Entendendo ataques de password spraying

Em um ataque de password spraying, atores de ameaça tentam um pequeno conjunto de senhas comuns em muitas contas de usuário ou serviço. O objetivo é comprometer uma conta enquanto permanece abaixo dos limites de bloqueio de conta.

O que é password spraying?

Password spraying é um método onde um atacante tenta um pequeno conjunto de senhas comuns (por exemplo: “Password123!”, “qwerty”, “Summer2024”, “Welcome1”) em muitas contas de usuário ou contas de serviço em um repositório de identidade, como Active Directory local, provedores de identidade na nuvem (Microsoft Entra ID, Okta, Google Workspace), aplicativos SaaS, aplicativos web, VPNs e outros sistemas de autenticação. O objetivo é comprometer uma conta sem acionar os controles de bloqueio de conta que entram em vigor quando alguém faz tentativas repetidas e falhas em uma única conta. Password spraying espalha alguns palpites amplamente, o que o torna altamente eficaz contra organizações com senhas fracas ou reutilizadas.

Pense nisso como um intruso tentando uma chave comum nas portas de todo um prédio de apartamentos, em vez de tentar muitas chaves diferentes em uma única porta. Se um inquilino usou essa chave comum, o intruso entra, mas o alarme da porta do prédio não é acionado por tentativas repetidas em uma única fechadura.

Aqui está como o password spraying difere dos ataques de força bruta e credential stuffing.

Como funciona o password spraying

Password spraying é uma abordagem “lenta e constante”. O atacante troca profundidade (muitas tentativas em uma conta) por amplitude (poucas tentativas em muitas contas) para permanecer furtivo. Aqui está um fluxo passo a passo do ataque.

Reconhecimento (nomes de usuário)

O atacante primeiro cria uma lista de nomes de usuário válidos. As fontes incluem:

• Inteligência de código aberto (OSINT), por exemplo LinkedIn, páginas de empresas, comunicados de imprensa, bancos de dados governamentais
• Vazamentos públicos
• Coleta de formato de email (como em first.last@company.com)
• Enumeração ao vivo contra uma página de login (diferentes mensagens de erro, tempos de resposta e fluxos de recuperação de conta revelam quais nomes de usuário são válidos)

O resultado é um conjunto alvo de nomes de contas humanas ou de serviço que o atacante usará para executar o ataque, como uma lista de 500 endereços de e-mail de funcionários do LinkedIn.

Escolha um pequeno conjunto de senhas

Em seguida, os invasores escolhem uma lista muito pequena de senhas prováveis, como:

• Senhas padrão
• Senhas fracas comuns
• Combinações temporada/ano
• Variantes de empresa/mascote

Campanhas de spray normalmente usam apenas um pequeno conjunto de tentativas de senha, geralmente de 3 a 10. Manter o conjunto de senhas pequeno minimiza falhas por conta, o que previne bloqueios.

Onda de pulverização nº 1 (lenta e constante)

O atacante tenta uma senha em muitas contas, como tentar "Winter2024!" em todas as 500 contas. Eles espaçam as tentativas para ficar abaixo dos limites de bloqueio e detecção (por exemplo, 1 a 2 tentativas por conta dentro da janela de bloqueio). Esse baixo volume por conta mal dispara alertas enquanto o atacante continua a sondar por credenciais fracas ou reutilizadas.

Girar e evadir

Para evitar ainda mais a detecção, os atacantes rotacionam sua infraestrutura e impressões digitais.

• Eles alternam entre diferentes endereços IP usando proxies, VPNs, Tor ou botnets distribuídos.
• Eles randomizam as strings de user-agent para imitar o tráfego legítimo de vários dispositivos e navegadores.
• O intervalo entre as tentativas de autenticação é variado para permanecer abaixo dos limites de taxa.
• Os ataques são distribuídos por várias localizações geográficas para parecerem um acesso global normal.

Essas táticas combinadas tornam a campanha mais difícil de detectar e bloquear. Os atacantes também às vezes miram em sistemas legados ou endpoints que usam protocolos básicos de autenticação, pois esses carecem de controles de segurança modernos, como autenticação multifator (MFA) e limitação robusta de taxa. Isso facilita a exploração sem disparar alarmes.

Onda de spray nº 2

Se a primeira onda não resultar em nenhuma vitória, os atacantes executam ondas subsequentes usando a próxima senha do pequeno conjunto contra a mesma lista de nomes de usuário (ou expandida). Eles utilizam ferramentas de automação para controlar o ritmo das tentativas, rotacionar IPs, tentar novamente conforme necessário e analisar as respostas de login. Isso permite que as campanhas escalem enquanto permanecem abaixo dos limites de detecção.

