endereços de IP diferentes, muitas vezes via proxies residenciais ou IPs de dispositivos comprometidos.
Validação dos resultados: o bot separa as credenciais válidas (hits) das inválidas. A taxa de sucesso média é de 0,1% a 0,2% — parece baixo, mas em um combolist de 1 bilhão de registros, são 1 a 2 milhões de contas comprometidas.
Monetização: contas válidas são revendidas, usadas para fraude financeira ou para escalar o ataque a serviços de maior valor.

Por que o credential stuffing funciona tão bem?

A maioria das pessoas reutiliza senhas?

Sim. Estudos consistentes mostram que aproximadamente 50% das senhas são reutilizadas em mais de um serviço. Isso significa que metade das credenciais roubadas em qualquer vazamento funciona, potencialmente, em outros sites — sem nenhum esforço adicional do atacante.

A raiz do problema não é descuido: é impossibilidade cognitiva. Ninguém consegue memorizar dezenas de senhas únicas e complexas. Sem um gerenciador de senhas, a saída mais comum é repetir — e isso transforma cada vazamento em um risco em cascata.

Os 16 bilhões de registros descobertos em 2025

Em junho de 2025, pesquisadores da Cybernews descobriram a maior compilação de credenciais já vista publicamente: 16 bilhões de registros espalhados em 30 bases de dados distintas. Diferente de dumps antigos, boa parte do material vinha diretamente de logs de infostealers — malwares que capturam credenciais em tempo real, antes que o usuário tenha chance de trocar a senha.

Esses registros incluíam não apenas email e senha, mas também tokens de sessão e cookies de autenticação, tornando-os utilizáveis mesmo quando a senha já havia sido alterada. O Cybernews estimou cobertura de praticamente todos os tipos de serviço: bancos, VPNs, portais corporativos e plataformas governamentais.

No mesmo período, o relatório da IT Pro registrou um crescimento de 160% no roubo de credenciais em 2025 em comparação com o ano anterior.

Como saber se minhas credenciais foram vazadas?

A maneira mais direta é consultar o Have I Been Pwned — serviço gratuito criado pelo pesquisador Troy Hunt que agrega bases de dados de vazamentos conhecidos. Você digita o e-mail e o site informa em quais brechas aquele endereço apareceu.

Sinais de que uma conta já pode ter sido comprometida:

Notificações de login de dispositivos ou localizações que você não reconhece
E-mails de redefinição de senha que você não solicitou
Transações ou atividades na conta que você não realizou
Não conseguir fazer login com a senha correta (o atacante já trocou)

Como se proteger do credential stuffing

A proteção eficaz combina três camadas que se reforçam mutuamente:

1. Senhas únicas para cada serviço (não tem atalho aqui)

Sem isso, todas as outras proteções perdem força. Um gerenciador de senhas resolve o problema de memória: você precisa lembrar de uma senha mestra, e o gerenciador cuida de gerar e armazenar senhas longas e únicas para cada conta. O Bitwarden é gratuito, open source e funciona em todos os dispositivos — já cobrimos o passo a passo de configuração aqui no blog.

2. MFA em tudo que permitir

Segundo a Microsoft, o MFA implementado corretamente bloqueia 99,9% dos ataques de credential stuffing. Mesmo que o atacante tenha sua senha, ele trava no segundo fator. TOTP (Google Authenticator, Authy) é mais seguro que SMS. Vale notar que existe um ataque específico — o MFA fatigue — que tenta burlar o segundo fator via bombardeio de notificações push; conhecer o vetor ajuda a não cair nele.

3. Passkeys sempre que disponível

Passkeys eliminam a senha completamente. Em vez de um segredo compartilhado com o servidor, o login usa criptografia de chave pública: sua chave privada nunca sai do dispositivo. Não há credencial para vazar. Se o serviço já suporta passkeys, ativar é a proteção mais sólida contra credential stuffing que existe hoje.

4. Monitore e-mails e alertas de login

Ative notificações de novo login em todas as contas que oferecem esse recurso (Gmail, iCloud, bancos). Um alerta de login às 3h da manhã de um IP na Romênia é sinal claro de comprometimento — quanto antes você age, menor o estrago.

A lição que o ataque de julho de 2025 deixou

O ataque coordenado às fintechs brasileiras não usou zero-day, não explorou vulnerabilidade de software, não precisou de spear phishing sofisticado. Usou senhas que as vítimas já tinham entregue, sem saber, em vazamentos anteriores de outros serviços. A superfície de ataque não estava nos bancos — estava na coleção de contas menos protegidas que cada usuário tinha espalhadas pela internet.

Credential stuffing é o ataque que se alimenta de todos os outros vazamentos. Cada base de dados comprometida alimenta a próxima rodada de tentativas. A única resposta estrutural é cortar o combustível: senhas únicas, segundo fator obrigatório, e passkeys onde for possível.

Se quiser ver como esse cenário se conecta ao roubo de chips, o SIM swap é outro vetor que usa acesso a contas de forma igualmente automatizada — vale a leitura para entender a cadeia completa de fraude de identidade no Brasil.