Blog

Você nunca clicou em link suspeito, nunca passou código por telefone e, ainda assim, recebeu o aviso: “sua senha foi alterada”. Em muitos casos, ninguém enganou você. Um programa simplesmente testou senha após senha, milhares de vezes, até encontrar a combinação certa. Esse é o ataque de força bruta, uma das técnicas mais antigas da criminalidade digital e, justamente por ainda funcionar, uma das mais usadas hoje.

Nesta postagem você vai entender, em linguagem simples, o que é a força bruta e o ataque de dicionário, quais fraquezas eles exploram, que crimes são praticados com o acesso obtido, que crimes podem vir depois, como a polícia investiga e, principalmente, como se proteger.

1. Resumo do ataque

O criminoso escolhe uma conta (e-mail, rede social, banco, painel de site, câmera, roteador ou sistema de empresa) e usa um programa automatizado que testa, em sequência, milhares de senhas prováveis. Quando a senha é fraca, previsível ou de fábrica, a porta abre em minutos. Com a conta nas mãos, ele furta dinheiro, aplica golpes nos seus contatos, extorque, vende o acesso ou usa a sua identidade para novos crimes.

2. Conceito e objetivos

Ataque de força bruta é a tentativa repetida e automatizada de descobrir uma credencial (senha, PIN, chave) por tentativa e erro, até acertar. Não há “mágica hacker”: há volume, paciência e máquinas trabalhando sem parar. A força do ataque não está na inteligência do criminoso, mas na fraqueza da senha escolhida pela vítima ou na falta de barreiras do sistema.

Ataque de dicionário é a versão “econômica” da força bruta. Em vez de testar todas as combinações possíveis, o programa testa uma lista de senhas que as pessoas realmente usam: sequências numéricas, nomes, datas, times, palavras comuns e senhas vazadas em incidentes anteriores. Como milhões de pessoas repetem as mesmas escolhas, a lista acerta com uma frequência assustadora.

Os objetivos do criminoso costumam ser:

• Dinheiro direto: acesso a banco, carteira digital, conta de investimentos ou cartão salvo em lojas.
• Dinheiro indireto: usar o seu e-mail ou WhatsApp para enganar parentes, amigos e clientes.
• Dados: fotos, documentos, conversas e cadastros, que viram moeda de extorsão ou mercadoria.
• Porta de entrada: numa empresa ou órgão público, uma única conta invadida pode dar acesso a toda a rede, abrindo caminho para sequestro de dados (ransomware) e espionagem.
• Revenda de acesso: há criminosos que só “abrem a porta” e vendem a chave para outros grupos.

3. Meios e modos de ataque (o que você precisa reconhecer)

Existem variações da mesma ideia. Conhecê-las ajuda a entender por que certas proteções funcionam e outras não:

• Força bruta simples: testa combinações em sequência. É eficaz contra senhas curtas e PINs de poucos dígitos.
• Dicionário: testa listas de senhas populares e vazadas. É o mais comum contra pessoas físicas.
• Híbrido: parte de palavras da lista e acrescenta variações previsíveis, como o ano, um “@” ou um “123” no final. É por isso que “Maria@2026” não é tão forte quanto parece.
• Dirigido (com engenharia social): o criminoso monta a lista com informações que você publicou: nome do filho, do pet, do time, data de casamento. Com o uso de inteligência artificial, essa personalização ficou mais rápida.
• Pulverização de senhas (password spraying): o inverso da força bruta. Em vez de testar muitas senhas em uma conta, testa poucas senhas muito comuns em muitas contas, devagar, para não acionar o bloqueio por excesso de erros. É a técnica preferida contra empresas e órgãos públicos.
• Ataque “offline”: quando um banco de dados vaza, as senhas costumam estar embaralhadas (criptografadas). O criminoso tenta descobri-las no próprio computador, sem limite de tentativas, e depois usa as senhas descobertas em outros serviços.

Os alvos mais visados são: contas de e-mail (que dão acesso à redefinição de todas as outras), redes sociais, painéis administrativos de sites, sistemas de acesso remoto de empresas, VPNs corporativas, roteadores domésticos, câmeras de segurança e outros aparelhos conectados que ainda usam a senha de fábrica.