Primeiro sucesso (ponto de apoio)

Quando uma conta aceita uma senha adivinhada, o atacante obtém acesso. Em seguida, ele age rapidamente para estabelecer persistência e expandir o acesso antes que a violação seja detectada.

• O atacante cria mecanismos de acesso alternativos, como senhas específicas para aplicativos ou tokens API, coleta credenciais adicionais, registra tokens OAuth para aplicativos de terceiros ou configura regras de encaminhamento de caixa de correio para manter o acesso mesmo que a senha original seja alterada.
• Eles então enumeram o ambiente interno, explorando aplicações acessíveis, recursos compartilhados, serviços em nuvem e repositórios de dados sensíveis para entender o que a conta comprometida pode alcançar.
• Eles tentam escalar privilégios explorando procedimentos de helpdesk (por exemplo, se passando pelo usuário para redefinir senhas de contas com privilégios mais altos), iniciando fluxos de redefinição de senha para contas de administrador ou lançando ataques de fadiga MFA (onde bombardeiam repetidamente os usuários legítimos com notificações push MFA até que aprovem o acesso).

Esta etapa transforma uma única credencial comprometida em uma presença persistente dentro da infraestrutura da organização.

Resultados

Com o acesso estabelecido, os atacantes perseguem seus objetivos finais. Eles podem:

• Exfiltrar dados sensíveis
• Lançar fraude de comprometimento de e-mail comercial (BEC) através de caixas de correio comprometidas
• Use o ponto de apoio para movimentação lateral pela rede

Dessa forma, a violação inicial evolui para ataques mais graves, como implantação de ransomware, escalonamento de privilégios para contas de administrador ou acesso persistente a longo prazo para espionagem contínua. O que começa como um simples ataque de spray de senha pode resultar em perdas financeiras significativas, vazamentos de dados e interrupções operacionais.

Diagrama do fluxo de ataque

Aqui está um fluxo visual simples do ataque de password spraying e um exemplo de história da perspectiva de uma organização que mostra como uma campanha de password spraying passa do reconhecimento ao impacto.

O diretório de funcionários de uma empresa de logística está parcialmente exposto através do LinkedIn e de um antigo vazamento de credenciais. Um atacante cria uma lista de endereços de e-mail válidos e testa uma senha comum em todas as contas, espaçando as tentativas por dias para ficar abaixo dos limites de bloqueio.

Uma conta confirma a suposição: um coordenador de armazém que nunca havia atualizado uma senha padrão de integração. O atacante configura o encaminhamento de caixa de correio, mapeia compartilhamentos internos de arquivos e depois usa uma ligação de personificação do helpdesk para redefinir a senha de um administrador de TI e obter acesso ao AD. Quando uma atividade incomum de login dispara um alerta, 11 dias já se passaram, registros de folha de pagamento foram exfiltrados e ransomware está preparado em vários servidores.

Exemplos de ataques de password spraying

Ataques de password spraying foram usados em várias violações reais contra grandes organizações. A seguir, alguns exemplos notáveis.

Consequências do password spraying

Incidentes de password spraying destacam como uma única senha fraca pode abrir a porta para uma comprometimento em grande escala, levando a consequências graves e de longo alcance para uma organização. Veja como os efeitos se manifestam nas principais áreas de impacto.

Alvos comuns do password spraying: Quem está em risco?

Ataques de password spraying podem visar qualquer organização que tenha contas online ou sistemas de login expostos. No entanto, alguns ambientes e usuários são muito mais atraentes para os atacantes devido ao acesso, dados ou sistemas que controlam. Alguns alvos comuns de campanhas de password spraying são:

Avaliação de risco

Password spraying é um ataque de baixo custo e amplamente disponível que explora senhas fracas e superfícies de autenticação expostas. As organizações devem tratá-lo como um risco de alta prioridade e ajustar os controles adequadamente.

Como prevenir o password spraying

Para evitar o password spraying, as organizações devem adotar práticas de autenticação forte, monitoramento proativo e conscientização dos usuários. As seguintes medidas podem ser úteis.

Aplicar políticas de senha fortes

O primeiro passo é elevar o padrão de força da senha.

