Credential Stuffing

Nathan Austad, um jovem de 21 anos do Minnesota, foi condenado a 18 meses de prisão por seu envolvimento em um ataque cibernético que comprometeu 60 mil contas de usuários da plataforma de apostas e esportes fantasy DraftKings em novembro de 2022. Durante o ataque, os hackers adicionaram métodos de pagamento sob seu controle a 1.600 contas e roubaram cerca de 600 mil dólares. O ataque foi realizado por meio de ‘credential stuffing’, uma técnica que explora senhas fracas ou reutilizadas. Embora a DraftKings tenha inicialmente relatado um roubo de menos de 300 mil dólares, um mês depois, o número de contas comprometidas foi revisado para quase 68 mil. Além de Austad, outros conspiradores foram acusados, incluindo Joseph Garrison e Kamerin Stokes, que também foram condenados. O Departamento de Justiça dos EUA revelou que Austad lucrou com a venda de acessos a contas hackeadas, recebendo aproximadamente 465 mil dólares em criptomoedas. Além da pena de prisão, Austad foi condenado a três anos de liberdade supervisionada e a pagar mais de 1,3 milhão de dólares em restituição e confisco.

O Procurador-Geral da Califórnia, Rob Bonta, processou a empresa 23andMe, agora Chrome Holding Co., devido à falha em proteger informações genéticas e pessoais sensíveis de seus clientes. Um ataque de credential stuffing em 2023 expôs dados de aproximadamente 6,9 milhões de usuários, incluindo 855.541 californianos. O incidente foi revelado em outubro de 2023, quando criminosos cibernéticos tentaram vender os dados roubados e divulgaram amostras para comprovar sua autenticidade. A 23andMe confirmou que os dados vazados eram reais e que a violação ocorreu após a exploração de contas com credenciais fracas. O ataque afetou usuários que optaram pela funcionalidade ‘DNA Relatives’ e outros que não a utilizaram. Além das falhas de segurança, o processo destaca declarações enganosas da empresa sobre suas práticas de segurança. O Procurador-Geral argumenta que essas ações violaram várias leis estaduais, incluindo a Lei de Privacidade de Informações Genéticas da Califórnia e a Lei de Privacidade do Consumidor da Califórnia (CCPA). O processo busca impedir novas violações e impor penalidades que podem variar de US$ 1.000 a US$ 7.500 por infração. A 23andMe já enfrenta múltiplas ações judiciais e investigações que podem resultar em multas milionárias, levando a empresa a considerar a falência.

Nos últimos dias, diversos usuários relataram ter recebido e-mails da Microsoft contendo códigos de uso único para acesso a suas contas, mesmo sem terem solicitado. As mensagens, que têm como remetente ‘account-security-noreply@accountprotection.microsoft.com’, alertam sobre tentativas de acesso indevido. A Microsoft confirmou que esses códigos podem ser gerados automaticamente quando há tentativas de login com credenciais corretas, mas de locais ou dispositivos desconhecidos. Especialistas acreditam que isso pode ser um indicativo de um ataque em larga escala conhecido como ‘credential stuffing’, onde atacantes utilizam combinações de e-mails e senhas obtidas em vazamentos de dados para tentar acessar contas. Embora o envio dos códigos não signifique que a conta foi comprometida, é um alerta de que as credenciais estão sendo testadas ativamente. A Microsoft recomenda que os usuários não respondam a códigos não solicitados e sugere a troca de senhas e a ativação da autenticação em múltiplos fatores como medidas de segurança adicionais.

Kamerin Stokes, de 23 anos, foi condenado a 30 meses de prisão por vender acesso a contas da DraftKings que foram hackeadas. O ataque, realizado por Nathan Austad e Joseph Garrison, comprometeu cerca de 68 mil contas em novembro de 2022, utilizando uma técnica chamada ‘credential stuffing’, que envolve o uso de credenciais roubadas de outras brechas. Os criminosos conseguiram roubar aproximadamente 635 mil dólares de cerca de 1.600 contas comprometidas. Stokes, que comprou as contas hackeadas e as revendeu, reabriu sua loja de fraudes após ser preso e admitiu ter operado esse tipo de negócio por três anos. Além da pena de prisão, ele foi condenado a pagar mais de 1,3 milhão de dólares em restituição. O caso destaca a vulnerabilidade de plataformas de apostas online e a necessidade de medidas de segurança robustas para proteger os dados dos usuários.

A PcComponentes, um importante varejista de tecnologia na Espanha, negou alegações de um vazamento de dados que afetaria 16 milhões de clientes, mas confirmou ter sofrido um ataque de credential stuffing. O ataque ocorreu quando um ator de ameaças, identificado como ‘daghetiaw’, publicou uma suposta base de dados de clientes da empresa, contendo 16,3 milhões de registros, e vazou 500 mil deles. Os dados expostos incluem informações pessoais como nomes, endereços, números de telefone e mensagens de suporte ao cliente. A empresa afirmou que não houve acesso não autorizado a seus sistemas e que os números de contas ativas são significativamente menores do que os alegados. A PcComponentes também revelou que o ataque foi realizado utilizando credenciais de login de outros vazamentos, coletadas de computadores infectados por malware. Em resposta, a empresa implementou medidas de segurança, como CAPTCHA nas páginas de login e a ativação obrigatória da autenticação de dois fatores (2FA) para todos os usuários. A PcComponentes recomenda que seus clientes utilizem senhas fortes e únicas e permaneçam atentos a possíveis tentativas de phishing.