Uma variação muito próxima, o credential stuffing (testar pares de e-mail e senha vazados de outros sites), será tratada em postagem própria.

4. As vulnerabilidades que o criminoso explora

A força bruta só prospera onde encontra uma ou mais destas brechas:

• Senhas fracas e previsíveis. Levantamento da NordPass sobre 2025 apontou “admin” como a senha mais usada no Brasil, à frente de “123456” e “12345678”, segundo reportagem do TecMundo. A lista brasileira ainda traz combinações como “102030” e “123mudar”.
• Senha de fábrica nunca trocada em roteadores, câmeras, impressoras e aparelhos domésticos conectados.
• Reutilização de senha: a mesma senha no e-mail, no banco e na loja virtual. Basta um vazamento para tudo cair.
• Ausência de verificação em duas etapas, que transforma a senha na única barreira.
• Sistemas sem limite de tentativas, que aceitam milhares de erros seguidos sem bloquear nem alertar.
• Contas esquecidas: contas de teste, de ex-funcionários ou de sistemas antigos, sem dono, sem monitoramento e sem proteção extra.
• Serviços expostos na internet sem necessidade, como acesso remoto aberto a qualquer endereço.
• Excesso de exposição nas redes sociais, que entrega ao criminoso os ingredientes da sua senha.

5. Gatilhos psicológicos explorados

Diferentemente do golpe do falso parente, a força bruta não precisa convencer a vítima de nada no momento do ataque. Ela explora hábitos e crenças que se formam antes:

• Comodidade: a senha fácil de lembrar é também fácil de adivinhar.
• Falsa sensação de irrelevância: “ninguém vai querer invadir a minha conta”. O robô não escolhe pessoas importantes; ele testa todo mundo.
• Adiamento: “depois eu troco a senha do roteador”, “depois eu ativo a verificação”.
• Depois da invasão, medo e urgência: com a conta tomada, o criminoso passa a usar vergonha, ameaça e pressa para extorquir a vítima ou enganar os contatos dela.

6. Os números: o tamanho do problema no Brasil

Segundo o relatório de cenário de ameaças de 2026 do FortiGuard Labs, da Fortinet, divulgado em abril de 2026, o Brasil recebeu cerca de 753,8 bilhões de tentativas de ataques cibernéticos em 2025. Entre os principais vetores, o relatório aponta aproximadamente 1,4 bilhão de ataques de força bruta no país, com crescimento de cerca de 70% em relação a 2024, conforme reportagem do IT Forum.

Há um detalhe que preocupa ainda mais: a reportagem da Mobile Time sobre o mesmo relatório informa que, em escala global, as tentativas de força bruta caíram, e os especialistas interpretam a queda como sinal de eficiência. Com listas mais bem montadas, o criminoso precisa de menos tentativas para acertar. Ou seja: o ataque ficou mais silencioso, não menos perigoso.

7. Crimes praticados e capitulação penal

A força bruta, em si, é o meio. O enquadramento penal depende do que o criminoso faz com o acesso. Os principais tipos penais são:

Três observações práticas para o leitor e para quem estuda para concursos:

• A tentativa também é crime. Se o robô testa milhares de senhas e não consegue entrar, os atos de execução já começaram. Em tese, há tentativa de invasão de dispositivo informático (art. 154-A combinado com o art. 14, II, do CP). A dificuldade, na prática, é a prova da autoria e do dolo dirigido àquela vítima.
• Ação penal. Pelo art. 154-B do CP, a invasão de dispositivo depende de representação da vítima, salvo quando o crime atinge a administração pública ou concessionárias de serviços públicos. Já furto e fraude eletrônica, em regra, são de ação penal pública incondicionada (observadas as hipóteses de representação no estelionato do art. 171, § 5º).
• Concurso de crimes. Quando a invasão serve apenas de meio para o furto ou a fraude, parte da doutrina aplica a consunção (o crime-fim absorve o crime-meio). Outra parte defende o concurso de crimes, porque a invasão ofende a privacidade e a fraude ofende o patrimônio, bens jurídicos distintos. A solução depende do caso concreto e, sobretudo, de a invasão ter produzido danos próprios, como a cópia de dados.

