No ano de 2009, ocorreu uma violação de dados significativa: cerca de 32 milhões de senhas de usuários de um aplicativo chamado RockYou foram vazadas. Esse acontecimento deu origem a uma lista de palavras amplamente conhecida no mundo da segurança cibernética como RockYou.txt.
É claro que o ocorrido com a RockYou foi um caso muito específico, mas atualmente existem diversas listas contendo senhas vazadas de empresas, aplicativos e sites que podem ser acessadas por qualquer um, inclusive por cibercriminosos. Eles têm um único objetivo: roubar sua senha – crime que pode ser cometido através de um ataque de dicionário.
No artigo de hoje, iremos falar sobre o que é um ataque de dicionário, como ele funciona, 5 dicas de como se proteger, palavras proibidas na criação de senhas e muito mais. Confira!
O que é um ataque de dicionário?
É um tipo de ataque no qual o atacante usa palavras comuns, normalmente encontradas em listas vazadas na internet ou em um dicionário, para tentar adivinhar senhas de usuários e comprometer suas credenciais.
Isso significa que, quanto mais fraca e comum for a sua senha, maiores as chances dela ser descoberta.
O atacante pode criar um dicionário personalizado com base nas informações da pessoa que está tentando atacar, utilizando nomes de animais de estimação, personagens populares da cultura pop, grandes times esportivos, atletas famosos, entre outros dados relacionados.
Vale ressaltar que, caso o atacante tenha como alvo uma determinada organização, ele pode desenvolver uma lista de palavras mais direcionada. Por exemplo, se o objetivo de um cibercriminoso for uma empresa na Alemanha, sua lista de palavras irá conter palavras comuns em alemão em vez do português, pois os termos provavelmente estarão associados a organização.
Além disso, ter sua senha roubada é um risco não apenas pelo vazamento de dados, mas, também, pode levar a prejuízos, como: ataques aos dispositivos, danos à imagem do usuário e até mesmo prejuízos financeiros à empresa.
Qual a diferença entre: ataque de dicionário X ataque de força bruta?
Apesar dele se enquadrar como um ataque de força bruta, existem algumas diferenças entre ambos. Em um ataque de dicionário, como vimos anteriormente, uma lista com palavras e frases comuns usadas em senhas fracas é utilizada para tentar advinhar a senha de um usuário. Ele é eficaz quando usuários utilizam senhas muito simples e comuns.
Já em um ataque de força bruta, toda senha pode acabar se tornando alvo de cibercriminosos, pois se trata de um ataque que usa o método de tentativa e erro, realizando tentativas sistematicamente, através de um software automatizado, até conseguir encontrar a combinação correta que compõe sua senha.
Se você quiser saber mais sobre o que é um ataque de força bruta, temos este artigo completo no nosso blog!
Como um ataque de dicionário funciona?
Ele funciona da seguinte maneira: um criminoso cibernético irá usar um programa automatizado para tentar desvendar uma senha a partir de uma lista de palavras. Se uma das palavras da sua lista corresponder com a senha do usuário, ele terá êxito em seu objetivo.
Se o atacante conseguir acesso às suas credenciais, ele poderá utilizar os dados da conta de forma indevida, roubando informações pessoais, acessando contas bancárias para realizar transferências, instalar malwares para coletar dados adicionais ou até mesmo vazar informações sensíveis.
Portanto, é essencial estar atento às medidas de segurança para garantir que a sua conta esteja segura. É possível realizar isso através da criação de uma senha mais forte.
O que você deve evitar usar em senhas
Esses termos podem ser incluídos em um dicionário ou lista de palavras proibidas, que compilam palavras ou frases comumente utilizadas na criação de senhas, provenientes de vazamentos ou violações de segurança.
Imagine que elas são a munição dos cibercriminosos ao realizar esses ataques, e infelizmente, muitas pessoas acabam caindo na cilada de criar senhas muito fracas, fragilizando não apenas a sua própria segurança e a da organização.
