Uma forte escalada nos ataques contra sistemas de autenticação está colocando empresas em alerta em 2026. Dados da empresa de cibersegurança Huntress apontam que a atividade de password spraying cresceu 155 vezes ao longo do ano, com criminosos realizando aproximadamente 81 milhões de tentativas de login.
O volume mostra como credenciais continuam sendo uma das principais portas de entrada para ataques corporativos, mesmo diante da evolução das ferramentas de segurança.
Em vez de explorar uma vulnerabilidade sofisticada em um software, os criminosos apostam em uma fraqueza muito mais simples: usuários que continuam utilizando senhas previsíveis, reutilizadas ou comprometidas anteriormente.
O que é password spraying?
O password spraying é diferente de um ataque tradicional de força bruta.
Em uma tentativa convencional, o invasor pode selecionar uma conta e testar centenas ou milhares de senhas até encontrar a combinação correta.
Esse comportamento normalmente é detectado rapidamente e pode provocar o bloqueio automático do usuário.
No password spraying, a estratégia é invertida.
O criminoso seleciona uma pequena quantidade de senhas populares e testa essas combinações contra milhares de contas diferentes.
Em vez de tentar:
1 usuário → 10 mil senhas
o ataque funciona como:
1 senha → milhares de usuários.
Essa abordagem reduz a quantidade de tentativas realizadas contra cada conta e pode dificultar a identificação pelos mecanismos tradicionais de proteção.
81 milhões de tentativas mostram escala da operação
A Huntress registrou aproximadamente 81 milhões de tentativas de autenticação associadas à atividade.
O número ajuda a demonstrar como ataques contra credenciais estão se tornando operações altamente automatizadas.
Criminosos conseguem combinar listas de endereços de e-mail obtidas em vazamentos anteriores com senhas comuns ou já comprometidas.
Ferramentas automatizadas fazem o restante.
Milhões de combinações podem ser testadas até que alguma delas funcione.
Mesmo uma taxa de sucesso extremamente pequena pode produzir centenas ou milhares de contas comprometidas quando o volume de tentativas é suficientemente grande.
Microsoft 365 é um alvo particularmente valioso
Contas corporativas baseadas em serviços de nuvem são especialmente interessantes para os invasores.
Uma credencial válida pode abrir acesso a e-mails, arquivos, calendários, contatos e outras informações internas.
Em ambientes Microsoft 365, por exemplo, uma única conta comprometida pode servir como ponto inicial para uma operação muito maior.
Depois de entrar, o atacante pode analisar conversas internas, identificar executivos, localizar documentos confidenciais e compreender como a organização funciona.
Essas informações também podem ser utilizadas para ataques de phishing extremamente convincentes.
Uma senha pode abrir caminho para toda a empresa
O primeiro acesso é frequentemente apenas o início.
Depois de comprometer uma conta, criminosos podem tentar ampliar seus privilégios dentro da organização.
Isso pode envolver acesso a novos sistemas, roubo de tokens de autenticação, coleta de credenciais adicionais e movimentação lateral pela infraestrutura.
Em outros casos, o objetivo pode ser financeiro.
Uma conta de e-mail corporativo comprometida permite acompanhar negociações e identificar pagamentos relevantes.
O criminoso pode então se passar por um funcionário ou fornecedor e solicitar que uma transferência seja enviada para outra conta.
É o conhecido Business Email Compromise (BEC).
Ataques distribuídos dificultam a detecção
Outra característica importante dessas campanhas é a distribuição das tentativas.
Atacantes podem utilizar milhares de endereços IP diferentes para realizar autenticações.
Isso dificulta estratégias simples de bloqueio baseadas apenas na origem da conexão.
Se um endereço IP realizar milhares de tentativas, o comportamento é fácil de identificar.
Mas se milhares de endereços realizarem poucas tentativas cada um, o padrão se torna muito mais difícil de perceber.
É justamente por isso que organizações precisam analisar o comportamento de autenticação de maneira mais ampla.
Senhas fortes continuam importantes, mas não são suficientes
O crescimento do password spraying reforça uma mudança importante na estratégia de proteção de identidades.
Uma boa senha continua sendo necessária.
Mas depender exclusivamente dela representa um risco cada vez maior.
A utilização de autenticação multifator (MFA) cria uma segunda barreira. Mesmo que um criminoso descubra a senha correta, ainda precisará superar outro mecanismo de autenticação.
Sempre que possível, empresas também podem migrar para métodos resistentes a phishing, como passkeys e chaves físicas de segurança baseadas em FIDO2.
Esses mecanismos reduzem significativamente a dependência das senhas tradicionais.
Contas antigas também representam perigo
Outro problema recorrente está nas contas que permanecem ativas sem necessidade.
Funcionários que deixaram a empresa, usuários temporários, prestadores de serviços e contas criadas para sistemas antigos podem continuar existindo por anos.
Para um invasor, qualquer uma delas pode representar uma oportunidade.
Por isso, empresas precisam revisar periodicamente seus diretórios e remover ou desativar acessos que não possuem mais finalidade.
O princípio deve ser simples: se uma conta não precisa existir, ela não deveria poder autenticar.
Identidade virou o novo perímetro da segurança
Durante décadas, a estratégia de cibersegurança corporativa esteve fortemente concentrada em proteger a rede.
Firewalls separavam o ambiente interno da internet e sistemas considerados confiáveis permaneciam dentro desse perímetro.
A computação em nuvem mudou essa lógica.
Funcionários agora acessam e-mail, documentos, aplicações e sistemas corporativos de praticamente qualquer lugar.
Nesse cenário, a identidade do usuário passou a funcionar como um novo perímetro.
Se o criminoso possui uma credencial legítima, muitas vezes não precisa “invadir” a rede da maneira tradicional.
Ele simplesmente faz login.
155 vezes mais ataques mostram mudança de escala
O crescimento observado em 2026 demonstra como ataques aparentemente simples continuam extremamente eficientes.
Password spraying não depende necessariamente de vulnerabilidades inéditas, malware sofisticado ou técnicas avançadas de exploração.
Ele depende de escala.
Com milhões de contas expostas em vazamentos anteriores, infraestrutura automatizada e enormes listas de senhas disponíveis, criminosos conseguem testar combinações em volumes que seriam impossíveis manualmente.
É por isso que os 81 milhões de logins registrados são tão relevantes.
O número mostra que a guerra pelas redes corporativas começa cada vez mais na tela de autenticação.
E, diante de um crescimento de 155 vezes em apenas um ano, empresas que ainda tratam senha como principal mecanismo de proteção precisam rever rapidamente essa estratégia.