No campo civil e administrativo, a LGPD (Lei 13.709/2018) obriga empresas e órgãos a adotarem medidas de segurança aptas a proteger os dados pessoais (art. 46) e a comunicar à ANPD e aos titulares os incidentes que possam causar risco ou dano relevante (art. 48). Uma empresa que deixa um sistema aberto à força bruta, sem limite de tentativas e sem verificação em duas etapas, pode responder pelos danos causados.

8. O efeito cascata: os crimes que vêm depois

O maior perigo da força bruta não é o primeiro acesso, mas a cadeia de crimes que ele inaugura. Uma conta de e-mail invadida hoje pode alimentar crimes durante meses:

1. Tomada de outras contas: com o e-mail, o criminoso pede “esqueci minha senha” em redes sociais, lojas, aplicativos de transporte e, às vezes, no banco.
2. Golpes contra seus contatos: pedidos de Pix, falsas vendas, falsos investimentos, tudo em seu nome (fraude eletrônica).
3. Abertura de contas e empréstimos em seu nome com os documentos encontrados nos arquivos (fraude eletrônica e falsidade).
4. Sextorsão e extorsão com fotos, conversas ou arquivos sensíveis.
5. Venda do acesso ou dos dados em mercados clandestinos, que abastecem novas quadrilhas.
6. Nas empresas e órgãos públicos: movimentação dentro da rede, sequestro de dados com pedido de resgate, desvio de pagamentos, espionagem e inserção de informações falsas em sistemas oficiais.

Os crimes de amanhã. Três tendências merecem atenção: (1) listas de senhas personalizadas por inteligência artificial a partir do que a vítima publica; (2) a casa conectada (câmeras, fechaduras, assistentes de voz e robôs domésticos) como alvo, abrindo espaço para vigilância, perseguição e até furtos facilitados pela informação sobre a rotina da família; e (3) a profissionalização do “corretor de acesso”, que apenas invade e revende a porta de entrada, separando quem ataca de quem lucra e dificultando a investigação.

9. Casos reais

Microsoft e a conta de teste esquecida (2023–2024)

Em janeiro de 2024, a própria Microsoft informou, em seu blog de segurança, que o grupo estatal conhecido como Midnight Blizzard (também chamado APT29) obteve acesso inicial aos seus sistemas por meio de pulverização de senhas contra uma conta de teste antiga, que não era usada em produção e não tinha verificação em duas etapas. Segundo a empresa, os atacantes fizeram poucas tentativas, contra poucas contas, justamente para não disparar os bloqueios. A partir dessa porta, alcançaram e-mails corporativos, inclusive de integrantes da alta direção.

Lição: não foi uma falha sofisticada. Foi uma conta esquecida, com senha adivinhável e sem segunda barreira. Se aconteceu com uma das maiores empresas de tecnologia do mundo, pode acontecer com qualquer prefeitura, clínica ou escritório.

Operação Vigília: 76 milhões de credenciais (PCDF, 2024)

Em abril de 2024, a Polícia Civil do Distrito Federal deflagrou a Operação Vigília contra um grupo suspeito de invadir sistemas governamentais e de montar um banco com cerca de 76 milhões de credenciais e senhas, privadas e de órgãos públicos, comercializado na internet, segundo o Olhar Digital. Houve mandados também na Bahia, no Maranhão e no Ceará. O caso mostra o “combustível” da força bruta e do ataque de dicionário: senhas acumuladas, organizadas e vendidas para outros criminosos.

Invasão aos sistemas do CNJ: a resposta penal (STF, 2025)

Em maio de 2025, o Supremo Tribunal Federal condenou, por unanimidade, uma deputada federal e o hacker Walter Delgatti Neto pela invasão aos sistemas do Conselho Nacional de Justiça e pela inserção de documentos falsos, entre eles um falso mandado de prisão contra ministro do STF, conforme noticiou o g1. Embora o caso não tenha sido de força bruta, ele ilustra o que pode vir depois de qualquer acesso indevido a sistema público: a invasão (art. 154-A) abre caminho para crimes contra a fé pública, e a responsabilização alcança tanto quem executa quanto quem encomenda.

