Manter a senha padrão de fábrica em roteadores, switches, câmeras de monitoramento ou dispositivos inteligentes equivale a deixar a porta da sua residência ou empresa destrancada com uma placa indicando como entrar. Listas completas com usuários e senhas de fábrica de centenas de fabricantes estão publicamente disponíveis na internet e são incorporadas a softwares automatizados de varredura global. Dispositivos instalados com credenciais pré-configuradas tornam-se presas fáceis de invasores e redes maliciosas em questão de minutos após serem conectados à rede.
Como operam os robôs de varredura global
Na internet contemporânea, invasões a equipamentos de rede doméstica e corporativa raramente são conduzidas manualmente por uma pessoa olhando para o seu endereço IP. O processo é industrializado e ininterrupto:
- Mapeamento contínuo: robôs espalhados por servidores em todo o planeta escaneiam milhões de faixas de IP por segundo à procura de portas administrativas abertas (como HTTP, HTTPS, SSH e Telnet).
- Dicionários de fábrica: ao detectar um dispositivo conectado, o robô testa instantaneamente um banco de dados com centenas de combinações padronizadas de fabricantes conhecidos (como "admin/admin", "admin/password", "root/toor", "user/1234").
- Sequestro imediato: se a senha não tiver sido alterada na primeira instalação, o invasor obtém controle administrativo completo do aparelho, alterando configurações de DNS, inserindo códigos maliciosos ou recrutando o hardware para redes zumbis (botnets).
O caso histórico da botnet Mirai demonstrou a escala desse perigo ao derrubar serviços vitais da internet mundial operando exclusivamente a partir de centenas de milhares de câmeras e roteadores que mantinham as senhas de fábrica programadas pelos fabricantes.
Por que tantos aparelhos continuam com senhas originais?
A permanência de credenciais padrão decorre principalmente de conveniência durante a instalação ou de esquecimento por parte de instaladores não especializados:
- Instalações aceleradas: prestadores de serviço focados apenas em concluir a instalação física deixam as configurações de fábrica para evitar chamados de suporte por perda de senha.
- Roteadores de borda e switches secundários: usuários costumam lembrar de alterar a senha do Wi-Fi, mas esquecem que o painel interno de administração do roteador continua protegido pela senha impressa na etiqueta traseira.
- Dispositivos invisíveis: pontos de acesso, centrais de alarme, impressoras corporativas e nobreaks inteligentes possuem interfaces de gerenciamento na rede local que raramente são auditadas após a entrega da obra.
Boas práticas para reduzir o risco na sua infraestrutura
A segurança de uma rede doméstica de alto padrão ou empresarial exige a erradicação de qualquer credencial padrão por meio de uma política consistente:
1. Troca obrigatória no primeiro comissionamento
Nenhum equipamento deve ser colocado em operação definitiva sem que o usuário administrativo padrão seja desativado ou renomeado e uma nova credencial robusta seja aplicada.
2. Padrão de complexidade de senhas
Adote senhas longas e únicas para cada equipamento. O NIST SP 800-63B-4 (julho de 2025) define o mínimo de 15 caracteres quando a senha é o único fator de autenticação e desaconselha regras de composição, como exigir maiúsculas e símbolos; recomendamos ao menos 16 caracteres. Uma abordagem recomendada é o uso de passphrases (frases-senha compostas por quatro ou cinco palavras aleatórias e fáceis de memorizar e muito difíceis de quebrar por força bruta).
3. Uso de cofres digitais de senhas
Para residências com muitos aparelhos ou empresas com múltiplos switches e pontos de acesso, armazene as credenciais em um gerenciador seguro de senhas com criptografia ponta a ponta e acesso protegido por biometria e autenticação em dois fatores (2FA). Evite anotar senhas em etiquetas coladas nos próprios equipamentos.
4. Bloqueio de interfaces de gestão externa
Certifique-se de que a interface de configuração administrativa do roteador e dos switches esteja acessível estritamente a partir da rede local de gerenciamento, desativando completamente a opção de "Gerenciamento Remoto via WAN" para a internet pública.
5. Atenção à exposição de serviços no IPv6
Ao habilitar IPv6, switches e roteadores recebem endereços globais roteáveis. Se serviços de gerenciamento (HTTP, HTTPS ou SSH) estiverem escutando em todas as interfaces (::) e mantiverem credenciais fracas, eles ficam vulneráveis a varreduras externas caso o firewall de borda não aplique a regra de descarte padrão (veja o artigo NAT não é firewall: mitos de segurança e a falsa sensação de proteção).
Precisa de ajuda?
Para realizar uma auditoria de senhas e verificar as credenciais e interfaces administrativas de todos os equipamentos da sua rede, entre em contato com nossa equipe na página de contato.
Fontes
- https://cartilha.cert.br/senhas/ — Cartilha de Segurança para Internet do CERT.br/NIC.br com diretrizes para criação e gestão de senhas seguras. (consultado em 2026-10-05)
- https://owasp.org/www-project-top-ten/ — OWASP Top 10 sobre falhas de identificação e autenticação e uso de senhas padrão conhecidas. (consultado em 2026-10-05)
- https://csrc.nist.gov/pubs/sp/800/63/b/4/final — NIST SP 800-63B-4: Digital Identity Guidelines (Authentication and Authenticator Management), versão final de julho de 2025. (consultado em 2026-10-15)