Blog

Anos atrás, você criou uma conta num fórum, numa loja virtual ou num aplicativo que nem usa mais. Usou o seu e-mail de sempre e a sua senha de sempre. Esse site sofreu um vazamento, e o par “e-mail + senha” foi parar em listas vendidas na internet. Hoje, um robô pega esse par e testa, de uma só vez, no seu e-mail, no seu banco, na sua rede social e no aplicativo de delivery. Se a senha for a mesma, ele entra. Esse é o credential stuffing, ou “enchimento de credenciais”.

Diferentemente do ataque de força bruta, aqui o criminoso não precisa adivinhar nada: ele usa senhas reais, que já funcionaram. A aposta dele é simples e, infelizmente, certeira: a de que você repete a mesma senha em vários lugares.

1. Resumo do ataque

Criminosos compram ou coletam listas de e-mails e senhas vazados de outros sites e usam robôs para testá-las em massa em serviços diferentes. Toda conta em que a vítima repetiu a senha é aberta “com a chave certa”, o que torna o acesso silencioso e difícil de detectar. Depois, a conta é usada para furtar, aplicar golpes, extorquir ou é revendida.

2. Conceito, diferença para a força bruta e objetivos

Credential stuffing é o uso automatizado de credenciais (login e senha) obtidas em um vazamento para tentar acessar contas em outros serviços. O nome vem da ideia de “rechear” as páginas de login com milhões de pares já conhecidos.

Atenção a um ponto importante: até uma senha forte cai no credential stuffing se for repetida. Não adianta ter uma senha complexa se ela é a mesma no fórum que vazou e no seu e-mail.

Os objetivos do criminoso são:

• Tomar contas valiosas: bancos, carteiras digitais, corretoras, programas de milhas e pontos, lojas com cartão salvo, aplicativos de transporte e delivery.
• Revender contas “validadas”: streaming, jogos, redes sociais com muitos seguidores.
• Usar a identidade da vítima para golpes contra amigos, familiares e clientes.
• Coletar dados (documentos, fotos, conversas, informações de saúde) para extorsão ou venda.
• Entrar em empresas e órgãos públicos pela senha pessoal que o funcionário repetiu no sistema de trabalho.

3. Meios e modos: as fases do ataque

Sem detalhes técnicos que permitam reproduzir o crime, o ciclo costuma ter quatro fases:

1. Obtenção das credenciais. As listas nascem de vazamentos de empresas, de páginas falsas de phishing e, cada vez mais, de programas espiões chamados infostealers, que roubam as senhas salvas no navegador de computadores e celulares infectados. Segundo o relatório de 2026 do FortiGuard Labs, da Fortinet, os registros disponíveis de sistemas comprometidos por esse tipo de programa cresceram cerca de 500%.
2. Organização e venda. Os pares vazados são reunidos em grandes listas e vendidos ou trocados em fóruns e grupos de mensagens.
3. Teste em massa. Robôs testam as listas em vários serviços ao mesmo tempo, espalhando as tentativas por muitos endereços de internet diferentes para não chamar atenção.
4. Monetização. As contas que “abriram” são separadas e exploradas: compras com cartão salvo, transferências, resgate de pontos, golpes em nome da vítima, extorsão ou revenda.

Em junho de 2025, pesquisadores do site Cybernews noticiaram a descoberta de compilações somando cerca de 16 bilhões de credenciais expostas, formadas em boa parte por dados de infostealers e de ataques desse tipo, segundo o blog da ESET Brasil. Nem todas as senhas eram válidas, mas o volume mostra o tamanho da “matéria-prima” disponível aos criminosos.

4. As vulnerabilidades exploradas

• Reutilização de senhas. É o coração do ataque. Pesquisa da PSafe divulgada em 2019 já indicava que cerca de 5 em cada 10 brasileiros usavam a mesma senha em diferentes serviços, e que parte deles chegou a usar a senha do banco ou do cartão em contas na internet.
• Senha pessoal repetida no trabalho, que leva o vazamento de um site de compras para dentro da empresa ou do órgão público.
• Ausência de verificação em duas etapas, que transforma a senha vazada em acesso imediato.
• Senhas nunca trocadas depois de um vazamento conhecido.
• Senhas salvas no navegador de aparelhos infectados ou compartilhados.
• Do lado das empresas: falta de monitoramento de logins suspeitos, ausência de checagem das senhas contra listas de vazamentos e falta de verificação em duas etapas obrigatória para contas sensíveis.