10. Casos ilustrativos (fictícios)

Os casos abaixo foram criados para fins didáticos. Qualquer semelhança com pessoas ou fatos reais é coincidência.

Caso 1 – O e-mail de dona Lourdes. Aposentada, 71 anos, usava “102030” no e-mail desde que o neto criou a conta. Um robô acertou a senha numa madrugada. O criminoso pediu a redefinição da senha da rede social, publicou uma falsa venda de móveis e recebeu Pix de sete pessoas. Depois, usou fotos de documentos salvos no e-mail para tentar abrir uma conta digital. Enquadramento possível: art. 154-A; fraude eletrônica (art. 171, § 2º-A) contra cada comprador; tentativa de fraude na abertura de conta, com aumento de pena por se tratar de vítima idosa nos crimes patrimoniais cometidos contra ela.

Caso 2 – A clínica e a câmera “admin”. Uma clínica instalou câmeras na recepção e nunca trocou a senha de fábrica. O invasor acessou as imagens, identificou pacientes e passou a exigir dinheiro para não publicá-las. Enquadramento possível: art. 154-A, § 3º (controle remoto não autorizado), com aumento do § 4º se houver divulgação; extorsão (art. 158). Para a clínica, há ainda a apuração de responsabilidade pela LGPD.

Caso 3 – A prefeitura e o acesso remoto. O servidor de uma pequena prefeitura ficou acessível pela internet para “facilitar o trabalho em casa”. Uma conta de ex-estagiário, sem verificação em duas etapas, caiu em um ataque de pulverização de senhas. Dias depois, os arquivos foram criptografados e surgiu um pedido de resgate. Enquadramento possível: art. 154-A (ação penal pública incondicionada, por atingir a administração pública), extorsão, interrupção de serviço telemático (art. 266, § 1º) e, conforme a estrutura do grupo, organização criminosa e lavagem.

Caso 4 – O cenário de amanhã. Um sistema de inteligência artificial analisa o perfil público de um empresário (nome dos filhos, aniversários, time do coração, cidade natal) e gera em segundos uma lista de 500 senhas personalizadas. Bastam poucas tentativas por dia, espaçadas, para que o bloqueio nunca seja acionado. É a força bruta “sob medida”, e a melhor defesa continua sendo a mesma: senha que não nasce da sua vida pessoal e verificação em duas etapas.

11. Sinais de alerta (checklist)

• E-mails ou notificações de “tentativa de acesso” ou “novo login” que você não reconhece.
• Mensagem de que a conta foi bloqueada temporariamente por excesso de tentativas.
• Códigos de verificação chegando por SMS ou e-mail sem que você tenha pedido.
• Senha que de repente “não funciona mais”.
• Mensagens enviadas, publicações ou compras que você não fez.
• Aparelhos ou sessões desconhecidas na lista de dispositivos conectados.
• Nas empresas: picos de falhas de login, muitas contas diferentes com erros vindos de endereços variados, acessos em horários atípicos.

12. Prevenção: como fechar a porta

Para você e sua família

• Use frases-senha longas, com quatro ou mais palavras sem relação entre si (ex.: “cadeira-nuvem-tucano-violão”). Comprimento pesa mais que símbolos.
• Nunca use dados pessoais (nomes, datas, time, pet, placa do carro).
• Uma senha para cada serviço. Um gerenciador de senhas resolve o problema de memória.
• Ative a verificação em duas etapas em tudo, começando pelo e-mail. Prefira aplicativo autenticador, chave física ou chave de acesso (passkey) ao SMS.
• Troque a senha de fábrica do roteador, das câmeras e de qualquer aparelho conectado no dia da instalação.
• Ative os alertas de login e revise periodicamente os dispositivos conectados às suas contas.
• Verifique se seu e-mail apareceu em vazamentos em serviços como o Have I Been Pwned e troque as senhas afetadas.
• Exponha menos a sua vida pessoal em perfis públicos.