• Exija senhas longas e complexas para as contas (pelo menos 14 caracteres).
• Use listas de senhas proibidas ou comprometidas (como Have I Been Pwned) e padrões comuns para bloquear usuários de usar senhas comprometidas ou fracas.
• Certifique-se de que contas novas e padrão alterem suas senhas no primeiro login para eliminar pontos de entrada fáceis.

Implemente a autenticação multifator

MFA é uma das defesas mais eficazes contra password spraying, pois fecha rotas comuns de bypass.

• Implemente MFA em todos os sistemas expostos externamente, como email, VPNs e aplicativos em nuvem.
• Sempre que possível, use opções de MFA resistentes a phishing, como chaves de segurança FIDO2 ou autenticação baseada em certificado.
• Bloqueie protocolos legados (como NTLM ou autenticação básica) que não suportam MFA. Certifique-se de que suas plataformas de cloud e identity permitam apenas autenticação moderna para que invasores não consigam entrar usando métodos fracos e desatualizados.

Aplicar bloqueio de conta e limitação de taxa

Os atacantes dependem de tentativas repetidas de login no password spraying, então você pode limitar essas tentativas para desacelerar ou parar o progresso deles.

• Defina as políticas de bloqueio com cuidado. Torne-as rigorosas o suficiente para proteger as contas, mas flexíveis o bastante para evitar frustrar usuários legítimos.
• Adicione atrasos progressivos, solicitações CAPTCHA e bloqueios temporários após várias tentativas falhas.
• Limite o número de tentativas de login a partir de um único endereço IP ou dispositivo para evitar ataques em larga escala.

Fortalecer a detecção e o monitoramento

O monitoramento contínuo permite que as organizações detectem sinais de alerta cedo.

• Rastreie tentativas de login falhadas em várias contas a partir do mesmo IP ou região.
• Investigue picos em bloqueios de contas, solicitações incomuns de MFA e logins de geografias desconhecidas.
• Use ferramentas de security information and event management (SIEM) ou user and entity behavior analytics (UEBA) para identificar padrões “lentos e baixos” que se misturam ao tráfego normal. Detectar esses padrões cedo pode evitar uma violação em grande escala.

Manter a higiene do nome de usuário e da identidade

O primeiro passo em uma cadeia de ataque de password spraying é quando o atacante começa a coletar ou inferir nomes de usuário válidos em uma organização. Por essa razão:

• Evite formatos de nome de usuário previsíveis como “firstname.lastname@company.com” ou “employeeID@domain.com.”
• Limite ou proteja quaisquer listas publicamente acessíveis de nomes de usuário, endereços de e-mail ou informações de funcionários que os atacantes possam usar para criar listas válidas de nomes de login.
• Configure suas páginas de login para evitar a enumeração de nomes de usuário: não revele se um nome de usuário é válido durante tentativas de login falhadas.
• Como exercício rotineiro, desative contas inativas, de teste e legadas que não estão em uso, mas ainda estão ativas no diretório.

Adote Zero Trust e controles de acesso

Um modelo Zero Trust limita os danos causados por uma única conta comprometida.

• Aplique o princípio do menor privilégio (PoLP), concedendo aos usuários apenas o acesso que realmente precisam.
• Use políticas de Acesso Condicional para bloquear IPs de risco e aplicar MFA para logins de alto risco.
• Segmente o acesso entre sistemas para que uma violação não se propague pela rede.

Trabalhar na conscientização e treinamento dos usuários

O erro humano é frequentemente o elo mais fraco. Para enfrentá-lo:

• Eduque os funcionários sobre a higiene de senhas, os perigos da reutilização de senhas e como funcionam os ataques de spraying.
• Incentive o uso de gerenciadores de senhas para gerar e armazenar senhas únicas e complexas.
• Realize campanhas regulares de conscientização e simulações de phishing/spray de senha para manter bons hábitos atualizados.

Use proteções avançadas

As defesas modernas de identidade vão além das senhas. As organizações devem:

• Implemente ferramentas de Identity threat detection & response (ITDR), como as fornecidas pela Netwrix, para detectar e conter atividades suspeitas relacionadas à identidade antes que os invasores escalem.
• Ative recursos de aplicação de senhas proibidas, como Microsoft Entra ID Password Protection.
• Considere mudar para autenticação sem senha, como chaves FIDO2, biometria ou smartcards para maior segurança.

Como a Netwrix pode ajudar

Netwrix oferece uma variedade de soluções de cibersegurança que permitem às organizações aplicar autenticação mais forte, detectar ataques precocemente, bloqueá-los em tempo real e manter a higiene em todas as identidades.