5. Gatilhos psicológicos explorados

• Comodidade: uma senha só é mais fácil de lembrar.
• Falsa segurança: “a minha senha é forte, então estou protegido”.
• Esquecimento: ninguém lembra onde se cadastrou há dez anos, nem acompanha se aquele site vazou.
• Depois da invasão: confiança dos contatos (que recebem mensagens “de você”), medo e vergonha diante de ameaças de expor dados.

6. Crimes praticados e capitulação penal

A senha certa não é autorização. Um ponto decisivo: antes da Lei 14.155/2021, o art. 154-A do Código Penal exigia a “violação indevida de mecanismo de segurança”. Discutia-se se entrar com a senha correta, ainda que vazada, configuraria essa violação. A nova redação suprimiu essa exigência e passou a punir quem invade o dispositivo sem autorização expressa ou tácita do usuário. Usar a senha vazada de outra pessoa é exatamente isso: entrar sem autorização de quem tem o direito.

Observações para o leitor e para quem estuda para concursos:

• Furto ou estelionato? A fraude usada para burlar a vigilância da vítima e subtrair valores (ela nem percebe) aponta para o furto mediante fraude eletrônica. A fraude usada para levar alguém a entregar voluntariamente o dinheiro (o amigo que faz o Pix pensando ajudar você) aponta para a fraude eletrônica do art. 171, § 2º-A. Num mesmo episódio, podem existir os dois crimes, contra vítimas diferentes.
• E quem só vende a lista de senhas? A venda de credenciais vazadas não se encaixa com perfeição no § 1º do art. 154-A, que fala em “dispositivo ou programa de computador”. Conforme o caso, o vendedor pode responder como partícipe dos crimes praticados pelos compradores (art. 29 do CP), pelo § 4º do art. 154-A se ele próprio obteve os dados por invasão, ou por organização criminosa. É um campo em que a investigação da cadeia completa faz toda a diferença.
• Ação penal. A invasão de dispositivo depende de representação da vítima (art. 154-B), salvo quando atinge a administração pública ou concessionárias de serviços públicos.
• Responsabilidade das empresas. A LGPD (Lei 13.709/2018) exige medidas de segurança aptas a proteger os dados pessoais (art. 46) e a comunicação de incidentes relevantes à ANPD e aos titulares (art. 48). Uma plataforma que não oferece verificação em duas etapas nem monitora logins suspeitos pode responder pelos danos.

7. O efeito dominó: os crimes que vêm depois

O credential stuffing raramente termina na primeira conta. A sequência típica é:

1. Conta de e-mail tomada → redefinição de senha das outras contas da vítima.
2. Redes sociais e WhatsApp → golpes do falso parente, falsas vendas e falsos investimentos contra os contatos.
3. Documentos encontrados nos arquivos → abertura de contas, empréstimos e cadastros em nome da vítima.
4. Fotos e conversas → extorsão e sextorsão.
5. Acesso corporativo → desvio de pagamentos (troca de dados bancários em boletos e notas), sequestro de dados com pedido de resgate e espionagem.
6. Acesso a sistemas públicos → falsos alertas, alteração de cadastros e informações oficiais, com risco à confiança da população nos serviços do Estado.

Os crimes de amanhã. Três tendências preocupam: (1) robôs guiados por inteligência artificial que imitam o comportamento humano no login, driblando bloqueios; (2) o roubo de dados que não podem ser trocados, como informações genéticas e de saúde, que abrem espaço para discriminação e extorsão de longo prazo; e (3) a especialização do mercado, com grupos que apenas testam e validam contas para vendê-las a outros criminosos, separando quem invade de quem lucra.

8. Casos reais

“Misantropia”: falsos alertas da Defesa Civil (Brasil, junho de 2026)

Na madrugada de 20 de junho de 2026, celulares em vários estados receberam um alerta extremo com a palavra “misantropia”. A plataforma Defesa Civil Alerta foi retirada do ar e o governo federal acionou a Polícia Federal. Em entrevista exclusiva ao TecMundo, um jovem que se apresentou como autor afirmou ter acessado a Interface de Divulgação de Alertas Públicos (Idap) com credenciais vazadas de servidores públicos; segundo ele, uma das senhas seria o próprio CPF de um servidor. A Gazeta do Povo noticiou que o Ministério da Integração e do Desenvolvimento Regional identificou o uso de duas contas ligadas à Defesa Civil do Pará e que ao menos dez alertas foram enviados.

