Um ataque de força bruta é a tentativa automatizada de descobrir uma senha testando milhares de combinações até acertar, o que torna senhas curtas e repetidas o principal ponto de vulnerabilidade.

Apesar de ser uma das técnicas mais antigas do cibercrime, ela continua ativa justamente porque depende de um fator simples: senhas previsíveis. E, segundo a Fortinet, o Brasil registrou 753,8 bilhões de tentativas de ataques cibernéticos em 2025, sendo 1,4 bilhão delas especificamente de força bruta.

A boa notícia é que esse é um dos tipos de ataque mais fáceis de neutralizar. Com senhas bem construídas e autenticação em dois fatores, a conta deixa de ser um alvo viável.

Veja no artigo a seguir:

O que é um ataque de força bruta?

Ataque de força bruta é um método de invasão em que o criminoso tenta descobrir uma senha, um PIN ou uma chave de acesso por tentativa e erro, testando combinações em sequência até encontrar a correta.

O nome vem exatamente daí: não há uma falha técnica sofisticada sendo explorada. O que existe é insistência automatizada. Hackers usam programas que fazem esse trabalho de forma contínua, sem cansaço e sem supervisão humana, o que permite testar um volume enorme de possibilidades.

Por isso, o que define o sucesso ou o fracasso do ataque não é a habilidade do invasor, e sim a qualidade da senha. Uma combinação curta, comum ou reaproveitada de outro site cai rápido. Uma senha longa e exclusiva torna a tentativa inviável.

Vale reforçar: esse tipo de ataque não invade o seu dispositivo. Ele acontece do lado de fora, na tela de login de um serviço. Ou seja, o alvo é a sua credencial, não o seu computador.

Como funciona um ataque de força bruta

O processo costuma seguir uma lógica parecida, independentemente do serviço atacado:

  • o criminoso escolhe um alvo, geralmente uma página de login pública;
  • ele reúne listas de possíveis senhas, que podem vir de vazamentos anteriores ou de padrões comuns;
  • um programa automatizado passa a enviar tentativas de acesso em sequência;
  • quando uma combinação funciona, o acesso é registrado e usado depois;
  • a conta invadida pode ser explorada para fraude, roubo de dados ou usada para atacar outras contas da mesma pessoa.

Como muita gente repete a mesma senha em vários serviços, uma única conta comprometida costuma abrir portas em outras. Um estudo da Cybernews que analisou mais de 19 bilhões de senhas expostas em vazamentos apontou que 94% delas eram reutilizadas ou duplicadas.

É por isso que toda senha que você cria, independente do site, precisa considerar todo esse contexto de ataques de força bruta.

Leia também:

Principais tipos de ataque de força bruta

Nem todo ataque funciona da mesma forma. Entenda as variações e perceba por que certas senhas resistem e outras não.

Força bruta simples

  • Como funciona: testa combinações de caracteres em sequência.
  • O que costuma explorar: senhas muito curtas.

Ataque de dicionário

  • Como funciona: usa listas de palavras e senhas comuns.
  • O que costuma explorar: palavras reais e nomes próprios.

Ataque híbrido

  • Como funciona: combina palavras conhecidas com números e símbolos.
  • O que costuma explorar: padrões como nome e data de nascimento.

Credential stuffing

  • Como funciona: reaproveita senhas já vazadas em outros serviços.
  • O que costuma explorar: reutilização de senha.

Força bruta reversa

  • Como funciona: parte de uma senha comum e testa vários usuários.
  • O que costuma explorar: senhas populares em massa.

Quais os alvos mais comuns de ataques de força bruta

Qualquer serviço com tela de login pode ser alvo, mas alguns concentram mais tentativas por oferecerem maior retorno ao criminoso:

  • contas de e-mail, que funcionam como chave de recuperação das demais;
  • redes sociais e aplicativos de mensagem;
  • contas em bancos, carteiras digitais e plataformas de pagamento;
  • lojas virtuais e serviços com cartão salvo;
  • painéis de administração de sites e blogs;
  • painéis de configuração de roteadores Wi-Fi;
  • acessos remotos e sistemas internos de empresas;
  • câmeras, gravadores e dispositivos conectados à internet.

Os dois últimos itens merecem destaque. Roteadores, câmeras e equipamentos inteligentes costumam sair de fábrica com senha padrão, e muita gente nunca troca. Para um ataque automatizado, esse é o cenário mais favorável possível.

Como identificar que você foi alvo de um ataque de força bruta

Ataques de força bruta bem-sucedidos deixam rastros. O problema é que esses sinais costumam ser confundidos com falhas comuns do dia a dia. Fique atento a:

  • avisos de tentativa de login que você não reconhece;
  • códigos de verificação chegando sem que você tenha pedido;
  • e-mails informando acesso a partir de outro dispositivo, cidade ou país;
  • bloqueio temporário da conta por excesso de tentativas;
  • senha que deixou de funcionar sem explicação;
  • alteração de e-mail de recuperação ou telefone cadastrado;
  • mensagens enviadas do seu perfil sem sua ação;
  • notificações de novos dispositivos conectados à sua rede.

Um detalhe importante: receber vários códigos de verificação seguidos costuma ser um bom sinal e um mau sinal ao mesmo tempo. Mau porque indica que alguém tem sua senha. Bom porque significa que a autenticação em dois fatores está segurando o acesso.

Se identificar qualquer um desses indícios, o primeiro passo é trocar a senha daquele serviço e, na sequência, de qualquer outro em que você tenha usado a mesma combinação.

Senha forte e conexão segura caminham juntas

Entender o que é um ataque de força bruta ajuda a tirar o peso da palavra “ataque”. Não se trata de uma invasão sofisticada e imprevisível, e sim de um teste de resistência que a sua senha passa ou não passa.

Se você chegou até aqui depois de ver um alerta de vazamento, o roteiro é curto: troque a senha do serviço afetado, troque também nos lugares onde você repetiu essa senha e ative a autenticação em dois fatores. Isso já resolve a maior parte do risco.

Vale lembrar que a proteção começa antes da tela de login. O roteador é o primeiro ponto de contato entre a sua casa e a internet, e mantê-lo com senha própria, atualizado e sobre uma conexão estável faz diferença na segurança de todos os dispositivos conectados. É por isso que investir em uma conexão confiável também é uma decisão de segurança digital.

Quer continuar aprendendo sobre proteção online? Confira também: