Credential stuffing: como o reaproveitamento de senhas vazadas alimenta fraude em massa
A ESET explica como o credential stuffing usa listas de credenciais expostas em vazamentos anteriores para testar login em massa em outros serviços, explorando o hábito de reuso de senha — e não uma falha do serviço-alvo em si. O artigo cita os casos PayPal (35 mil contas em 2022) e Snowflake (165 organizações em 2024) como exemplos de como essa técnica automatizada, hoje potencializada por scripts com IA, virou vetor primário de account takeover e fraude em varejo, finanças, SaaS e saúde.
Diferente de um ataque de força bruta, que tenta adivinhar senhas, o credential stuffing parte de credenciais reais e válidas — obtidas em vazamentos anteriores de outros serviços ou roubadas diretamente do navegador da vítima por malware infostealer. O criminoso então usa bots para "testar" esses pares de usuário/senha em massa contra o login de um serviço diferente, apostando que uma fração relevante das pessoas reutiliza a mesma senha em vários lugares — e, estatisticamente, sempre funciona para uma parcela dos alvos.
Tecnicamente, o que torna esse ataque difícil de detectar por regras simples é que ele não gera o padrão clássico de "muitas tentativas falhas na mesma conta" que dispara alarmes de força bruta. Em vez disso, os bots rotacionam endereços IP, distribuem as tentativas entre milhares de contas diferentes e simulam comportamento humano de navegação, tornando o tráfego difícil de distinguir de logins legítimos em volume alto. O artigo destaca que scripts hoje assistidos por IA generativa conseguem inclusive contornar CAPTCHAs e outras defesas anti-bot básicas, elevando a escala e a furtividade do ataque.
Os exemplos citados mostram o efeito cascata desse tipo de ataque: no caso PayPal (2022), 35 mil contas foram comprometidas via credential stuffing sem que a própria plataforma tivesse sido invadida — as senhas vazaram em outro lugar. Já no caso Snowflake (2024), credenciais roubadas por infostealer meses antes permitiram acesso a 165 organizações clientes, mostrando como um único vazamento de senha reaproveitada vira ponto de entrada para fraude e exfiltração em cadeias de fornecedores inteiras.
A defesa mais eficaz nesse caso não é técnica sofisticada, é higiene básica em escala: nunca reutilizar senha entre serviços (o que um gerenciador de senhas resolve estruturalmente), ativar 2FA sempre que disponível — de preferência via app ou chave física, não SMS — e verificar periodicamente exposição em serviços como haveibeenpwned.com. Do lado das organizações, a resposta passa por não depender só de senha (2FA obrigatório), limitar tentativas de login, usar CAPTCHA e detecção de bots, monitorar padrões anômalos de autenticação, e migrar gradualmente para passkeys, que eliminam o problema pela raiz ao não usarem senha reutilizável.