Atenção: as afirmações sobre o método partem do suposto autor e o caso estava sob investigação da Polícia Federal até a data desta postagem. Lição: um serviço essencial, usado para salvar vidas em desastres, foi exposto não por uma falha sofisticada, mas por senhas vazadas, simples e sem segunda barreira de proteção.

23andMe: dados genéticos de 6,9 milhões de pessoas (2023–2025)

A empresa americana de testes genéticos 23andMe informou que criminosos usaram credential stuffing para acessar cerca de 14 mil contas de clientes que repetiam senhas vazadas em outros serviços. Por meio de um recurso que conectava parentes genéticos, os invasores alcançaram informações de aproximadamente 6,9 milhões de pessoas, segundo a GovInfoSecurity. Em junho de 2025, a autoridade britânica de proteção de dados (ICO) aplicou multa de £ 2,31 milhões à empresa, por considerar insuficientes as medidas de autenticação e de monitoramento, conforme o PPC Land.

Lição: o vazamento não começou nos servidores da empresa, mas na senha repetida dos clientes. Ainda assim, a empresa foi responsabilizada por não ter barreiras adequadas, um paralelo direto com o que a LGPD exige no Brasil.

Roku: mais de meio milhão de contas (2024)

Em abril de 2024, a plataforma de streaming Roku revelou um segundo incidente de credential stuffing que atingiu cerca de 576 mil contas, depois de outro com aproximadamente 15 mil contas no mesmo ano. A empresa afirmou que as credenciais vieram de outras fontes e que, em menos de 400 casos, houve compras não autorizadas com o meio de pagamento salvo. Depois disso, ativou a verificação em duas etapas para todas as contas, segundo a Security Affairs.

9. Casos ilustrativos (fictícios)

Os casos abaixo foram criados para fins didáticos. Qualquer semelhança com pessoas ou fatos reais é coincidência.

Caso 1 – O fórum de futebol e o delivery. Rafael usou a mesma senha num fórum de futebol e no aplicativo de delivery, onde mantinha o cartão salvo. O fórum vazou. Semanas depois, um robô testou o par no aplicativo e entrou na primeira tentativa. Foram feitos 14 pedidos para endereços diferentes em uma noite. Enquadramento possível: art. 154-A e furto mediante fraude eletrônica (art. 155, § 4º-B).

Caso 2 – A senha pessoal no escritório. Uma assistente de um escritório de advocacia usava no e-mail corporativo a mesma senha de uma loja de roupas que sofreu vazamento. O criminoso entrou no e-mail, observou a rotina por semanas e, no momento certo, enviou aos clientes boletos de honorários com os dados bancários trocados. Enquadramento possível: art. 154-A, § 3º (obtenção de comunicações privadas e informações sigilosas); fraude eletrônica contra cada cliente; lavagem, se houver ocultação dos valores. Para o escritório, há ainda deveres de comunicação pela LGPD.

Caso 3 – O adolescente e a conta de jogo. Pedro, 15 anos, repetia a senha do jogo on-line no Instagram. A conta do jogo, com itens valiosos, foi tomada e revendida. Em seguida, o invasor entrou no Instagram e ameaçou divulgar conversas privadas se Pedro não pagasse. Enquadramento possível: art. 154-A, furto mediante fraude eletrônica (quanto aos itens com valor econômico, tema que ainda gera debate), extorsão e, se houver imagens íntimas de adolescente, os crimes do ECA (arts. 241-A e seguintes).

Caso 4 – O cenário de amanhã. Um grupo usa robôs com inteligência artificial que digitam, pausam e erram como humanos, testando poucas credenciais por hora em centenas de plataformas de investimento. As contas “validadas” são vendidas em pacotes, com saldo estimado. Quem compra nunca invadiu nada; quem invadiu nunca tocou no dinheiro. A defesa, mais uma vez, é a mesma: senha única por serviço e verificação em duas etapas, de preferência com chave de acesso (passkey).

10. Sinais de alerta (checklist)

• Aviso de “novo login” de cidade, aparelho ou navegador que você não reconhece.
• E-mail informando que um serviço que você usa (ou usou) sofreu vazamento.
• Códigos de verificação chegando sem que você tenha pedido.
• Pedidos, assinaturas ou compras que você não fez; pontos e milhas que sumiram.
• Alteração de e-mail, telefone ou senha de recuperação sem sua ação.
• Amigos perguntando sobre mensagens estranhas enviadas “por você”.
• Nas empresas: muitos logins bem-sucedidos vindos de endereços incomuns, picos de tentativas em várias contas e acessos fora do horário.

