Depois do vazamento, reutilização . Saber que reutilizar é perigoso não faz o hábito desaparecer. O desafio real: organizar dezenas de contas sem quebrar nada. Você leu os números e conhece o credential stuffing: uma senha roubada em um site é reutilizada em outros. Resta a pergunta prática que quase ninguém responde: por onde começar quando se tem 60, 100 ou 150 contas? Em vez de repetir por que a reutilização é perigosa, este artigo foca no que vem depois: por que continuamos a fazê-lo, por que as "pequenas variações" não protegem e uma ordem de prioridades realista para sair dessa. 65 % dos entrevistados reutilizam a mesma senha em várias contas (Google/Harris Poll) 15 caracteres mínimos recomendados pelo NIST quando a senha é o único fator (SP 800-63B rev. 4) 0 contas críticas que deveriam compartilhar senha com outro serviço Reutilizamos porque somos humanos, não por descuido Segundo uma pesquisa Google/Harris Poll, 52 % das pessoas reutilizam a mesma senha em várias contas (mas não em todas) e 13 % em todas: 65 % no total . A reutilização é um meio-termo racional diante de uma exigência irreal: lembrar dezenas de segredos distintos. Culpar não adianta. O que importa é reduzir o alcance: uma conta, uma senha, para que cada vazamento continue sendo um incidente isolado. "Pequenas variações" não são senhas únicas Trocar um dígito ou um ponto de exclamação no final dá a impressão de trabalho feito. Mas um atacante que obtém "Gato-Azul42!" em um site tentará naturalmente "Gato-Azul43!" em outro. A lógica de variação é previsível, logo explorável. Pelo mesmo motivo, os padrões atuais não apostam mais em regras de composição. O NIST (SP 800-63B) pede comparar as senhas escolhidas com listas de valores já comprometidos e privilegia o comprimento em vez da complexidade aparente. Regra simples Se duas senhas se parecem, contam como uma só. Uma senha única não tem nenhuma ligação visível com as outras. Comece pelas contas que abrem as outras Não é preciso mudar tudo em uma noite. Trate primeiro as contas cujo comprometimento leva a outras: seu e-mail principal, porque ele redefine quase todas as senhas. Depois vêm o dinheiro e o resto. Um plano em cinco passos Um cofre local como o QubKey foi pensado para esse momento: suas novas credenciais ficam criptografadas no aplicativo do seu computador (Windows ou macOS), com sincronização opcional entre dispositivos em beta. Gratuito durante o beta. Liste suas contas críticas : e-mail principal, banco, pagamento, administração, nuvem. Verifique a exposição dos seus endereços no Have I Been Pwned para saber quais contas tratar primeiro. Escolha um cofre para guardar suas novas senhas: você não precisa mais lembrá-las, apenas um segredo mestre. Substitua por senhas longas e únicas , uma conta de cada vez, começando pelo e-mail. Organize o resto aos poucos : a cada login, troque a senha antiga e guarde a nova. Uma conta, uma senha. Experimente o QubKey, o gerenciador de senhas local para Windows e macOS. Gratuito durante o beta. Este artigo tem fins informativos. Nenhum software é inviolável: um gerenciador de senhas reduz muito o risco da reutilização sem eliminar todos os riscos (phishing, malware no dispositivo). As estatísticas citadas vêm das fontes públicas listadas acima.