Com base em estudos recentes (NordPass, relatórios de cibersegurança, notícias):
Aqui está uma lista das 20 senhas mais comuns/fracas em Portugal segundo vários relatórios: (TecheNet)
| Senha | Comentários sobre o risco |
|---|---|
| admin | É a mais usada segundo a NordPass em 2023. (TecheNet) É muito provável que seja a senha padrão e nunca tenha sido alterada, o que é um grande risco. |
| 123456 | Clássica sequência numérica; extremamente vulnerável a ataques de força bruta. (TecheNet) (TechBit) |
| user | Muito genérica, fácil de adivinhar. (TecheNet) |
| 123456789 | Versão mais longa da sequência “123…”, mas ainda muito insegura. (TechBit) |
| 12345678 | Mais uma sequência, bastante comum e fraca. (TecheNet) |
| password | Palavra literal “password” ainda usada em Portugal. (Tek Notícias) |
| 12345 | Sequência curta, baixa entropia. (Tek Notícias) |
| benfica | Referência a futebol: senhas inspiradas em desporto são populares, mas fáceis de adivinhar para atacantes. (TecheNet) |
| graciete10 | Nome próprio + número. Muito previsível em ataques de dicionário. (TecheNet) |
| merda123 | Combina palavra + números — ainda assim muito fraca. (TecheNet) |
| Oliveira11 | Nome + número, provavelmente fácil de adivinhar para alguém que conheça contexto local. (Tek Notícias) |
| diogo123 | Outro nome + número típico. (TecheNet) |
| Password (com “P” maiúsculo) | Variante da “password”; case-sensitivity ajuda pouco quando o padrão é tão comum. (Tek Notícias) |
| jorge123456 | Nome + uma sequência numérica grande. (TecheNet) |
| 1234567890 | Sequência numérica até 0; obviamente fácil de testar. (Tek Notícias) |
| catarina | Nome próprio; senhas baseadas em nomes pessoais são altamente previsíveis. (TecheNet) |
| qwerty | Sequência do teclado; atacar com dicionários geralmente detecta rapidamente esse tipo. (Tek Notícias) |
| xandrito | Nome ou alcunha; pode ter significado para o utilizador, mas para um atacante pouco importa se é comum. (TecheNet) |
| portugal | Palavra cultural/patriótica; previsível e fraca por si só. (Tek Notícias) |
| benfica91 | Combinação de clube + número; “futebol + ano” com frequência aparece em senhas fracas. (TecheNet) |
Além dessas, outras senhas fracas frequentemente listadas em relatórios de segurança (não só em Portugal) incluem “abc123”, “qwerty123”, “111111”, etc. (Tek Notícias)
2) Por que essas senhas são alvo frequente de ataques de brute-force
- Baixa entropia: senhas como “123456” ou “password” têm poucas variações, o que as torna extremamente rápidas de “adivinhar” por força bruta ou via dicionários de senhas comuns.
- Senhas padrão não alteradas: “admin” muitas vezes é a senha default de sistemas, e muitos utilizadores não a mudam. (TecheNet)
- Reutilização: muitos usam a mesma senha fraca para várias contas, então se uma for comprometida, várias ficam vulneráveis.
- Popularidade: como essas senhas são comuns, muitas listas de ataque (“wordlists”) de hackers incluem precisamente essas combinações, tornando a descoberta muito mais provável.
3) Recomendações para aumentar a segurança das senhas / acessos
Aqui vão algumas boas práticas para reduzir significativamente o risco de ataques por senhas:
- Usar senhas longas e complexas
- Ideal: pelo menos 12 caracteres (alguns recomendam ainda mais). Estudos apontam que senhas curtas (< 8 caracteres) são muito vulneráveis. (Pplware)
- Combinar letras maiúsculas, minúsculas, números e símbolos.
- Evitar reutilizar senhas
- Cada conta deve ter uma senha única. Se repetir uma senha fraca, um vazamento numa conta compromete todas as outras.
- Usar um gestor de senhas (password manager) torna isso muito mais fácil.
- Usar um gestor de senhas (password manager)
- Ferramentas como KeePass, 1Password, Bitwarden, entre outras, permitem gerar senhas seguras e únicas para cada serviço.
- Armazene no gestor a senha mestra (master), que deve ser forte, e deixe que o gestor cuide do resto.
- Ativar autenticação de dois fatores (2FA / MFA)
- Sempre que possível, use 2FA: algo que você sabe (senha) + algo que você tem (telefone, app de autenticação) + algo que você é (biometria).
- Mesmo se a senha for comprometida, a segunda camada torna o acesso indevido muito mais difícil.
- Verificar regularmente se suas senhas foram comprometidas
- Servidores como “Have I Been Pwned” permitem verificar se suas credenciais já apareceram em vazamentos.
- Se uma senha usada por você aparecer em um vazamento, mude-a imediatamente, especialmente se você a reutiliza.
- Rotação de senhas (quando necessário)
- Para contas sensíveis (banco, email principal, trabalho), considere mudar a senha periodicamente, especialmente se houver suspeita de comprometimento.
- No entanto, mudar senhas só por rotina sem motivo pode levar pessoas a escolher senhas fracas.
- Educação e sensibilização
- Treine-se (ou equipe, se for empresa) sobre os riscos de senhas fracas.
- Promova a cultura de segurança: explicar por que “123456” ou “admin” não são aceitáveis.
- Políticas de segurança (para empresas)
- Se estiver a gerir sistemas / contas de utilizador, implemente políticas de força de senha mínima, lockout após várias tentativas de login, CAPTCHA, limitação de tentativas, etc.
- Armazenar senhas com hashing seguro + salt: quando guardar senhas, usar funções robustas (bcrypt, Argon2, etc.) e sal (salt) para dificultar que elas sejam quebradas por um atacante que roube o “hash”. (pt.wikipedia.org)