Implemente autenticação forte com Netwrix Password Policy Enforcer

Netwrix Password Policy Enforcer permite que você configure políticas de senha detalhadas e personalizadas para bloquear senhas fracas e comprometidas. Suporta tanto Active Directory local quanto ambientes em nuvem como Microsoft Entra ID. Pode verificar listas de senhas vazadas, aplicar regras diferentes por grupo de usuários e ajudar a cumprir modelos regulatórios como NIST e PCI.

Pare autenticações maliciosas em tempo real com Netwrix Threat Prevention

Netwrix Threat Prevention monitora e bloqueia logons arriscados e alterações não autorizadas em tempo real, como logins suspeitos, alterações em grupos privilegiados e autenticação por protocolos legados. Isso impede que invasores estabeleçam uma base ou se movam lateralmente.

Threat Prevention faz parte da solução Identity Threat Detection & Response (ITDR), que engloba vários produtos que trabalham juntos. Esta solução permite que as organizações detectem ataques centrados na identidade precocemente, incluindo password spraying, tentativas de login lentas e baixas, uso indevido de credenciais, uso de protocolos legados, logins incomuns e escalonamento de privilégios em Active Directory e Entra ID. Ela fornece análises em tempo real e alertas quando atividades suspeitas ocorrem, orientando as equipes de segurança a responder antes que os atacantes escalem.

Mantenha a higiene da identidade através do Netwrix Directory Manager

Netwrix Directory Manager automatiza tarefas do ciclo de vida do usuário no diretório, como desativar contas inativas e legadas, aplicar credenciais fortes em novas contas e atualizar automaticamente as associações de grupos com base em políticas. Esse tipo de limpeza reduz a superfície de ataque disponível para password spraying.

Estratégias de detecção, mitigação e resposta

Password spraying é uma ameaça silenciosa, mas de alto impacto. Para detectar os primeiros sinais, as organizações precisam de uma detecção rigorosa, seguida de uma resposta rápida para conter e remediar os danos.

Detecção

Você pode detectar a campanha de password spraying procurando por padrões amplos e de baixo volume em vez de explosões barulhentas.

Correlacionar falhas de login entre contas

Correlacione logins falhados em várias contas originadas do mesmo endereço IP, rede (ASN) ou string de agente de usuário dentro de uma janela de tempo (por exemplo, mais de 5 contas falhando a partir de um IP em 30 minutos). Esse padrão de “mesma senha testada em todos os lugares” é um forte indicador de atividade de spraying.

Detectar cadência baixa e lenta

Os atacantes exploram protocolos antigos porque eles não possuem recursos avançados de segurança e não suportam MFA. Marque qualquer tentativa de autenticação usando IMAP, POP, SMTP AUTH ou outras APIs desatualizadas. Também monitore agentes de usuário incomuns, ferramentas automatizadas e aplicativos que são raramente usados em seu ambiente. Preste atenção a tentativas de login lentas e constantes espalhadas por muitas contas, pois elas são projetadas para ficar abaixo dos limites de bloqueio e detecção.

Monitorar fontes arriscadas

Monitore conexões de fontes arriscadas ou anonimizadas, como nós de saída Tor, VPNs e proxies abertos ou anônimos. Acompanhe logins de IPs previamente sinalizados por atividade maliciosa ou associados a ataques de credenciais. Detecte viagens impossíveis (por exemplo, um usuário que faz login em Nova York e depois em Tóquio 30 minutos depois) e anomalias geográficas, como acessos de países ou regiões onde sua organização não tem presença. Esses sinais ajudam a identificar fontes de conexão inerentemente suspeitas.

Acompanhe o sucesso após falhas

Quando você observa um padrão em que várias tentativas de login falhadas em várias contas são seguidas por um login bem-sucedido do mesmo IP ou fonte, fique alerta. Essa transição é um indicador de alta confiabilidade de uma violação.

Regras SIEM/UEBA

As linhas de base de aprendizado de máquina detectam anomalias que analistas humanos podem perder. Configure regras SIEM ou UEBA para detectar falhas de login distribuídas em várias contas, violações de limite de taxa e picos repentinos em negações de MFA ou bloqueios de conta.

Mitigação

Para mitigar ataques de password spraying, tome medidas para tornar as contas mais difíceis de adivinhar, mais difíceis de abusar e mais fáceis de proteger. Além das práticas listadas na seção How to Prevent Password Spraying, adote as seguintes medidas para mitigação.

