# Ciberataques baseados em senhas

As senhas se tornaram uma parte indispensável da arquitetura de segurança de TI devido à sua simplicidade e familiaridade. Enquanto muitos outros métodos de autenticação semelhantes foram surgindo, a maioria das aplicações, sites e organizações ainda usam as senhas como o principal fator na verificação de identidade. Portanto, não nos surpreende que os agentes de ameaças tenham criado uma série de ciberataques que têm as senhas como alvo e que tenham ajustado a eficiência de seus ataques a um nível alarmante.

## Aqui estão os seis ciberataques mais comuns baseados em senha

### 1. Phishing

Phishing é um tipo de ciberataque em que um invasor tenta obter dados confidenciais dos usuários por meio de um e-mail, site ou mensagem de texto aparentemente inofensiva. Em um ataque de phishing, uma página de login falsa é enviada à vítima, geralmente por meio um e-mail que se assemelha a um legítimo. Depois que o usuário insere suas credenciais, o agente da ameaça recupera esses dados e os usa para invadir a conta do usuário. Isso é muito usado para roubar informações de cartão de crédito. Um dos indicadores mais comuns do ataque de phishing é o tom assustador de sua mensagem. Alguns exemplos dessas mensagens são: "sua senha está prestes a expirar" e "sua conta será bloqueada se não atender à solicitação".

### 2. Spear phishing

Spear phishing é uma versão mais direcionada de um ataque de phishing. O invasor tem como objetivo obter acesso às credenciais de login de um indivíduo em particular para obter ilegalmente dados confidenciais. Isso requer conhecimento detalhado da hierarquia, normas e procedimentos da organização. O spear phishing raramente é um evento isolado; normalmente ele é a primeira fase de uma ameaça persistente avançada.

### 3. Ataques de força bruta

Um ataque de força bruta é um ataque de senha simples e antigo que ainda se mostra bem-sucedido devido à negligência dos usuários em definir senhas fortes. Em um ataque de força bruta, o hacker tenta adivinhar a senha do usuário por meio de diferentes combinações. Se o usuário tiver definido uma senha comumente usada, é provável que ela seja decodificada em questão de milissegundos. Aqui está uma lista de senhas comuns e quanto tempo leva para quebrá-las:

| Classificação | Senha | Tempo necessário para quebrar |
|---|---|---|
| 1 | 123456 | <1 segundo |
| 2 | senha | <1 segundo |
| 3 | 12345 | <1 segundo |
| 4 | 123456789 | <1 segundo |
| 5 | senha1 | <1 segundo |
| 6 | abc123 | <1 segundo |
| 7 | 12345678 | <1 segundo |
| 8 | qwerty | <1 segundo |
| 9 | 111111 | <1 segundo |
| 10 | 1234567 | <1 segundo |

Fonte: Lista de senhas mais comuns do NordPass

### 4. Password spraying

Password spraying é um tipo de ataque de força bruta em que o hacker tenta uma senha escolhida para todas as contas disponíveis em uma plataforma específica e, em seguida, passa para a próxima senha. Dessa forma, eles podem obter acesso a muitas contas de usuários dentro de uma organização. O sucesso desse ataque é determinado pela força das senhas dos usuários.

### 5. Ataques de dicionário

Um ataque de dicionário é outro tipo de ataque de força bruta em que o hacker tenta cada palavra em um dicionário para identificar a senha de um usuário. Isso funciona, pois muitos usuários definem palavras comuns em inglês como suas senhas. Os invasores usam palavras comuns com substituições de caracteres (por exemplo, 1 para L e 3 para E), bem como dicionários de senhas que contêm senhas violadas.

### 6. Preenchimento de credenciais

O preenchimento de credenciais é semelhante a um ataque de força bruta, exceto pelo fato de que é usado um conjunto de senhas já comprometidas para invadir as contas dos usuários. Isso funciona porque muitas pessoas usam a mesma senha em várias plataformas.

## Combata os ciberataques baseados em senha com o ADSelfService Plus

O ADSelfService Plus é uma solução de segurança de identidade com MFA adaptável e recursos de gerenciamento de senha. Com o ADSelfService Plus, você pode:

### Aplique senhas fortes

O aplicador de políticas de senhas no ADSelfService Plus permite que você restrinja palavras do dicionário, padrões e repetições. É possível incluir seu próprio dicionário de senhas proibidas, além do predefinido. Além disso, você pode proibir senhas violadas por meio da nossa integração Have I Been Pwned?. Isso deixa você imune a ataques de preenchimento de credenciais e força bruta.

### Implemente a MFA

Escolha entre mais de 19 fatores de autenticação, como biometria e Google Authenticator, para fortalecer contas de usuários contra vários ataques cibernéticos, incluindo ataques de força bruta e phishing. Mesmo que a senha de um usuário seja comprometida, o hacker não poderá invadir a conta sem os outros fatores de autenticação.

### Implemente o CAPTCHA

Torne os recursos de bot inúteis para vários tipos de ataques de força bruta e preenchimento de credenciais com o CAPTCHA personalizável.

### Restringir IPs

A maioria dos agentes de ameaças usa repetidamente endereços IP de um pool limitado para facilitar ciberataques. Crie uma lista de bloqueio de IP com o recurso de acesso condicional do ADSelfService Plus para bloquear endereços IP envolvidos em violações de dados.

### Simplifique a conformidade

Gerencie senhas com eficiência e obtenha relatórios abrangentes sobre os últimos logins, senhas expiradas, contas bloqueadas, falhas de verificação de identidade e muito mais para garantir a conformidade com regulamentações como SOX, HIPAA e PCI DSS.