Complexidade de Senhas: Entenda Quanto Tempo um Atacante Levaria para Quebrá-las

A tabela anual da Hive Systems, que detalha o tempo de quebra de senhas, é um alerta fundamental para profissionais de segurança. Ela ilustra como a capacidade de atacantes evolui, especialmente no cenário de cracking offline. Diferente de tentativas de login em sistemas ao vivo, o ataque offline ocorre quando um criminoso obtém um banco de dados de hashes de senhas. Com acesso a esses hashes, não há bloqueios de conta, limites de tentativas ou detecção de anomalias que possam frear o ataque. Os atacantes podem, então, testar bilhões de combinações por segundo em seus próprios equipamentos, tornando a robustez da senha armazenada, e não a política de login, o fator decisivo. Isso é um risco real, como vimos em ataques de password spray recentes contra a Azure CLI em julho de 2026, ou na campanha FortiBleed em junho de 2026, que exploram credenciais vulneráveis após vazamentos.

A metodologia da Hive Systems destaca o uso de Unidades de Processamento Gráfico (GPUs) como os chips NVIDIA RTX 5090. Essas placas, projetadas para jogos e mineração de criptomoedas, são excepcionalmente eficientes para os cálculos de força bruta necessários para decifrar hashes. Surpreendentemente, elas superam as GPUs de datacenter (como as NVIDIA A100) neste tipo de tarefa, pois cracking de senha foca em matemática inteira, não em ponto flutuante. O relatório também mostra a importância de algoritmos de hashing modernos e configurados corretamente, como o bcrypt com um alto fator de trabalho (work factor), que adiciona complexidade computacional para atrasar os ataques, como já foi discutido na cobertura do CEVIU sobre as recomendações da AWS para blindar a supply chain de software em junho de 2026.

A grande mudança na tabela de 2026 da Hive Systems está na configuração do hardware de ataque simulado e no papel da IA. Em 2025, o cenário considerava um chassi com doze GPUs RTX 5090. Para 2026, o modelo mudou para uma 'frota' de duas máquinas, cada uma com oito GPUs RTX 5090. Isso reflete a realidade do mercado de aluguel de recursos na nuvem: é mais fácil e comum alugar múltiplas máquinas menores do que um único chassi gigante.

Esta nova configuração eleva a velocidade de cracking em 24% em relação ao ano anterior. Além disso, a IA desempenha um papel facilitador crucial. Embora a IA não torne cada GPU individual mais rápida, ela reduz significativamente a barreira operacional para orquestrar e gerenciar essas frotas distribuídas de GPUs. Ferramentas assistidas por IA simplificam tarefas complexas, como configurar APIs e SSH, tornando mais fácil para atacantes montarem rigs de cracking maiores e mais potentes do que nunca.

Para empresas e governos, este relatório sublinha a urgência de uma gestão robusta de credenciais. A velocidade crescente na quebra de senhas offline significa que senhas curtas, simples ou reutilizadas são vulnerabilidades críticas. É imperativo implementar políticas que exijam senhas longas, complexas e únicas, e adotar a autenticação multifator (MFA) em todos os níveis. A MFA é um escudo extra vital, pois mesmo que um hash seja quebrado, o acesso ainda seria barrado, como discutido na notícia sobre o ataque da Dashlane em junho de 2026.

A escolha e configuração do algoritmo de hashing também são cruciais. Usar algoritmos mais antigos ou com configurações fracas, mesmo em senhas robustas, é um erro. O guia da Mandiant para 2026, que o CEVIU cobriu em março de 2026, já apontava a necessidade de endurecer ativos expostos. A velocidade do cracking de senhas continua a aumentar a cada ano, enfatizando que a segurança de acesso é uma corrida constante contra a evolução das ferramentas de ataque.