Ensinei 41 alunos do ensino médio a proteger senhas na era da IA: o que funcionou, o que os dados mostraram e o que eu faria diferente
Na sexta-feira, 06/11/2026, eu e o Bruno Alves Peres, meu aluno do 4º semestre de Sistemas de Informação, ministramos a oficina "Cofre na mão, chave na cabeça: oficina prática de cuidado com senhas na era da inteligência artificial" na XIII JEnPEx (Jornada de Ensino, Pesquisa e Extensão) do IFMT Campus Pontes e Lacerda – Fronteira Oeste.
O público foi de 41 estudantes do ensino médio, incluindo alunos que vieram de Vale de São Domingos (MT). Foram três horas no laboratório: eles assistiram à parte expositiva, responderam formulários e, na maior parte do tempo, colocaram a mão na massa nos computadores.
Escrevo este post por três motivos: compartilhar o conteúdo, mostrar os dados que coletamos e deixar um roteiro para quem quiser replicar a oficina na sua escola, faculdade ou empresa.
Por que uma oficina sobre senhas em 2026?
Porque o problema continua o mesmo, e a IA deixou o ataque mais barato.
Abrimos com uma frase que virou o fio condutor da manhã: "Ninguém hackeou sua senha. Você a entregou." Mostramos manchetes reais de 2026 sobre malware no celular, senhas salvas no navegador, credenciais deixadas à mostra e senhas usadas como isca de golpe. Nenhum desses casos precisou de um gênio hacker.
Para mostrar que uma senha tem valor real, usamos o caso da C&M Software (julho de 2025): um login e uma senha vendidos por R$ 15 mil abriram caminho para o desvio de R$ 800 milhões via Pix. Com credenciais válidas, o sistema não viu nada de estranho.
Os 4 caminhos até a sua senha
Apresentamos os vetores mais comuns de forma simples:
- Phishing: um link falso imita o banco ou o gov.br, e a própria pessoa digita a senha.
- Infostealer: um programa pirata ou um anexo rouba as senhas salvas no navegador.
- Reutilização (credential stuffing): a senha vaza em um site e é testada automaticamente em todos os outros.
- Força bruta: placas de vídeo e modelos de IA testam bilhões de palpites por segundo.
Onde a IA entra
O exemplo que mais impactou a turma foi o PassGAN, uma rede generativa adversarial (GAN) que aprendeu com senhas vazadas como as pessoas criam senhas. No teste da Home Security Heroes (2023), com 15,6 milhões de senhas da base RockYou:
| Tempo | Senhas quebradas |
|---|---|
| até 1 minuto | 51% |
| até 1 hora | 65% |
| até 1 dia | 71% |
| até 1 mês | 81% |
O ponto aqui não é que "a IA é mágica". O ponto é que padrões humanos são previsíveis. Trocar "a" por "@" ou "o" por "0" não engana mais ninguém: dicionários e modelos já aprenderam essas regras. Mostramos o ranking da NordPass (2025) com as senhas mais usadas no Brasil: admin e 123456 lideram, com milhões de ocorrências, e senhas "fortes só na aparência", como Admin@123 e P@ssw0rd, aparecem logo atrás.
Mesmo tamanho, destinos opostos
Para mostrar que comprimento e aleatoriedade importam mais do que "ter símbolo", usamos as estimativas da Hive Systems (2025/2026), com hashes bcrypt de fator 10 atacados por placas RTX 5090:
| Senha | Tempo estimado |
|---|---|
8 dígitos aleatórios (20102030) | 15 minutos |
| 8 letras minúsculas aleatórias | ~2 semanas |
8 caracteres mistos previsíveis (Admin@12) | ~3 segundos |
8 caracteres mistos aleatórios (k#9Tq!2v) | 132 anos |
| 15 caracteres mistos, sem padrão | 14 bilhões de anos |
A regra de ouro que fixamos foi comprimento + aleatoriedade. O NIST SP 800-63B (2025) recomenda no mínimo 15 caracteres quando a senha é o único fator de autenticação. Uma frase-senha como cavalo-lanterna-pequi-trovão é fácil de lembrar e muito mais difícil de quebrar do que M@ria2004.
Hora de testar: a aplicação do Bruno
Uma das partes mais legais foi a demonstração ao vivo da aplicação que o Bruno desenvolveu (ps-search-rho.vercel.app). Com ela, os alunos consultaram se o próprio e-mail ou a própria senha já tinham aparecido em vazamentos.
Aproveitamos para explicar o detalhe técnico que costuma passar despercebido: a senha é transformada em hash (SHA-1) antes da consulta, então a senha em texto puro não trafega. Ver o próprio e-mail aparecer numa lista de vazamentos teve mais efeito do que qualquer slide.
O gerenciador de senhas: você decora uma, o cofre guarda o resto
A proposta central foi tirar das pessoas a tarefa impossível de decorar dezenas de senhas fortes. Com um gerenciador, cada conta pode ter uma senha longa, aleatória e única, e se uma vazar as outras continuam seguras.
Comparamos Bitwarden e Google Senhas sem fanatismo. A conclusão foi que o melhor gerenciador é o que você realmente vai usar todos os dias. Na prática, usamos o Bitwarden, em 5 passos:
- Acessar bitwarden.com ou baixar o app.