Defesas contra bots e anomalias

Torne mais difícil para ferramentas automatizadas continuarem a adivinhar senhas. Adicione desafios CAPTCHA após repetidas tentativas de login falhadas, use fingerprinting de dispositivo para reconhecer padrões suspeitos e confie em sinais comportamentais (como velocidade de digitação ou horário de login) para distinguir humanos de bots. Esses pequenos pontos de atrito podem quebrar efetivamente a maioria das tentativas automatizadas de ataques em massa.

Acesso condicional

Fortaleça as decisões de acesso com contexto. Use políticas de Acesso Condicional para permitir logins apenas de locais confiáveis, bloquear logins de “viagens impossíveis” e acionar autenticação reforçada quando um login parecer arriscado. Isso garante que, mesmo que as credenciais sejam adivinhadas, os invasores ainda enfrentem obstáculos adicionais de verificação.

Higiene do provedor de identidade (IdP)

Proteja seus processos de autenticação. Ative recursos de proteção de senha em todo o tenant (como listas de senhas proibidas), ative o bloqueio de extranet no AD FS para limitar tentativas externas de força bruta e configure alertas em todo o tenant para comportamentos suspeitos de login. Esses controles reduzem a janela de oportunidade para que invasores explorem credenciais fracas ou reutilizadas.

Higiene do administrador

Trate as contas de administrador como joias da coroa. Os administradores devem usar contas separadas para trabalho administrativo e diário. Implemente o princípio do menor privilégio para que ninguém tenha mais acesso do que o necessário e elimine completamente as senhas padrão ou compartilhadas. Implemente o acesso just-in-time (JIT) e Just Enough Administration (JEA) para conceder privilégios elevados temporários somente quando necessário. Isso limita a exposição caso uma conta seja comprometida.

Resposta

Quando um alerta de detecção disparar, responda. Seu objetivo é conter o dano, descobrir como o invasor persistiu e garantir que isso não aconteça novamente.

Conter rapidamente a ameaça

• Bloqueie intervalos de IP ou ASN suspeitos (ou coloque-os em quarentena no WAF ou na borda da rede).
• Implemente geofencing se os ataques se originarem de regiões geográficas inesperadas.
• Revogue todas as sessões ativas e tokens de atualização para contas comprometidas (não apenas as suspeitas, pois os atacantes podem já ter se movido lateralmente).
• Invalidar quaisquer tokens de acesso ou chaves de API ativos associados às contas afetadas.
• Aplique políticas de Conditional Access de emergência para exigir MFA, bloquear logins arriscados ou restringir o acesso a redes confiáveis.
• Aperte temporariamente os requisitos de autenticação para bloquear caminhos de login arriscados.

Redefinir credenciais direcionadas

• Redefina as senhas das contas que foram alvo ou comprometidas com sucesso. Use a pontuação de risco e os indicadores confirmados de comprometimento para orientar o processo de redefinição de senha.
• Aplicar a inscrição MFA.
• Remova regras suspeitas de encaminhamento de caixa de correio, permissões de envio como e delegados de contas comprometidas e de alto risco.
• Revogue consentimentos de aplicativos OAuth não autorizados e permissões de aplicativos para as contas alvo.

Caçar persistência

Pesquisar contas comprometidas para:

• Regras da caixa de correio (encaminhamento, exclusão, resposta automática)
• Delegados de caixa de correio e permissões de enviar como/enviar em nome de
• Senhas de aplicativos e tokens de autenticação legados (IMAP, POP3, SMTP)
• Tokens OAuth e consentimentos de aplicativos
• Chaves API e credenciais do principal de serviço
• Dispositivos MFA registrados (remova telefones ou outros autenticadores adicionados por invasores)
• Alterações nos métodos de autenticação registrados
• Service principal e registros de aplicativos com permissões excessivas
• Modificações na política de Conditional Access (os invasores podem enfraquecer as políticas de segurança)
• Credenciais salvas em navegadores ou gerenciadores de senhas

Remova tudo que possa permitir que o atacante retorne sem se reautenticar.

Perícia e escopo

• Colete logs de autenticação (entradas do Entra ID, logs do sistema Okta, logs do AD local) e fluxos de rede (como movimentos laterais leste-oeste, indicadores de exfiltração de dados, padrões de tráfego anômalos).
• Construa uma linha do tempo de eventos, IPs de origem, agentes de usuário, aplicativos afetados e quais tentativas de login foram bem-sucedidas ou falharam.
• Determine quais dados ou sistemas foram acessados.

