Como senhas são comprometidas e descobertas
Entenda a diferença entre credenciais vazadas, tentativas de login e análise offline de hashes de senha.
Em resumo
Atacantes podem testar credenciais reutilizadas de vazamentos, tentar padrões comuns ou comparar candidatos com hashes de senha roubados. O método depende de atacar um serviço ativo ou de já possuir os hashes.
Reutilização de credenciais vazadas
Nesse ataque, combinações de usuário e senha expostas são testadas em outros serviços. Uma senha diferente para cada conta impede que uma senha conhecida abra outras contas. (OWASP: guia rápido de autenticação)
Ataques online e análise offline
Tentativas online passam pelo serviço e podem ser limitadas ou detectadas. Na análise offline, o atacante testa candidatos contra hashes roubados sem contatar o serviço. Salt e funções de armazenamento deliberadamente lentas aumentam o custo de cada tentativa. (NIST SP 800-63B-4) (OWASP: guia rápido sobre armazenamento de senhas)
Como proteger suas contas?
Use senhas únicas, ative autenticação multifator, instale atualizações e altere uma senha quando um serviço informar que ela foi exposta. Não reutilize uma senha só porque ela parece complexa. (NIST SP 800-63B-4)