11. Prevenção: como quebrar a corrente

Para você e sua família

• Uma senha diferente para cada serviço. Essa é a regra de ouro contra o credential stuffing.
• Use um gerenciador de senhas para criar e guardar senhas únicas, em vez de salvá-las soltas no navegador.
• Ative a verificação em duas etapas, começando pelo e-mail e pelo banco; prefira aplicativo autenticador, chave física ou passkey ao SMS.
• Consulte se o seu e-mail apareceu em vazamentos no Have I Been Pwned e troque imediatamente as senhas afetadas e todas as que eram iguais a elas.
• Nunca use a senha do banco em qualquer outro lugar.
• Feche contas que você não usa mais: cada cadastro esquecido é um vazamento em potencial.
• Mantenha celular e computador atualizados e com antivírus, para reduzir o risco de programas que roubam senhas salvas.
• Ative os alertas de login e revise os aparelhos conectados às suas contas.

Para empresas, escritórios e órgãos públicos

• Torne obrigatória a verificação em duas etapas, sobretudo em sistemas críticos e de acesso remoto.
• Bloqueie, no cadastro e na troca de senha, senhas já conhecidas em vazamentos.
• Proíba o uso de dados pessoais (como CPF ou data de nascimento) como senha.
• Monitore logins por localização, aparelho e horário, com alertas automáticos e desafios adicionais em acessos atípicos.
• Oriente os funcionários a nunca repetir a senha pessoal no trabalho.
• Desative contas de ex-servidores e ex-funcionários e revise permissões periodicamente.
• Guarde registros de acesso e tenha um plano de resposta a incidentes que inclua ANPD, titulares e polícia.

12. Já fui vítima: o que fazer

1. Retome a conta pelo canal oficial de recuperação, a partir de um aparelho de confiança. Troque a senha, encerre todas as sessões e ative a verificação em duas etapas.
2. Troque a senha em todos os serviços onde ela se repetia, começando pelo e-mail e pelo banco. É isso que interrompe o efeito dominó.
3. Se houve prejuízo financeiro, ligue para o banco pelo número oficial, bloqueie cartões e solicite a abertura do MED (Mecanismo Especial de Devolução) do Pix o quanto antes.
4. Preserve as provas: não apague nada. Guarde os e-mails de alerta de login (com data, hora, local e endereço IP), prints com a URL e o horário, conversas e comprovantes.
5. Avise seus contatos de que a conta foi invadida.
6. Registre boletim de ocorrência, na delegacia ou na delegacia virtual do seu estado, anexando as provas.
7. Denuncie à plataforma e peça a preservação dos registros de acesso.
8. Consulte o Registrato, do Banco Central, para checar contas, chaves Pix e empréstimos em seu nome.
9. Se a empresa não resolver, registre reclamação no consumidor.gov.br.
10. Se você é empresa ou órgão público, avalie a comunicação do incidente à ANPD e aos titulares (art. 48 da LGPD) e notifique o CERT.br.

Ter repetido uma senha não faz de você culpado. Quem comete o crime é quem usa a sua credencial sem autorização. O importante é agir rápido para conter o estrago.

13. Públicos mais vulneráveis e cuidados específicos

• Idosos: costumam usar uma única senha, muitas vezes criada por um familiar. Ajude a configurar um gerenciador de senhas e a verificação em duas etapas.
• Adolescentes: repetem a senha entre jogos e redes sociais. Converse sobre o risco de perda de contas, de exposição de conversas e de extorsão.
• Quem tem muitas contas antigas: quanto mais cadastros esquecidos, mais chances de a senha já estar numa lista.
• Empresas, escritórios e prefeituras: o vazamento pessoal de um funcionário pode virar a porta de entrada da instituição inteira.
• Servidores públicos com acesso a sistemas sensíveis: como mostrou o caso “misantropia”, uma senha repetida pode comprometer serviços essenciais à população.

14. Repressão: como a polícia investiga

• Registros de acesso: mesmo com a senha correta, o login deixa rastros (data, hora, endereço IP, aparelho). O Marco Civil da Internet obriga os provedores de aplicação a guardar esses registros por 6 meses (art. 15) e os de conexão por 1 ano (art. 13); com ordem judicial (art. 22), é possível chegar ao responsável.
• Origem das credenciais: identificar de qual vazamento saiu a senha ajuda a mapear a cadeia de obtenção e venda.
• Infiltração virtual: a Lei 12.850/2013 (art. 10-A) permite a infiltração de agentes de polícia na internet, com autorização judicial, para investigar organizações criminosas, inclusive as que comercializam credenciais.
• Rastreamento financeiro: contas de destino, laranjas, criptoativos e entregas de mercadorias revelam os beneficiários.
• Busca, apreensão e perícia em computadores e celulares, onde ficam listas, robôs e registros de venda, com observância da cadeia de custódia (arts. 158-A a 158-F do CPP).
• Cooperação internacional, com base na Convenção de Budapeste (Decreto 11.491/2023), já que vazamentos, servidores e autores muitas vezes estão em outros países.

