Credential stuffing
Testar em escala combinações de usuário e senha que já vazaram em outro serviço. O que é, na prática, por que não é o mesmo que a força bruta e onde atinge dentro de uma jornada de identidade.
Em resumo
O credential stuffing é o teste automatizado de credenciais vazadas contra os formulários de login de outros serviços. O atacante parte de listas de usuários e senhas obtidas em vazamentos anteriores e as testa em escala, apostando que a mesma combinação seja reutilizada em mais de um lugar.
Não há adivinhação. As credenciais testadas já foram válidas em algum sistema, e o que se mede é quantas pessoas repetem a senha.
Não é força bruta, e a diferença aparece nos números
Os dois ataques testam credenciais contra um formulário, e é aí que a semelhança termina.
- Força bruta — adivinha. Testa muitas senhas contra uma mesma conta até acertar, produzindo muito volume sobre poucas contas e uma taxa de acerto mínima.
- Credential stuffing — não adivinha. Testa uma ou duas credenciais já válidas contra muitíssimas contas diferentes, produzindo pouco volume por conta e uma taxa de acerto comparativamente alta.
A consequência operacional é concreta: um controle de bloqueio por tentativas falhas, a defesa clássica contra a força bruta, quase não percebe o credential stuffing. Cada conta recebe uma ou duas tentativas, exatamente o que faz um usuário legítimo que errou uma vez.
Onde aparece em uma jornada de identidade
O credential stuffing atinge o acesso, não o cadastro. Aparece onde há uma senha para validar.
- Login de usuários existentes — o alvo direto, e o caminho para um account takeover.
- Recuperação de acesso — os mesmos dados vazados alimentam as respostas de segurança e os dados de contato que um fluxo de recuperação pede.
- Interfaces de acesso menos vigiadas — aplicações antigas e pontos de entrada que ficaram fora das regras do canal principal.
Nenhum desses momentos envolve verificação de identidade. O credential stuffing não ataca a comprovação de quem é uma pessoa: ataca o que a organização aceitou como substituto dessa comprovação.
O que reduz a exposição
Um segundo fator que a credencial vazada não inclui. Uma senha válida somada a um fator vinculado ao dispositivo ou à biometria deixa de ser suficiente para entrar, motivo pelo qual o MFA muda o resultado desse ataque mais do que qualquer política de complexidade de senha.
A sequência completa, com os padrões que a denunciam do lado do servidor, está na página do tipo de fraude: credential stuffing.
Perguntas frequentes
É o teste automatizado de combinações de usuário e senha obtidas em vazamentos anteriores, executado contra os formulários de login de outros serviços. Funciona por reutilização: a credencial vazada em um site continua válida em outro porque a mesma pessoa a repetiu. O atacante não quebra nada, usa algo que já era válido.
A força bruta adivinha senhas contra uma conta, com muitas tentativas e uma taxa de acerto mínima. O credential stuffing usa credenciais que já foram válidas em outro serviço e as testa contra muitas contas, com poucas tentativas por conta e uma taxa de acerto muito mais alta. Por isso o bloqueio por tentativas falhas freia a primeira e quase não percebe a segunda.
Impede o resultado, não a tentativa. A credencial continua válida e o atacante continua testando-a, mas validá-la deixa de ser suficiente para acessar quando há um segundo fator que não estava no vazamento. Os fatores vinculados ao dispositivo ou à biometria são os que cumprem essa condição: não vazam junto com uma base de senhas.
