Um ataque de força bruta (Brute Force Attack) é uma técnica cibernética onde um invasor tenta adivinhar credenciais de acesso tentando todas as combinações possíveis até encontrar a senha correta. Esse método pode ser eficaz em sistemas mal protegidos que não reagem a várias tentativas malsucedidas, ou onde senhas fracas ou previsíveis são usadas.

CUIDADO! Ataques por força bruta são feitos aos milhões no mundo todo e a partir de vários IPs de origem. Seu site, caixas postais e painel de controle estão sendo constantemente bombardeados com tentativas de acesso, tomamos várias medidas para identificar e bloquear tais acessos, mas é essencial você fazer sua parte.

Tipos de ataques de força bruta mais comuns

Os atacantes geralmente usam ferramentas automatizadas que tentam senhas em alta velocidade e usam botnets para atacar a partir de vários IPs diferentes, assim evitando detecção e bloqueios. Além disso, podem adotar estratégias de ataques de dicionário, que utilizam listas de senhas mais comuns, ou ataques baseados em padrões previsíveis.

• Ataques a senhas: nesse tipo de ataque, hackers e suas botnets tentam diversas combinações de senhas para acessar uma conta. Ataques a serviços online como painéis de administração de blogs e sites, e-mail, redes sociais, bancos de dados e dispositivos de rede (roteadores wifi) são os alvos mais comuns;
• Ataques a chaves de criptografia: os invasores tentam decifrar chaves de criptografia para acessar dados confidenciais ou interceptar comunicações seguras, é um vetor de ataque raro, uma vez que o desafio é incrivelmente maior;
• Ataques a números PIN: esse tipo mira números PIN de cartões de crédito, débito ou dispositivos de autenticação de dois fatores (2FA), buscando acesso a contas financeiras ou sistemas sensíveis.

Medidas para combater ataques de força bruta

Enquanto sistemas puderem ser explorados remotamente como vetores de invasão, as investidas de força bruta permanecerão uma constante no cenário digital. Nossa empresa faz uso do monitoramento de atividades suspeitas, bloqueios com firewalls e sistemas de detecção de intrusão (IDS), o que ajuda a reduzir a chance de ataques de força bruta bem-sucedidos e os dano decorrentes causados. Ainda assim, parte da responsabilidade recai sobre os donos e administradores de sites, somente eles podem e devem realizar ações como:

• Políticas de senha fortes: incentive a criação de senhas complexas geradas aleatoriamente (e, portanto, difíceis de adivinhar) com combinações de letras maiúsculas e minúsculas, números e símbolos e obrigue um nível mínimo de complexidade ao redefinir senhas;

  IMPORTANTE: o uso de um gerenciador de senhas é a melhor forma de criar e usar senhas longas e complexas sem precisar lembrá-las. Seu uso é altamente recomendado!

• Bloqueio de acesso: use mecanismos de bloqueio temporário e/ou permanente após várias tentativas de login malsucedidas, como plugins de login do WordPress;
• Autenticação de dois fatores: exija a autenticação de dois fatores para acesso ao painel de controle, à caixas postais e painéis de administração acrescenta uma proteção importante mesmo para senhas que já foram roubadas ou adivinhadas.
• Atualizações regulares: mantenha todos os sistemas, plugins e aplicativos atualizados para corrigir eventuais vulnerabilidades conhecidas, especialmente o WordPress e outros scripts.