Como palavras-passe são comprometidas e descobertas
Entenda a diferença entre credenciais divulgadas, tentativas de início de sessão e análise offline de hashes de palavra-passe.
Em resumo
Atacantes podem testar credenciais reutilizadas de fugas de dados, tentar padrões comuns ou comparar candidatos com hashes de palavra-passe roubados. O método depende de atacar um serviço ativo ou de já possuir os hashes.
Reutilização de credenciais divulgadas
Nesse ataque, combinações de utilizador e palavra-passe expostas são testadas em outros serviços. Uma palavra-passe diferente para cada conta impede que uma palavra-passe conhecida abra outras contas. (OWASP: guia rápido de autenticação)
Ataques online e análise offline
Tentativas online passam pelo serviço e podem ser limitadas ou detetadas. Na análise offline, o atacante testa candidatos contra hashes roubados sem contactar o serviço. Salt e funções de armazenamento deliberadamente lentas aumentam o custo de cada tentativa. (NIST SP 800-63B-4) (OWASP: guia rápido sobre armazenamento de palavras-passe)
Como proteger as suas contas?
Use palavras-passe únicas, ative autenticação multifator, instale atualizações e altere uma palavra-passe quando um serviço informar que ela foi exposta. Não reutilize uma palavra-passe só porque ela parece complexa. (NIST SP 800-63B-4)