Boas práticas de palavras-passe para setores regulamentados: um guia prático de segurança

As boas práticas para palavras-passe resumem-se a uma lista curta, quase aborrecida, mas que funciona mesmo: use um gestor de palavras-passe para gerar palavras-passe longas e únicas para todas as contas, ative a autenticação multifator (MFA) e nunca reutilize a mesma palavra-passe em vários serviços. Para as equipas de saúde, jurídicas e financeiras, o maior risco raramente é uma palavra-passe demasiado simples. É uma palavra-passe que foi reutilizada ou roubada. A maioria das violações de contas começa agora com credenciais que o atacante já possui, e não com uma que tenha adivinhado, pelo que o verdadeiro objetivo é eliminar a reutilização e acrescentar um segundo fator.

‍

Principais conclusões

• Um gestor de palavras-passe aliado à MFA bloqueia a grande maioria dos ataques automatizados de apropriação de contas. Essa combinação, e não decorar sequências engenhosas, é o cerne da segurança das palavras-passe.
• A reutilização é a principal vulnerabilidade. Estudos do setor concluem de forma consistente que a maioria das pessoas reutiliza palavras-passe, pelo que uma única violação pode propagar-se a todas as contas que partilham essa palavra-passe.
• As palavras-passe fracas costumam ser previsíveis, e não aleatórias. Trocas sazonais, nomes de animais de estimação e nomes de empresas são exatamente o que os atacantes testam primeiro.
• A ameaça passou de adivinhar palavras-passe para as roubar, e é por isso que a unicidade e a MFA importam mais do que a simples complexidade de caracteres.
• As credenciais profissionais e pessoais nunca devem misturar-se. Mantê-las separadas limita os danos quando qualquer uma das partes é comprometida.

‍

O que são boas práticas para palavras-passe?

As boas práticas para palavras-passe são o conjunto de hábitos e controlos que impedem que as credenciais de uma conta sejam adivinhadas, quebradas, reutilizadas ou roubadas. Abrangem a forma como uma palavra-passe é criada (comprimento e aleatoriedade), como é armazenada (um gestor de palavras-passe, e não uma nota autocolante, uma folha de cálculo ou o navegador), como é protegida (MFA) e como é partilhada (apenas através de canais seguros). As orientações modernas dos organismos de normalização afastaram-se da imposição de regras de caracteres complicadas e de alterações frequentes, privilegiando o comprimento, a unicidade e um segundo fator forte.

‍

Porque é que a segurança das palavras-passe é mais importante do que nunca

A estratégia dos atacantes mudou. Há uma década, a principal preocupação era alguém forçar uma palavra-passe fraca por força bruta, testando muitas combinações. Hoje, a maior ameaça é o roubo de credenciais: os atacantes obtêm palavras-passe válidas através de violações de dados, phishing e malware infostealer (software que recolhe discretamente palavras-passe guardadas e sessões de início de sessão de um dispositivo infetado) e, depois, limitam-se a iniciar sessão. Segundo o Verizon Data Breach Investigations Report, as credenciais roubadas são uma das formas mais comuns de os atacantes obterem o acesso inicial, e a IBM X-Force tem reportado uma grande parte de intrusões que utilizam credenciais válidas e roubadas, em vez de qualquer exploração de vulnerabilidades.

‍

Isto importa por uma razão prática. Se um atacante conseguir comprar ou roubar uma palavra-passe que já funciona, a força dessa palavra-passe deixa de o proteger. O que o protege é que a palavra-passe seja única (para não desbloquear mais nada) e que um segundo fator se interponha entre a palavra-passe roubada e a conta. Para as equipas reguladas que tratam registos sensíveis, essa mudança é todo o argumento a favor das práticas abaixo.

‍

O que torna uma palavra-passe forte?