Para empresas, escritórios e órgãos públicos

• Exija verificação em duas etapas para todas as contas, especialmente as de administrador e de acesso remoto.
• Limite tentativas de login, com bloqueio progressivo e alerta à equipe de TI.
• Desative imediatamente contas de ex-funcionários, de teste e de sistemas legados.
• Não deixe acesso remoto exposto à internet sem camada adicional de proteção.
• Adote política de senhas longas e bloqueie senhas sabidamente vazadas ou comuns.
• Guarde registros de acesso (data, hora, endereço IP) por prazo adequado: sem eles, não há investigação.
• Tenha um plano de resposta a incidentes que inclua comunicação à ANPD, aos titulares e à polícia.

Para quem tem site em WordPress: proteja a área de login, ative a verificação em duas etapas para administradores e nunca use “admin” como nome de usuário.

13. Já fui vítima: o que fazer

1. Retome a conta pelo canal oficial de recuperação do serviço, usando um aparelho de confiança. Troque a senha, encerre todas as sessões abertas e ative a verificação em duas etapas.
2. Comece pelo e-mail: ele é a chave das outras contas. Depois, troque as senhas de todos os serviços que usavam a mesma senha.
3. Se houve movimentação financeira, ligue imediatamente para o banco pelo número oficial, peça o bloqueio e solicite a abertura do MED (Mecanismo Especial de Devolução) do Pix. Quanto mais rápido, maior a chance de recuperar valores.
4. Preserve as provas: não apague nada. Faça prints com data, hora e endereço da página; guarde os e-mails de alerta de login (eles costumam trazer IP, local e horário, informações valiosíssimas para a investigação); salve conversas e comprovantes.
5. Avise seus contatos de que a conta foi invadida e de que não devem atender pedidos de dinheiro.
6. Registre boletim de ocorrência, presencialmente ou pela delegacia virtual do seu estado, anexando as provas.
7. Denuncie à plataforma (rede social, provedor de e-mail, loja) para bloqueio e preservação dos registros.
8. Consulte o Registrato, do Banco Central, para verificar contas, chaves Pix e empréstimos abertos em seu nome.
9. Se a empresa responsável não resolver, registre reclamação no consumidor.gov.br.
10. Se você é empresa, avalie a comunicação do incidente à ANPD e aos titulares (art. 48 da LGPD) e notifique o CERT.br.

Ser vítima não é motivo de vergonha. O ataque é automatizado e atinge milhões de pessoas. O que faz diferença é agir rápido.

14. Públicos mais vulneráveis e cuidados específicos

• Idosos: costumam usar senhas criadas por terceiros e nunca trocadas. Os filhos e netos podem ajudar a configurar gerenciador de senhas e verificação em duas etapas.
• Adolescentes: senhas simples em contas de jogos e redes sociais, compartilhadas com amigos. Converse sobre o risco de exposição de imagens e de perseguição.
• Pequenos negócios e profissionais liberais: clínicas, escritórios e lojas sem equipe de TI, com câmeras e sistemas na senha de fábrica.
• Prefeituras e órgãos públicos de menor porte: sistemas antigos, contas esquecidas e acesso remoto improvisado.
• Pessoas com grande exposição pública: influenciadores, políticos e empresários, cujas informações pessoais alimentam listas de senhas dirigidas.

15. Repressão: como a polícia investiga

O ataque deixa rastros, e é por eles que a investigação começa:

• Registros do sistema atacado: horários, endereços IP e dispositivos das tentativas e do acesso bem-sucedido. Por isso a preservação feita pela vítima e pela empresa é decisiva.
• Requisição aos provedores: o Marco Civil da Internet (Lei 12.965/2014) obriga provedores de aplicação a guardar registros de acesso por 6 meses (art. 15) e provedores de conexão por 1 ano (art. 13). Com ordem judicial (art. 22), a polícia identifica quem estava por trás do endereço IP.
• Rastreamento do dinheiro: contas de destino, laranjas, criptoativos e saques revelam a estrutura do grupo.
• Busca e apreensão e perícia nos computadores e celulares dos suspeitos, onde costumam estar as listas de senhas, os programas de ataque e os registros de venda, sempre com respeito à cadeia de custódia (arts. 158-A a 158-F do CPP).
• Cooperação internacional, quando os servidores ou os autores estão no exterior, com base na Convenção de Budapeste, promulgada no Brasil pelo Decreto 11.491/2023.