O artigo aborda a crescente preocupação com o vazamento de credenciais na dark web, destacando que milhões de senhas e e-mails são expostos diariamente, muitas vezes devido a grandes violações de segurança em empresas. Para verificar se suas informações foram comprometidas, o texto apresenta ferramentas como ‘Have I Been Pwned’, que permite aos usuários checar se seus e-mails foram expostos em vazamentos. Além disso, navegadores como Chrome e Edge oferecem alertas sobre senhas vazadas, enquanto o Google anunciou uma ferramenta de monitoramento da dark web, que será descontinuada em 2026. O artigo também menciona o ‘credential stuffing’, uma técnica utilizada por cibercriminosos para explorar senhas vazadas em múltiplas plataformas. Após a confirmação de um vazamento, recomenda-se trocar senhas imediatamente, verificar regras de encaminhamento de e-mail e encerrar sessões em dispositivos. Para aumentar a segurança, o uso de gerenciadores de senhas, autenticação de dois fatores e aliasing de e-mail são sugeridos como medidas preventivas eficazes.

Um estudo da Beazley Security revelou que 48% dos ataques de ransomware têm início com o roubo de credenciais de VPN, um aumento alarmante de 38% em relação ao trimestre anterior. Os cibercriminosos utilizam técnicas como o credential stuffing para acessar redes privadas virtuais, explorando vulnerabilidades como a falta de Autenticação Multifator (MFA). Além disso, 23% dos ataques foram realizados através da exploração de serviços externos. A pesquisa também destacou que 65% dos sequestros digitais foram perpetrados por três grupos criminosos notórios. O aumento nos vazamentos de dados sensíveis, que subiu 11% em comparação ao trimestre anterior, gera preocupação entre especialistas em segurança. É fundamental que as empresas escolham cuidadosamente seus provedores de VPN e implementem medidas de segurança adicionais, como antivírus e políticas de proteção de dados, para mitigar esses riscos. O uso de VPNs, embora ofereça uma navegação mais segura, não garante proteção contra ataques de phishing e ransomware, exigindo uma abordagem holística de segurança digital.

Um vazamento massivo de dados, revelado por Troy Hunt, expôs mais de 183 milhões de credenciais de usuários do Gmail e de outros serviços de e-mail. O incidente, que ocorreu em abril de 2025, foi descoberto após Hunt cruzar informações de fóruns e bases de dados da dark web. Os dados comprometidos totalizam 3,5 terabytes e incluem não apenas senhas do Gmail, mas também credenciais de outros serviços como Amazon e Netflix, aumentando o risco de ataques de credential stuffing. Os infostealers, softwares maliciosos que capturam credenciais durante o login, são os responsáveis por essa violação. Embora o Google tenha negado uma violação específica em seus sistemas, a presença de quase 200 milhões de contas em bases de dados criminosas levanta preocupações sobre a segurança dos dados pessoais. O uso comum de senhas reutilizadas entre diferentes serviços amplifica o risco para os usuários. Especialistas alertam que a situação é alarmante, pois milhões de pessoas podem ter suas contas comprometidas sem saber. O incidente destaca a necessidade urgente de medidas de segurança mais robustas e conscientização sobre práticas seguras de gerenciamento de senhas.

Um aumento significativo nos ataques aos portais de login do Palo Alto Networks GlobalProtect foi registrado, com mais de 2.200 endereços IP únicos envolvidos em tentativas de acesso em 7 de outubro de 2025. A GreyNoise, empresa de monitoramento de cibersegurança, observou que o número de IPs únicos que realizavam varreduras nos portais subiu de aproximadamente 1.300 em 3 de outubro para mais de 2.200 em apenas quatro dias. Essa atividade sugere uma campanha de ‘credential stuffing’, onde listas extensas de credenciais, possivelmente obtidas de vazamentos anteriores, estão sendo utilizadas. A análise geográfica revelou que 91% dos IPs que realizavam as varreduras estavam localizados nos Estados Unidos, com outros clusters significativos no Reino Unido, Países Baixos, Canadá e Rússia. O aumento repentino de tentativas de login, que coincide com um evento semelhante de varredura em dispositivos Cisco ASA, indica uma possível coordenação entre os atacantes. Para mitigar esses ataques, recomenda-se que as organizações bloqueiem ou monitorem os IPs identificados pela GreyNoise, implementem autenticação multifatorial e revisem os logs de login em busca de combinações incomuns de nome de usuário e senha.