Três propriedades tornam uma palavra-passe forte: comprimento, aleatoriedade e unicidade. O comprimento é a mais importante. O National Institute of Standards and Technology (NIST) dos EUA, na Special Publication 800-63B-4, recomenda um mínimo de 15 caracteres para uma palavra-passe utilizada como fator único (e admite comprimentos até, pelo menos, 64), enquanto a Cybersecurity and Infrastructure Security Agency (CISA) recomenda apontar para, pelo menos, 16 caracteres. Aleatoriedade significa evitar palavras de dicionário e dados pessoais. Unicidade significa uma palavra-passe diferente para cada conta.

‍

Uma alternativa útil a uma sequência aleatória é uma frase-passe: entre quatro e sete palavras sem relação entre si, encadeadas, que é longa, difícil de quebrar e muito mais fácil de memorizar. A CISA dá exemplos como um punhado de palavras sem relação combinadas numa só frase.

‍

‍

Eis a diferença na prática:

‍

‍

Como criar uma palavra-passe forte

O método fiável mais rápido é deixar que um gestor de palavras-passe gere uma por si. Quando precisar de criar uma manualmente (por exemplo, a palavra-passe principal que desbloqueia o seu gestor), crie uma frase-passe:

‍

1. Escolha entre quatro e sete palavras aleatórias e sem relação entre si. Evite tudo o que esteja associado a si, à sua entidade empregadora ou à data.
2. Combine-as numa única frase. Pode manter ou remover os espaços.
3. Aposte no comprimento em vez da complexidade. Uma frase mais longa vale mais do que uma sequência curta com símbolos.
4. Certifique-se de que é usada num único local e em mais nenhum.
5. Nunca a guarde em texto simples. Memorize a palavra-passe principal e deixe que o gestor guarde as restantes.

‍

Evite por completo elementos previsíveis. Os atacantes recorrem a ataques de dicionário (tentativas automáticas de adivinhação com listas de palavras comuns e palavras-passe conhecidas) e a credential stuffing (reutilização de pares de nome de utilizador e palavra-passe divulgados noutras violações de dados). Palavras-passe comuns que foram alvo de violações, como 123456, admin e password (regularmente identificadas em estudos da NordPass), caem instantaneamente, tal como escolhas contextuais, como o nome de um animal de estimação, o nome da empresa ou uma estação do ano seguida do ano.

‍

Pare de reutilizar palavras-passe: a correção mais importante

Se for para mudar um único hábito, que seja este. Inquéritos citados em estudos de segurança mostram que a maioria das pessoas reutiliza palavras-passe em várias contas (a Forbes Advisor divulgou valores na ordem dos 78 por cento), e a análise de violações da SpyCloud concluiu que uma grande parte das pessoas expostas em violações tinha reutilizado uma palavra-passe previamente exposta. A reutilização é o que transforma uma única fuga de dados numa reação em cadeia: um serviço comprometido entrega ao atacante a chave do seu e-mail, e o seu e-mail é o caminho de recuperação de todo o resto.

‍

Daqui decorrem duas regras. Primeiro, use uma palavra-passe por serviço, sem exceções. Segundo, mantenha as credenciais profissionais e pessoais totalmente separadas. A palavra-passe do seu serviço de streaming não tem nada que estar perto dos sistemas da empresa, e uma palavra-passe da empresa nunca deve proteger uma conta pessoal. Encare a separação como um controlo de segurança, não como uma questão de etiqueta: limita o raio de impacto, para que um comprometimento de um dos lados não se propague ao outro.

‍

O que é um gestor de palavras-passe e deve usar um?

Um gestor de palavras-passe é uma aplicação que gera, guarda e preenche automaticamente as suas palavras-passe num cofre encriptado. Basta memorizar uma palavra-passe principal forte, e o gestor memoriza tudo o resto, incluindo palavras-passe longas e aleatórias que nunca conseguiria decorar. Também assinala palavras-passe fracas ou duplicadas, para que as possa corrigir. A CISA e a maioria das equipas de segurança consideram o gestor de palavras-passe a forma mais fácil de tornar realistas palavras-passe fortes e únicas em todas as contas.

