O que é password spraying?
Password spraying é uma técnica de ataque em que o invasor testa uma ou poucas senhas muito comuns em muitas contas diferentes, em vez de tentar muitas senhas em uma só conta. Assim, evita bloqueios por tentativas excessivas e encontra logins fracos.
Na prática, o atacante reúne nomes de usuários de uma organização, por exemplo a partir de sites públicos ou de e-mails corporativos, e depois tenta entrar em cada conta com senhas previsíveis, como 'Verão2024' ou combinações de datas e nomes de empresa. Como cada conta recebe apenas uma ou duas tentativas por vez, os sistemas de proteção que bloqueiam após várias falhas seguidas na mesma conta geralmente não disparam.
Uma analogia simples é pensar em um ladrão que percorre um prédio inteiro experimentando a mesma chave mestra comum em cada porta, em vez de ficar horas tentando abrir uma única fechadura. Ele não precisa insistir em uma casa, basta que alguma delas esteja mal trancada.
Esse tipo de ataque importa porque muitas invasões começam com uma senha fraca ou reaproveitada, e uma conta comprometida pode servir de porta de entrada para o restante da rede. Para se proteger, vale usar senhas longas e únicas, ativar a autenticação em dois fatores em todos os serviços possíveis e observar alertas de tentativas de login falhas e incomuns.