🔐 10 Erros de criação de palavras-passe que causam perda de conta em 2026

Um email, um banco, uma dúzia de serviços e a mesma palavra-passe em todo o lado. Quando muito, com um dígito no final. É mais cómodo assim: não há nada para memorizar.

Não é mais cómodo só para si. Basta uma fuga de dados de um pequeno fórum e a sua combinação universal já está na base de dados de alguém. A seguir, é testada automaticamente no seu email, no seu banco, no seu alojamento. Milhares de tentativas por segundo, sem intervenção humana.

A boa notícia: quase todas as violações exploram os mesmos hábitos e cada uma delas pode ser eliminada em meia hora. Abaixo estão dez desses erros e os passos exatos que eliminam o risco sem paranoias desnecessárias.

💡 Visão geral rápida:

• Elimine repetições: cada serviço deve ter o seu próprio par de início de sessão e palavra-passe
• Verifique se as suas palavras-passe contêm dados pessoais das suas redes sociais
• Ative a autenticação de dois fatores para o email e o banco
• Transfira as palavras-passe das notas e do navegador para um gestor de palavras-passe

A mesma palavra-passe para todas as contas

O erro mais comum e o mais caro. Uma palavra-passe viaja do email para as redes sociais e daí para folhas de cálculo de trabalho. Fácil de memorizar. O problema é que tudo se quebra de uma só vez.

A mecânica é simples. Um atacante pega numa base de dados violada de um site pequeno, extrai os pares de email e palavra-passe e testa-os nos principais serviços. Isto é credential stuffing. Basta um único elo fraco.

De acordo com o 2025 Verizon DBIR, as credenciais comprometidas foram o ponto de entrada em 22% das violações confirmadas. Em ataques a aplicações web, as palavras-passe roubadas aparecem em até 88% dos casos.

Como resolver:

• Uma palavra-passe única para cada serviço, sem exceções
• Configure um gestor de palavras-passe; ele memoriza tudo por si
• Comece pelo que é crítico: email, banco, alojamento, contas de trabalho

Palavras-passe curtas e simplistas

123456, password e qwerty ocupam os primeiros lugares no ranking anual da NordPass há anos. A maioria das palavras-passe dessa lista é descoberta em menos de um segundo. Não é um minuto. É um segundo.

As placas gráficas modernas testam milhões de combinações por segundo. Uma palavra-passe de 6 a 8 caracteres é uma questão de tempo, não de sorte. Cada caractere extra multiplica o número de variantes muitas vezes.

E uma frase-passe composta por quatro palavras aleatórias é mais forte do que P@ssw0rd! com caracteres especiais. Também é mais fácil de manter na cabeça.

O que ajuda:

• Pelo menos 12 caracteres, idealmente 16 ou mais
• Uma frase-passe de 4 a 5 palavras aleatórias em vez de ILoveDogs2024!
• Um gestor de palavras-passe gera e memoriza uma sequência longa por si

Dados pessoais nas palavras-passe

Nome, ano de nascimento, nome do gato, número de telefone. É a primeira coisa que um atacante vai tentar. Porque tudo isso já é publicamente acessível há muito tempo.

Redes sociais, perfis públicos, fugas de dados antigas. Montar um dossiê sobre uma pessoa demora minutos. Se a sua palavra-passe for Misha1989 ou Tommy123, nem é preciso força bruta. Basta uma vista de olhos ao seu perfil.

De acordo com um inquérito da 1Password de 2025, 91% dos colaboradores compreendem o risco da reutilização de palavras-passe. E 66% continuam a reutilizá-las. O cenário é o mesmo com os dados pessoais: quase todos sabem, poucos cumprem.

O que fazer:

• Nada de nomes, datas, nomes de animais ou números de telefone numa palavra-passe
• Palavras aleatórias ou uma sequência gerada; não há outras opções fiáveis
• Se tem receio de se esquecer, um gestor de palavras-passe trata disso

Pequenos ajustes a uma palavra-passe antiga

Primeiro MyPass2023, um ano depois MyPass2024, depois MyPass2025. Reconhece-se? Os atacantes também conhecem essa lógica.

Quando uma base de dados é violada, a palavra-passe não é testada apenas tal como está. São geradas centenas de variações automaticamente: acrescentar o ano, um ponto de exclamação, alterar a capitalização da primeira letra. Uma questão de segundos.

Mudar o dígito no final não transforma uma palavra-passe numa nova. Continua a ser previsível.