Notificar as partes interessadas

• Informe imediatamente os usuários afetados e oriente-os sobre o que fazer.
• Em seguida, informe a liderança, o jurídico, a segurança de TI e as equipes de conformidade conforme necessário.
• Atualize parceiros e fornecedores se sistemas ou dados compartilhados forem afetados.
• Se a violação resultar em não conformidade regulatória, prepare as notificações regulatórias, se aplicável.

Desativar vetores de ataque

• Desative os protocolos de autenticação legados se não forem necessários.
• Reforce as políticas de bloqueio de conta e os limites de taxa.
• Implemente contas isca (honeypots) com monitoramento para detectar futuras tentativas de spraying.
• Atualize os feeds de inteligência de ameaças com IPs de atacantes, padrões e TTPs.
• Aprimore as regras de detecção SIEM com base nos indicadores de atacante observados.
• Implemente medidas de mitigação em toda a organização.

Lições aprendidas

• Agende uma revisão formal pós-incidente dentro de uma a duas semanas após o encerramento do incidente e documente o que funcionou bem e o que precisa ser melhorado.
• Revise os runbooks de resposta a incidentes com as lições aprendidas.
• Documente novos IOCs, TTPs e assinaturas de detecção.
• Realize exercícios de mesa simulando cenários de password spraying.
• Realize exercícios de purple-team para validar melhorias na detecção e resposta.
• Execute simulações controladas de pulverização de senhas (com autorização) para testar controles.

Treine a equipe de helpdesk e TI para reconhecer e responder a ataques de credenciais.

Impacto específico do setor

Os ataques de password spraying têm consequências diferentes dependendo do setor. Ao entender os riscos específicos da indústria, as organizações podem priorizar as defesas e adaptar a resposta a incidentes.

Evolução dos ataques e tendências futuras

Os ataques baseados em senha evoluíram de tentativas barulhentas de força bruta para campanhas furtivas e automatizadas que fazem parte de operações de ameaça mais amplas. Ao analisar a evolução dos ataques e as tendências atuais, as equipes de segurança podem fortalecer as defesas de acordo.

Estatísticas principais e infográficos

Os números contam a verdadeira história por trás do password spraying e dos ataques baseados em credenciais. As estatísticas a seguir destacam por que a autenticação forte e uma melhor higiene de senhas são mais críticas do que nunca.

• No 2025 Verizon Data Breach Investigations Report, os analistas descobriram que 22% das violações confirmadas começaram com abuso de credenciais (como senhas roubadas ou reutilizadas), e entre os ataques “Basic Web Application”, 88% envolveram credenciais roubadas.
• De acordo com Microsoft, mais de 99,9% das contas comprometidas não tinham MFA no momento da violação. A pesquisa também descobriu que contas sem MFA eram particularmente vulneráveis a ataques de password spraying e password replay, especialmente ao usar protocolos de autenticação legados como SMTP, IMAP e POP que não suportam MFA.
• De acordo com análises recentes (por exemplo, da NordPass e outros em 2025), senhas como “123456,” “password,” “qwerty,” “12345,” e “qwerty123” continuam dominando as principais listas das senhas mais usadas.

Ataques diários à identidade

O gráfico a seguir mostra um aumento acentuado nos ataques diários de identidade, subindo de cerca de 300 milhões em 2022 para quase 800 milhões no primeiro semestre de 2025. Destaca a crescente escala das ameaças baseadas em senha e identidade.

Tipos de ataques de identidade

O gráfico de pizza mostra que em 2025, 97% dos ataques de identidade foram baseados em senha, principalmente ataques de password spraying e força bruta. Isso confirma que credenciais fracas ou roubadas continuam sendo o principal alvo dos atacantes.

Crescimento da adoção de MFA

O gráfico de linhas mostra um crescimento constante na adoção de MFA entre os clientes empresariais da Microsoft desde 2014, mas em 2024, 59% das contas ainda não possuem proteção MFA.

Considerações finais

Os atacantes pulverizam credenciais pela sua base de usuários como chuva contra janelas. A maioria das tentativas escorrega sem causar danos, mas eles só precisam de uma única falha para invadir. A beleza do ataque, do ponto de vista deles, está na sua simplicidade: baixo esforço, alto retorno e quase invisível até que o dano seja feito. Não seja a falha. Não deixe que uma única credencial comprometida desfaça meses de investimentos em segurança. O password spraying tem sucesso exatamente porque não parece um ataque, até que seja tarde demais. Detecte o spray cedo, feche os pontos de entrada e mantenha a inundação sob controle.