Credential Stuffing: Como Proteger sua Empresa e seus Clientes

Credential stuffing é um ataque automatizado que testa bilhões de combinações de e-mail e senha — vazadas de outros serviços — nas páginas de login das suas plataformas. Como muitas pessoas reutilizam senhas, uma parcela significativa dessas tentativas tem sucesso.

Como Funciona o Credential Stuffing

1. Criminosos compram ou obtêm listas de credenciais vazadas de outros serviços (Facebook, Netflix, Nubank, etc.) — existem listas com bilhões de pares e-mail/senha disponíveis na dark web
2. Usam ferramentas automatizadas (bots) para testar essas credenciais na sua plataforma
3. Para cada login bem-sucedido, acessam a conta do cliente: dados pessoais, histórico de compras, saldo de pontos, métodos de pagamento salvos
4. Usam essas contas para fraudes: compras com dados salvos, resgate de pontos, revenda de acesso

Por que é Diferente do Brute Force

O brute force testa combinações aleatórias de senhas — fácil de detectar pelo volume de tentativas. O credential stuffing usa credenciais reais e válidas de outras plataformas, com taxa de acerto muito maior (tipicamente 0,1-2% das tentativas). Ferramentas sofisticadas distribuem as tentativas por IPs diferentes e simulam comportamento humano para evitar detecção.

Sinais de um Ataque de Credential Stuffing

• Pico súbito nas tentativas de login (mesmo sem aumento de erros perceptível)
• Múltiplos logins bem-sucedidos de IPs geograficamente dispersos
• Clientes relatando atividades não reconhecidas nas suas contas
• Aumento de compras com dados de cartão já salvos
• Resgate incomum de pontos ou créditos em contas

Como Proteger seu Sistema

Rate limiting e detecção de bots

Implemente limite de tentativas de login por IP e por conta. Use soluções de detecção de bots (Cloudflare Bot Management, AWS WAF, Arkose Labs) que identificam comportamento automatizado mesmo quando distribuído.

CAPTCHA inteligente

CAPTCHAs adaptativos (que só aparecem quando comportamento suspeito é detectado) equilibram segurança e experiência do usuário legítimo.

Autenticação multifator (MFA)

MFA torna credenciais comprometidas inúteis sozinhas. Ofereça MFA como opção e incentive (ou exija) seu uso para ações sensíveis como troca de senha ou dados de pagamento.

Monitoramento de credenciais comprometidas

Serviços como Have I Been Pwned oferecem APIs para verificar se e-mails dos seus usuários aparecem em vazamentos conhecidos. Ao detectar, force reset de senha preventivo.