‍

Existem duas grandes categorias. Os gestores de palavras-passe pessoais destinam-se a utilizadores individuais e a pequenas equipas. As soluções empresariais, muitas vezes integradas na gestão de acessos privilegiados (PAM, a prática de proteger e monitorizar credenciais administrativas de elevado valor), acrescentam controlo centralizado, restrições de acesso, auditoria e início de sessão único (SSO, que permite autenticar-se uma só vez para aceder a várias aplicações aprovadas). Um aviso: evite depender do armazenamento integrado do seu navegador para credenciais importantes, uma vez que as palavras-passe guardadas no navegador podem ser mais fáceis de extrair de um dispositivo comprometido ou roubado do que as de um gestor dedicado e encriptado.

‍

Ative a autenticação multifator (MFA)

A autenticação multifator (MFA) exige uma segunda prova de identidade além da palavra-passe, como um código de uma aplicação de autenticação, uma chave de hardware ou uma verificação biométrica. Como uma palavra-passe roubada ou adivinhada não é suficiente, por si só, para entrar, a MFA bloqueia a grande maioria dos ataques automatizados em massa, e tanto a CISA como a Microsoft a recomendam como controlo de base.

‍

Nem todos os fatores são iguais. Sempre que possível, prefira métodos resistentes a phishing baseados nas normas FIDO2 e WebAuthn, incluindo as chaves de acesso (passkeys) (chaves criptográficas associadas ao seu dispositivo que substituem totalmente a palavra-passe e funcionam como método de início de sessão autónomo, e não apenas como segundo fator). Os códigos de utilização única enviados por SMS são o fator comum mais fraco, porque são vulneráveis a SIM swapping e a ataques ao protocolo SS7, que podem intercetar mensagens SMS ao nível da rede, e tanto o NIST como a CISA desaconselham depender deles quando existem opções mais robustas.

‍

Deve alterar as suas palavras-passe regularmente?

Não, não de forma periódica fixa, pelo menos no caso das contas de utilizador comuns. O NIST desaconselha agora alterações periódicas obrigatórias das palavras-passe dos utilizadores, porque a rotação forçada leva as pessoas a adotar padrões previsíveis (Summer2025 passa a Summer2026) e a escrever as palavras-passe. Em vez disso, altere uma palavra-passe quando houver um motivo: um comprometimento conhecido ou suspeito, uma notificação de violação de dados ou uma credencial de que já não consegue dar conta. Mesmo quando tem „quase a certeza de que está tudo bem“, uma exposição confirmada é motivo suficiente para a alterar. (As credenciais administrativas altamente privilegiadas são uma exceção e são frequentemente alteradas de forma rotineira.)

‍

Como partilhar palavras-passe em segurança

Por vezes, é mesmo necessário partilhar uma credencial. Nesses casos, o canal é tão importante como a palavra-passe. Nunca envie uma palavra-passe por Slack, e-mail ou mensagem de texto, onde pode ficar num histórico pesquisável, ser reencaminhada ou ficar exposta se uma das contas for comprometida. Partilhe-a, em vez disso, através da funcionalidade de partilha segura de um gestor de palavras-passe, que mantém a credencial encriptada e permite revogar o acesso mais tarde. Se uma palavra-passe alguma vez circular por chat ou e-mail, considere-a exposta e altere-a.

‍

Boas práticas de palavras-passe para setores regulamentados

As organizações dos setores da saúde, jurídico e financeiro têm uma obrigação acrescida, porque as contas em causa protegem frequentemente dados regulamentados. Na área da saúde, isso inclui a informação de saúde protegida (PHI, dados de saúde individualmente identificáveis). Os referenciais definem requisitos que a boa higiene de credenciais ajuda a cumprir. A HIPAA Security Rule, por exemplo, exige controlos de acesso e salvaguardas de autenticação para os sistemas que tratam PHI, e as credenciais únicas, juntamente com a MFA, são formas práticas de apoiar esses requisitos. (A HIPAA também regula a relação com os fornecedores através de um Business Associate Agreement, ou BAA, o contrato que torna um prestador de serviços responsável pela salvaguarda da PHI.)