Sendo assim, listamos as principais palavras mais comuns que você deve estabelecer como proibidas na hora de criar uma senha. Confira!
Lista de palavras proibidas na hora de criar sua senha:
-
12345 – Sequências lógicas de números
-
abc123 – Combinação de letras e números muito comuns
-
Datas importantes para o usuário. Exemplo: aniversários.
-
Nomes de familiares, bichos de estimação.
-
Termos comuns – senha, password, minhasenhaé.
-
Time favorito de futebol ou outros esportes
Ao investir na implantação de um dicionário de palavras proibidas na criação de novas senhas, você estará impedindo que ataques como este ocorram, dificultando a entrada de cibercriminosos na rede de sua empresa.
5 Dicas de como se proteger desse ataque
Agora que você conhece a gravidade deste ataque e como ele pode afetar negativamente sua empresa, vamos te apresentar 5 dicas para te ajudar a se proteger contra esse ataque:
1) Troque sua senha regularmente
Como mencionado anteriormente, ter uma senha forte é importante para garantir sua segurança, porém, é necessário realizar a troca dessas senhas regularmente, reduzindo as chances de acesso contínuo à sua conta. Essa tarefa é essencial principalmente após ter sofrido uma violação de dados em sua empresa.
2) Ative a autenticação multifator (MFA)
Ative a autenticação multifator para adicionar uma camada extra de segurança ao acessar sua conta, pois nesses casos, mesmo que sua senha tenha sido comprometida, um código de segurança será enviado para seu celular ou email antes de conceder acesso a sua conta, dificultando a entrada de cibercriminosos.
Se quiser saber mais sobre autenticação multifatorial (MFA), temos um artigo que explica tudo sobre essa camada extra de segurança clicando aqui!
3) Utilize um gerenciador de senhas
Um gerenciador de senhas é uma ferramenta eficaz para armazenar suas senhas com segurança, eliminando a necessidade de memorizar cada uma delas e tornando o acesso a plataformas e sites mais prático.
4) Conscientização dos usuários
Um dos fatores mais importantes quando se trata de proteção contra ataques de dicionário, é a conscientização dos usuários, pois assim, você os capacita para lidar com as ameaças de forma autônoma, garantindo que todos sigam práticas de segurança, como: ficar atento a links ou e-mails suspeitos e não colocar suas informações pessoais em sites desconhecidos e possivelmente perigosos.
5) Faça uso de soluções de segurança
Adote soluções de segurança para facilitar a avaliação dos riscos pelos quais seus usuários estão passando. A ManageEngine oferece diversas ferramentas robustas, confira agora como elas podem ser úteis na avaliação de vulnerabilidades relacionadas as senhas de seus colaboradores.
Ferramentas da ManageEngine que podem te ajudar a se proteger contra um ataque de dicionário
Vimos como é importante se proteger contra ataques de dicionário, pois ela pode levar a riscos de vazamento de segurança muito sérios, sendo assim, vou te apresentar o Log360 e ADSelfService Plus, duas soluções que te ajudam a proteger suas contas.
O Log360 é uma solução SIEM unificada capaz de detectar, investigar e responder a ameaças de segurança. Ele oferece visibilidade de segurança e recursos avançados de análise e monitoramento de segurança, como a detecção de anomalias baseadas em machine learning, UEBA, correlação de eventos – que permite a criação de regras de correlação personalizadas para se adaptar às necessidades dos usuários – e muito mais.
O ADSelfService Plus é a nossa solução de segurança de identidade que permite o autoatendimento e recuperação de senhas, implementação de MFAs adaptativas, configurar um bloqueio para o uso de determinadas palavras na criação de novas senhas, entre outros recursos.
Clique aqui para realizar um teste grátis da nossa ferramenta!
A ManageEngine oferece diversas outras soluções capazes de monitorar e proteger o seu ambiente de TI de forma holística. Se quiser saber mais sobre nossas ferramentas, acesse nosso site!
