O calendário dita que esta quinta-feira, 7 de Maio de 2026, é o dia de reflectirmos sobre a segurança das nossas chaves digitais. No entanto, a avaliar pelos números, a mensagem parece não estar a passar. Um estudo global da Kaspersky, que analisou 231 milhões de sequências únicas, revela que 68% das passwords usadas podem ser quebradas em menos de 24 horas. Pior ainda: o avanço da inteligência artificial permite que algoritmos inteligentes quebrem 20% das chaves com 15 caracteres em menos de um minuto, caso sigam padrões previsíveis.
A nossa psicologia é, aliás, o maior trunfo dos atacantes. Temos uma tendência natural para usar termos positivos ou tendências do momento. A palavra “Skibidi”, por exemplo, viu o seu uso disparar 36 vezes nos últimos anos, acompanhando a sua popularidade online. Também em Portugal a falta de imaginação impera; em 2025, o termo “admin” foi o mais utilizado pelos portugueses, seguido dos clássicos “123456” e “123456789”. De acordo com dados do National Cyber Security Centre citados pela ESET, a sequência “123456” foi encontrada em cerca de 23,2 milhões de contas comprometidas em todo o mundo.
A previsibilidade é o inimigo
Muitos utilizadores acreditam que adicionar um número ou um símbolo no final de uma palavra é suficiente. Puro engano. Mais de 50% das passwords comprometidas terminam com um dígito. No que toca a símbolos, a arroba (@) é a rainha, surgindo em 10% dos casos onde existe apenas um carácter especial. Como explica Alexey Antonov, Lead Data Scientist da Kaspersky, os ataques de força bruta testam sistematicamente estas combinações previsíveis, reduzindo drasticamente o tempo necessário para o sucesso da invasão.
Para contrariar esta tendência, a recomendação dos especialistas passa por abandonar a ideia de uma “palavra-passe” em favor de uma “frase-passe”. Em vez de escolher um termo isolado, deve-se optar por uma combinação de várias palavras não relacionadas, com mais de 12 ou até 16 caracteres, intercaladas com números e símbolos no interior e até alguns erros ortográficos propositados.
Gestores e o fim das passwords
Se a complexidade exigida torna impossível memorizar todas as chaves, a solução não passa por anotá-las num papel ou usar a mesma para tudo. Ricardo Neves, da ESET Portugal, sublinha que a reutilização de credenciais é um erro grave, pois uma falha num serviço menos seguro pode comprometer toda a nossa vida digital. O ideal é recorrer a gestores de passwords, que funcionam como um cofre seguro onde todas as chaves são armazenadas e protegidas por uma única password principal.
Contudo, resta a pergunta: ainda faz sentido vivermos dependentes destas sequências de caracteres? A indústria tecnológica tem tentado responder com as passkeys (chaves de acesso). Este sistema permite que o utilizador se autentique em serviços online da mesma forma que desbloqueia o telemóvel: através de biometria (impressão digital ou reconhecimento facial) ou de um PIN local. Ao eliminar a necessidade de uma palavra-passe partilhada entre o utilizador e o servidor, elimina-se também o risco de estas serem roubadas em fugas de dados em larga escala.
Enquanto a transição total para um mundo sem passwords não acontece, a regra de ouro continua a ser a activação da autenticação multifactor (MFA). Mesmo que um pirata informático consiga adivinhar a sua frase-passe, precisará sempre de um segundo código enviado para o seu dispositivo para conseguir entrar. No Dia Mundial da Palavra-Passe, o melhor conselho é mesmo este: trate as suas credenciais como escovas de dentes; escolha-as bem, não as partilhe com ninguém e mude-as sempre que houver suspeita de sujidade.