24 bilhões de credenciais expostas realimentam o credential stuffing
Pesquisadores encontraram um cluster Elasticsearch aberto com cerca de 24 bilhões de registros — usuários, e-mails e, em muitos casos, senhas em texto puro — reunidos de vazamentos antigos e coletas ativas de infostealers.
Em junho de 2026, pesquisadores localizaram um cluster Elasticsearch sem proteção contendo cerca de 24 bilhões de registros — algo em torno de 8,3 terabytes de nomes de usuário, e-mails, URLs de login e, em muitos casos, senhas armazenadas em texto puro. O achado é menos um "vazamento novo" e mais um retrato de como o material roubado circula e se acumula.
Os dados vinham de pelo menos 36 fontes distintas: canais de Telegram voltados a hacking, compilações antigas de vazamentos e — o mais preocupante — coletas ativas de infostealers, ainda sendo atualizadas. É essa mistura que alimenta o credential stuffing: como as pessoas reutilizam senhas, atacantes automatizam tentativas de login das mesmas combinações de e-mail e senha em dezenas de serviços, sabendo que uma fração vai funcionar. Não é preciso "hackear" o alvo; basta ter a senha que a vítima repetiu de outro site.
O episódio importa porque expõe a economia da tomada de contas (account takeover): credenciais roubadas são commodity, agregadas e revendidas, e cada reutilização de senha é uma porta que já está destrancada em algum lugar.
A defesa é conhecida e eficaz quando aplicada: senhas únicas por serviço (viável apenas com um gerenciador de senhas), autenticação em duas etapas — de preferência por app ou chave física, não só SMS — e verificação de exposição em serviços como o Have I Been Pwned. Para quem opera serviços, monitorar picos de tentativas de login e adotar detecção de credential stuffing deixou de ser opcional.