A dificuldade é real: o acesso com senha correta se parece com um login legítimo, e as tentativas costumam vir de muitos endereços diferentes. Por isso, a denúncia rápida da vítima e a preservação dos registros pela empresa são decisivas.

Fontes

• ‘Misantropia’: suposto hacker diz que usou senhas vazadas de servidores públicos para enviar alertas – TecMundo, junho de 2026.
• ‘Misantropia’: CPF de servidor público foi usado como senha para invadir sistema da Defesa Civil, diz suposto hacker – TecMundo, junho de 2026.
• Contas da Defesa Civil do Pará foram usadas em “alerta misantropia” – Gazeta do Povo, junho de 2026.
• Polícia Federal investiga ataque hacker pelo país após “alerta de misantropia” – Gazeta do Povo, 20/06/2026.
• 23andMe Says Hackers Stole Ancestry Data of 6.9M Users – GovInfoSecurity, dezembro de 2023.
• UK data regulator hits 23andMe with £2.31 million fine for genetic breach – PPC Land, junho de 2025.
• Roku disclosed a new security breach impacting 576,000 accounts – Security Affairs, 12/04/2024.
• Brasil recebeu 753,8 bi de tentativas de ataques cibernéticos em 2025, revela Fortinet – IT Forum, abril de 2026.
• Quais são os riscos de usar a mesma senha? – ESET Brasil.
• 5 em cada 10 brasileiros usam a mesma senha em diferentes contas ou serviços na internet – Hardware.com.br, 2019 (pesquisa PSafe).
• Código Penal (Decreto-Lei 2.848/1940) e Lei 14.155/2021 – Planalto.
• Lei das Contravenções Penais (Decreto-Lei 3.688/1941) e Lei 12.850/2013 – Planalto.
• Marco Civil da Internet (Lei 12.965/2014) e LGPD (Lei 13.709/2018) – Planalto.
• TecMundo – Misantropia: senhas vazadas
• Gazeta do Povo – Contas da Defesa Civil do Pará
• GovInfoSecurity – 23andMe
• PPC Land – multa ICO à 23andMe
• Security Affairs – Roku
• IT Forum – Fortinet 2026
• Microsoft Security Blog – Midnight Blizzard
• IT Forum – Fortinet 2025
• Mobile Time – Fortinet
• TecMundo – NordPass 2025
• Olhar Digital – Operação Vigília

Leia também

• Força bruta: como criminosos testam milhares de senhas até abrir a sua conta
• Senhas Seguras: como criar, guardar e escapar dos golpes que roubam seus acessos
• Contas Falsas com E-mails Vazados: o Novo Mercado Clandestino do Crime Digital
• Verificação em duas etapas por SMS: por que ela não basta e como blindar suas contas
• Fraude no Onboarding: como golpistas abrem contas no seu nome (e como impedir)
• Ataque hacker ao Pix: como R$ 813 milhões foram desviados com uma senha comprada

Chamada para Mentoria

A mudança do art. 154-A pela Lei 14.155/2021, a distinção entre furto mediante fraude eletrônica e fraude eletrônica e a responsabilidade de quem apenas vende dados vazados são temas que as bancas de Delegado de Polícia adoram explorar, especialmente nas provas discursivas e orais. Dominar esses pontos com segurança é o que diferencia uma resposta mediana de uma resposta de aprovação.

Se você quer se preparar com quem investiga esses crimes no dia a dia, conheça a Mentoria para Delegado de Polícia e estude com método, estratégia e acompanhamento individual.

Sobre o Autor

Ronaldo Entringe é Delegado de Polícia Civil do Estado do Amapá e Delegado-Chefe da Divisão Especial de Combate à Corrupção (DECOR/PCAP), com 15 anos de experiência policial. Professor de Medicina Legal e escritor, é mestrando em Ciberdelincuencia pela Universitat Oberta de Catalunya (UOC) e pós-graduando em Crimes Cibernéticos, Cibersegurança e Inteligência pelo Instituto Rogério Greco. Atua como mentor de carreiras policiais e de futuros Delegados de Polícia.