Sua senha já está algum lugar . 16 bilhões de credenciais expostas em um único vazamento. A pergunta não é mais «serei afetado?», mas «quantas contas cairão de uma vez?» Todos temos o mesmo reflexo: uma senha «forte o suficiente», reutilizada em todo lugar, porque lembrar quarenta é impossível. Os atacantes contam exatamente com isso. Hoje, não são mais gênios «quebrando» sua senha — são bots reutilizando credenciais já roubadas em outro lugar. Por que a senha memorizada atingiu o limite — ilustrado com casos reais e recentes — e o que um gerenciador de senhas muda na prática. 16 bi de credenciais expostas em uma compilação descoberta em junho de 2025 6 167 vazamentos de dados registrados pela CNIL em 2025, +10% em relação ao ano anterior 88% dos ataques web exploram credenciais roubadas (Verizon 2025) O perigo não é uma senha fraca. É uma senha reutilizada. Em junho de 2025, pesquisadores da Cybernews descobriram uma compilação de 16 bilhões de credenciais agregadas de cerca de trinta bases de dados diferentes, afetando contas Google, Apple, VPN e até sites governamentais. O detalhe mais alarmante : não se tratava de vazamentos antigos reciclados, mas de dados frescos e imediatamente exploráveis, incluindo cookies e tokens de sessão. E esse volume não é exceção. O relatório CNIL 2025 lista 6 167 vazamentos de dados , aumento de 10% em relação ao ano anterior. Estatisticamente, algumas das suas credenciais já circulam. Enquanto uma senha permanece única para um serviço, um vazamento continua sendo um incidente isolado. Reutilizada em dez sites, torna-se uma chave mestra. Credential stuffing — como um vazamento dispara dez outros Do lado do atacante, o princípio é desarmantemente simples. Uma senha roubada no site A é automaticamente reutilizada por bots em centenas de outros serviços: banco, e-mail, redes sociais, e-commerce. Como indica a CNIL : uma chave que abre todas as portas. Segundo o relatório Verizon 2025, credenciais roubadas ou forçadas estão envolvidas em 88% dos ataques web . Para os defensores, é o ataque com a melhor relação esforço/ganho que existe: nenhuma vulnerabilidade a encontrar, nenhum exploit sofisticado. Aluga-se uma lista barata, lançam-se bots de milhares de IPs, e uma pequena taxa de sucesso em milhões de contas basta para rentabilizar a operação. 14 000 contas violadas → 6,9 milhões expostos Entre abril e setembro de 2023, atacantes acessaram cerca de 14 000 contas via credential stuffing. Por meio de recursos de compartilhamento de dados, alcançaram 5,5 milhões de perfis adicionais e 1,4 milhão de árvores genealógicas. Resultado: acordo de US$ 30M e proteção contra falência em 2025. Dados sensíveis drenados em 3 dias Em dezembro de 2022, o PayPal sofreu um ataque massivo de credential stuffing. Nomes completos, números fiscais e de previdência social, dados de cartões foram expostos — não por uma falha do PayPal, mas porque as credenciais reutilizadas dos clientes já haviam vazado em outro lugar. Transporte público parisiense como alvo Um ataque de credential stuffing com credenciais roubadas acessou fraudulentamente contas de usuários da operadora de transporte parisiense — um lembrete local e recente de que ninguém está fora de alcance. O mito da «senha complexa» Um relatório que analisa mais de um bilhão de senhas roubadas por malware confirma: muitas excediam os requisitos regulatórios de comprimento e complexidade. Contra um infostealer que lê sua senha em texto claro no dispositivo, a complexidade não protege nada. O que importa é a unicidade e um segundo fator. Memorizar é o problema. Delegar é a solução. A causa raiz não é técnica, é humana: um cérebro não consegue gerar e lembrar 40 senhas únicas e aleatórias. Então reutilizamos. Um gerenciador de senhas elimina esse compromisso na origem — você lembra apenas um segredo mestre; ele cuida do resto. O benefício antiphishing é subestimado: um gerenciador só preenche credenciais no domínio exato salvo. Em um site falso «paypa1.com», simplesmente se recusa a preencher — onde um humano apressado cairia na armadilha. Seus próximos 5 minutos Um último reflexo de segurança: se receber um alerta de vazamento para um serviço específico, nunca clique no link do e-mail. Abra o aplicativo você mesmo ou digite o endereço manualmente, depois altere a senha a partir daí. Notificações de vazamento são isca ideal para phishing. Verifique a exposição dos seus endereços em Have I Been Pwned — gratuito e confiável. Instale um gerenciador de senhas e crie uma senha mestra longa e única (uma frase-senha é ideal). Ative a autenticação de dois fatores (2FA/MFA) : a Microsoft estima que bloqueia mais de 99,9% das compromissões de contas. Altere primeiro as senhas reutilizadas em contas críticas: e-mail principal, depois banco. Deixe o gerenciador regenerar o restante gradualmente, um site por vez. Pare de memorizar. Comece a proteger. Crie seu cofre QubKey: gere, armazene e preencha senhas únicas em todos os dispositivos — em minutos. Este artigo tem fins informativos. Os casos citados (23andMe, PayPal, Île-de-France Mobilités, vazamento Cybernews de junho de 2025) baseiam-se em imprensa especializada e autoridades como a CNIL. Se notificado de um vazamento, siga sempre as instruções oficiais do serviço afetado.