A solução:

• Cada palavra-passe nova é completamente nova, sem ligação à anterior
• Esqueça o esquema "palavra base mais ano"
• Um gestor de palavras-passe elimina a própria tarefa de inventar e memorizar

Ignorar a autenticação de dois fatores

Uma palavra-passe é um fator. Se for roubada, o acesso fica aberto. A autenticação de dois fatores acrescenta uma segunda barreira: um código de uso único de uma aplicação ou uma chave física.

De acordo com o Microsoft Digital Defense Report 2025, mais de 97% dos ataques a contas usam palavras-passe. Entretanto, a MFA resistente a phishing bloqueia mais de 99% dessas tentativas. A diferença entre "sem segundo fator" e "com segundo fator" é enorme.

Os códigos por SMS são melhores do que nada, mas piores do que uma aplicação. O SMS pode ser intercetado através de SIM swapping. O Google Authenticator, o Microsoft Authenticator ou o Authy funcionam offline e não estão vinculados a um número de telefone.

Como ativar:

• Ative a autenticação de dois fatores nas definições da sua conta
• Escolha uma aplicação autenticadora, não SMS
• Comece pelo email, banco e redes sociais; guarde os códigos de backup

Guardar palavras-passe em notas e ficheiros de texto

Notas no telemóvel, passwords.txt no ambiente de trabalho, uma folha de cálculo Excel, uma captura de ecrã na galeria. Parece inofensivo: o ficheiro está no meu dispositivo, afinal de contas.

Qualquer pessoa que aceda ao dispositivo vai vê-lo. O malware analisa o disco e recolhe ficheiros de texto com inícios de sessão. As notas na nuvem sincronizam e uma violação da nuvem expõe tudo de uma vez. Uma captura de ecrã com palavras-passe será encontrada por qualquer pessoa que pegue no telefone.

Nenhum destes métodos encripta os dados. É texto simples, à vista de todos.

Como eliminar a falha:

• Transfira as palavras-passe para um gestor de palavras-passe; é um cofre encriptado
• Depois de as transferir, elimine os ficheiros de texto e as capturas de ecrã com palavras-passe
• Defina um bloqueio de ecrã e encriptação de disco no dispositivo

Enviar palavras-passe em mensageiros e por email

"Manda a palavra-passe da subscrição no chat", "Início de sessão e palavra-passe por mensagem privada." Uma história comum para contas de família, projetos partilhados e equipas de freelancers.

O problema é que a mensagem fica na conversa para sempre. É reencaminhada, copiada, lida por cima do ombro quando se mostra o ecrã. O email de uma das partes é pirateado e a palavra-passe viaja mais longe. O controlo sobre quem a vê perde-se no momento em que é enviada.

Em equipas de trabalho é duplamente perigoso: um colaborador que saia mantém o acesso a uma conta partilhada através do histórico de conversas antigo. Isto acontece com regularidade.

O que fazer em vez disso:

• Para subscrições de família, use a funcionalidade de partilha integrada
• Em equipas, crie uma conta separada para cada pessoa
• Para uma entrega pontual, use a partilha segura no gestor e, depois, altere a palavra-passe

Ignorar as notificações de violação

Chega um email: "Os seus dados podem ter sido comprometidos." A maioria das pessoas ignora-o: a conta funciona, por isso deve estar tudo bem.

Meses, por vezes anos, passam entre uma fuga de dados e uma violação. As bases de dados roubadas são revendidas, fundidas, enriquecidas. Quem comprou o lote hoje vai testar a sua palavra-passe amanhã. Ou daqui a um ano.

A escala está a crescer, não a diminuir. De acordo com uma estimativa do relatório de cibercrime de 2026, cerca de 2,86 mil milhões de credenciais apareceram em fugas de dados e registos de malware durante 2025. Ignorar um email destes significa dar um presente ao atacante.

Como reagir:

• Se receber uma notificação, altere a palavra-passe imediatamente
• Verifique se a mesma palavra-passe foi usada noutros serviços e altere-a também aí
• Ative a monitorização de violações no seu gestor ou através do serviço Have I Been Pwned

Depender apenas do armazenamento integrado do navegador

O navegador oferece-se para guardar a palavra-passe no início de sessão e preenche os campos sozinho. Milhões de pessoas ficam-se por aí.

Mas o armazenamento do navegador não é um cofre. Num computador partilhado, as palavras-passe guardadas estão acessíveis à pessoa seguinte que se sentar. O malware sabe como extrair palavras-passe diretamente do navegador. Se o portátil for roubado, o ladrão fica com tudo o que foi guardado.