‍

Vale a pena ter em mente uma ideia: conformidade e segurança estão relacionadas, mas não são idênticas. Uma política de palavras-passe pode cumprir, do ponto de vista técnico, uma lista de verificação antiga e, ainda assim, deixar um risco real por resolver, e uma política que parece rigorosa (alterações forçadas frequentes, regras complexas de caracteres) pode ser, na prática, mais fraca do que uma política mais simples assente em comprimento, unicidade, um gestor de palavras-passe e MFA. O objetivo de uma equipa de um setor regulamentado é ter uma política que seja simultaneamente defensável perante um auditor e verdadeiramente eficaz contra a forma como os atacantes atuam hoje. Credenciais fortes e únicas, MFA, partilha segura e um cofre encriptado apoiam controlos reconhecidos em referenciais como HIPAA, SOC 2 e ISO 27001, sem sacrificar a facilidade de utilização.

‍

Perguntas frequentes

‍

Qual é o tipo de palavra-passe mais seguro?

A palavra-passe mais segura é uma palavra-passe longa e aleatória, gerada e guardada por um gestor de palavras-passe, porque nunca tem de a memorizar nem de a escrever. Para a única palavra-passe que tem de memorizar, uma frase-passe com quatro a sete palavras sem relação entre si oferece comprimento e facilidade de memorização ao mesmo tempo. Em ambos os casos, a palavra-passe deve ser exclusiva de uma única conta.

‍

Quais são as palavras-passe mais comuns a evitar?

Estudos sobre credenciais comprometidas, como a análise anual da NordPass, encontram repetidamente os mesmos casos no topo: 123456, admin e password. Qualquer palavra isolada do dicionário, um nome próprio ou de animal de estimação, o nome de uma empresa ou uma estação do ano seguida de um ano caem na mesma armadilha. São as primeiras tentativas de um ataque automatizado, por isso evite-as por completo.

‍

Os gestores de palavras-passe são seguros?

Sim, para quase todas as pessoas, um gestor de palavras-passe de confiança é muito mais seguro do que as alternativas, que são a reutilização, as palavras-passe fracas e as notas autocolantes. O cofre é encriptado e só precisa de proteger uma palavra-passe principal forte (idealmente uma frase-passe) com a MFA ativada. A comodidade é também o que torna realistas palavras-passe fortes e únicas em dezenas de contas.

‍

Qual deve ser o comprimento de uma palavra-passe?

Quanto mais longa, mais forte. O NIST recomenda um mínimo de 15 caracteres para uma palavra-passe de fator único e admite comprimentos até, pelo menos, 64, enquanto a CISA sugere ter como objetivo pelo menos 16. Uma frase-passe é uma forma simples de atingir esse comprimento sem criar algo impossível de memorizar.

‍

Devo alterar as minhas palavras-passe regularmente?

Não num calendário fixo, no caso das contas normais. O NIST desaconselha as alterações periódicas obrigatórias, porque incentivam padrões previsíveis. Altere uma palavra-passe quando houver um motivo real, como uma notificação de violação de dados ou qualquer sinal de comprometimento.

‍

É seguro guardar palavras-passe no navegador?

Para contas importantes, um gestor de palavras-passe dedicado é mais seguro do que o armazenamento integrado do navegador. As palavras-passe guardadas no navegador podem ser mais fáceis de extrair de um dispositivo perdido, roubado ou infetado por malware. Utilize a opção do navegador para guardar credenciais apenas em contas de baixo valor, se de todo.

‍

Como devo partilhar uma palavra-passe com um colega de trabalho?

Utilize a funcionalidade de partilha segura de um gestor de palavras-passe, que mantém a credencial encriptada e lhe permite revogar o acesso mais tarde. Não a envie por Slack, e-mail ou mensagem de texto. Se uma palavra-passe alguma vez passou por um destes canais, altere-a.