A principal dificuldade é que os criminosos espalham as tentativas por redes de terceiros (como proxies residenciais e aparelhos infectados) para esconder a origem. É exatamente por isso que a prevenção vale mais que a reação: uma senha forte e uma segunda etapa de verificação tornam o ataque inútil antes mesmo de existir uma vítima.

Fontes

• Midnight Blizzard: guidance for responders on nation-state attack – Microsoft Security Blog, janeiro de 2024.
• Brasil recebeu 753,8 bi de tentativas de ataques cibernéticos em 2025, revela Fortinet – IT Forum, abril de 2026.
• Fortinet: Brasil teve 753,8 bilhões de tentativas de ataques em 2025 – Mobile Time, 30/04/2026.
• NordPass revela lista de senhas mais usadas no Brasil em 2025 – TecMundo, 17/12/2025.
• Conheça as senhas mais usadas no Brasil em 2025 e por recorte de gerações – Canaltech, dezembro de 2025.
• Grupo hacker suspeito de roubar 76 milhões de senhas é preso no DF – Olhar Digital, 12/04/2024.
• Por unanimidade, STF condena Zambelli e hacker por invasão aos sistemas do CNJ – g1, 14/05/2025.
• Cartilha de Segurança para Internet – CERT.br/NIC.br.
• Código Penal (Decreto-Lei 2.848/1940) – Planalto.
• Lei 14.155/2021 e Lei 12.737/2012 – Planalto.
• Marco Civil da Internet (Lei 12.965/2014) e LGPD (Lei 13.709/2018) – Planalto.
• Microsoft Security Blog – Midnight Blizzard
• IT Forum – Fortinet 2025
• Mobile Time – Fortinet
• TecMundo – NordPass 2025
• Olhar Digital – Operação Vigília

Leia também

• Ransomware: o sequestro de dados que paralisa empresas, hospitais e tribunais (guia completo)
• Senhas Seguras: como criar, guardar e escapar dos golpes que roubam seus acessos
• Verificação em duas etapas por SMS: por que ela não basta e como blindar suas contas contra o SIM swap
• Contas Falsas com E-mails Vazados: o Novo Mercado Clandestino do Crime Digital
• Seu robô aspirador pode estar vigiando sua casa: como criminosos invadem aparelhos conectados
• Ataque hacker ao Pix: como R$ 813 milhões foram desviados com uma senha comprada
• Convenção de Budapeste: o tratado que mudou a investigação de crimes cibernéticos no Brasil

Chamada para Mentoria

Invasão de dispositivo informático, furto mediante fraude eletrônica, fraude eletrônica e a distinção entre eles estão entre os temas mais cobrados nas provas objetivas, discursivas e orais para Delegado de Polícia. Saber enquadrar corretamente um ataque de força bruta, discutir tentativa, ação penal e concurso de crimes é o tipo de raciocínio que separa o candidato aprovado dos demais.

Se você quer se preparar com quem vive a investigação desses crimes na prática, conheça a Mentoria para Delegado de Polícia e estude com método, estratégia e acompanhamento individual.

Sobre o Autor

Ronaldo Entringe é Delegado de Polícia Civil do Estado do Amapá e Delegado-Chefe da Divisão Especial de Combate à Corrupção (DECOR/PCAP), com 15 anos de experiência policial. Professor de Medicina Legal e escritor, é mestrando em Ciberdelincuencia pela Universitat Oberta de Catalunya (UOC) e pós-graduando em Crimes Cibernéticos, Cibersegurança e Inteligência pelo Instituto Rogério Greco. Atua como mentor de carreiras policiais e de futuros Delegados de Polícia.