O cofre do navegador é um bloco de notas conveniente. Não encripta palavras-passe com uma chave mestra e não gera combinações fortes.

Como resolver:

• Use um gestor de palavras-passe completo em vez do navegador
• Em dispositivos partilhados, termine sempre a sessão das contas
• Ative a encriptação de disco e um bloqueio de ecrã no portátil

Palavras-passe que não são alteradas há anos

Definiu uma palavra-passe no registo e esqueceu-se dela. A conta funciona, para quê mexer-lhe.

Ao longo dos anos, a palavra-passe pode ter aparecido em várias fugas de dados de que não tem conhecimento. As bases de dados de violações acumulam-se. Mesmo que hoje esteja tudo limpo, o cenário muda seis meses depois. Email, banco e nuvem são pontos críticos onde uma palavra-passe antiga é especialmente perigosa.

O recente relatório IBM Cost of a Data Breach 2025 estima o prejuízo médio de uma violação através de credenciais comprometidas em 4,67 milhões de dólares, e o tempo médio para deteção e contenção em 246 dias. Quase um ano desde a intrusão até à resposta. Durante todo esse tempo, a palavra-passe inalterada está a trabalhar contra si.

O que fazer:

• Altere as palavras-passe das contas críticas uma vez por ano
• Após uma fuga de dados, faça-o imediatamente, sem esperar pela data programada
• Se receber um alerta sobre um início de sessão suspeito, altere a palavra-passe de imediato

Um pequeno vídeo sobre o tema vai reforçar o ponto principal: como criar palavras-passe fortes e não as guardar apenas na cabeça.

⁉️🤔 Perguntas frequentes

Um gestor de palavras-passe é seguro? Não é arriscado manter todas as palavras-passe num só local?

É seguro se o gestor usar uma arquitetura de conhecimento zero: Bitwarden, 1Password ou os cofres integrados da Apple e da Google. As palavras-passe são encriptadas no próprio dispositivo e nem o programador as consegue ver. Há uma chave: a sua frase-passe mestra. Se a perder, as palavras-passe não podem ser recuperadas. Esse é o preço da proteção.

É verdade que uma frase-passe de palavras aleatórias é mais forte do que P@ssw0rd! com caracteres especiais?

Sim, o comprimento supera a complexidade. ведро крыша синий мост tem 22 caracteres e um espaço de pesquisa colossal. Os caracteres especiais numa palavra-passe curta acrescentam uma quantidade minúscula de entropia em comparação com mais uma palavra. O instituto NIST, na sua norma SP 800-63B, aconselha, desde 2024, a apostar especificamente no comprimento.

O SMS para autenticação de dois fatores é mau?

Não é mau, mas é insuficiente. Um código por SMS é melhor do que nenhum segundo fator. Mas um cartão SIM pode ser reemitido através de engenharia social e o próprio código pode ser intercetado através de vulnerabilidades do protocolo SS7. Uma aplicação autenticadora ou uma chave física YubiKey é consideravelmente mais forte.

Como verifico se a minha palavra-passe esteve numa fuga de dados?

Abra o Have I Been Pwned e introduza o seu email. O serviço mostrará em que violações apareceu. Para verificar uma palavra-passe específica, existe uma secção Pwned Passwords: procura uma correspondência de hash entre milhares de milhões de registos sem revelar a própria palavra-passe. Muitos gestores incorporam esta verificação.

Não estou pronto para configurar um gestor de palavras-passe agora; por onde começo?

Comece com pouco. Altere a sua palavra-passe do email para uma frase-passe de quatro palavras aleatórias. Ative a autenticação de dois fatores para o email e o banco. Elimine o ficheiro passwords.txt do seu ambiente de trabalho. Estes três passos demorarão cerca de 15 minutos e eliminarão os principais riscos. Pode configurar o gestor mais tarde.

Mudar de hábitos hoje ou "um dia mais tarde"?

Palavras-passe fracas não são uma história assustadora das notícias de hackers. É uma cascata concreta: uma palavra-passe violada leva ao email, o email leva a reposições de palavras-passe em todos os serviços associados e, depois, a dinheiro, documentos e projetos. Meia hora de prevenção custa incomparavelmente menos do que recuperar o acesso.

Tome três medidas hoje: uma palavra-passe única para o email, autenticação de dois fatores, um gestor de palavras-passe. Se não estiver pronto para um gestor, pelo menos elimine as repetições e ative o segundo fator para as contas críticas. Isso já é mais do que a maioria das pessoas faz. Com que passo vai começar agora mesmo?