- Criar a conta com um e-mail.
- Usar uma frase-senha como senha-mestra.
- Instalar a extensão no navegador.
- Gerar e salvar a primeira senha.
Importante: no laboratório, todos usaram contas e senhas de teste. As contas reais, só no celular de cada um. Isso precisa ser regra em qualquer oficina desse tipo.
Para explicar o conceito de conhecimento zero (zero-knowledge), usamos uma analogia que os alunos já conheciam: a criptografia de ponta a ponta do WhatsApp. Nos dois casos, o servidor só guarda ou transporta algo que não consegue ler. A chave nunca sai do seu aparelho.
Mas o cofre é mesmo inviolável?
Não quisemos vender o gerenciador como bala de prata. Mostramos as notícias de fevereiro de 2026 sobre a pesquisa da ETH Zurich, que descreveu ataques contra gerenciadores populares (12 no Bitwarden, 7 no LastPass e 6 no Dashlane), e o histórico do LastPass, cujos cofres criptografados roubados vêm sendo atacados offline desde 2022.
Em seguida, projetamos uma simulação de terminal em que um invasor baixa o cofre, quebra uma senha-mestra fraca (M@ria2004) e extrai 247 senhas. A pergunta que ficou no ar foi: e se o cofre vazar?
A solução: cofre na mão, chave na cabeça
É aqui que entra a técnica que deu nome à oficina, a chave mental. A ideia é simples:
Salvo no gerenciador: f}[jKE4_7£9£
Só na sua mente: Segu … rança
Senha digitada no site: Seguf}[jKE4_7£9£rança
O gerenciador guarda a parte longa e aleatória. Você completa com um trecho que nunca foi salvo em lugar nenhum. Se o cofre vazar, o invasor leva só a parte do meio.
Para os alunos de técnico e para os curiosos, fizemos a ponte com o conceito de salt e pepper em bancos de dados:
- Salt é um valor aleatório, diferente para cada usuário e guardado junto do hash. Não é segredo: serve para que senhas iguais gerem hashes diferentes.
- Pepper é um valor secreto guardado fora do banco. Se o banco vazar, falta um pedaço do segredo.
A chave mental é, na prática, um pepper aplicado por você. Na documentação técnica, essa ideia aparece como password peppering ou "senha de duplo cego" (o Bitwarden usa esse termo).
A segunda tranca: verificação em duas etapas
Fechamos com a verificação em duas etapas, do método mais fraco ao mais forte:
- SMS: melhor do que nada, mas vulnerável à clonagem do chip.
- App autenticador: código que muda a cada 30 segundos, gerado no celular.
- Chave de acesso (passkey): login com digital ou rosto, resistente a phishing.
A orientação prática foi ativar primeiro no e-mail, porque ele recupera todas as outras contas, e guardar os códigos de recuperação.
O que os dados mostraram
Aplicamos um formulário anônimo no início da oficina, com a proposta de repetir as mesmas perguntas no final. Recebemos 27 respostas dos 41 participantes. Um alerta metodológico: 25 dessas respostas foram dadas no início, então os números abaixo são um retrato de antes da oficina, não uma comparação de antes e depois.
Reutilização e qualidade das senhas:
- 93% repetem a mesma senha (ou uma parecida) em mais de um site (25 de 27). Só 2 pessoas usam uma senha diferente para cada conta.
- 48% usam nome, data de nascimento ou sequências como "123" (13 de 27).
- 52% têm a senha do e-mail principal com menos de 12 caracteres, e outros 19% não sabem quantos caracteres ela tem. Só 2 pessoas disseram usar 15 ou mais.
Onde as senhas ficam guardadas (cada pessoa podia marcar mais de uma opção):
| Local | % das respostas |
|---|---|
| Gerenciador de senhas | 52% |
| Salvas no navegador | 44% |
| Bloco de notas ou print no celular | 41% |
| Só na memória | 37% |
| Papel ou caderno | 22% |
O que já ajudava:
- 78% disseram ter a verificação em duas etapas ativada no e-mail.
- 70% disseram usar algum gerenciador de senhas hoje, muitas vezes o do próprio navegador ou celular.
Achei esse contraste a parte mais interessante: a maioria já tem as ferramentas, mas continua reutilizando senhas e usando padrões previsíveis. O problema não é falta de ferramenta, é falta de hábito e de entendimento do porquê.
Percepção de segurança: a média de quão seguras os alunos consideravam as próprias contas foi 3,5 de 5.
Avaliação da oficina: nota média 4,9 de 5 (25 respostas), com 23 notas máximas.
Algumas respostas para a pergunta "O que você vai mudar a partir de hoje?":
"Usar mais caracteres, tirar aniversários e apelidos. Usar senhas diferentes em todos os aplicativos e não usar números repetidos."
"Vou passar a colocar senhas mais fortes em meus e-mails e apps."
"Reforçar a segurança das minhas senhas, evitar clicar em links suspeitos e ter mais atenção para não cair em golpes de hackers."
O que eu faria diferente
Para quem quiser replicar, ficam algumas lições:
- Aplicar o formulário final antes do encerramento, ainda dentro do tempo da oficina. Deixamos para o fim e quase ninguém respondeu, o que impediu a comparação de antes e depois, que seria o dado mais valioso.
- Contas de teste são inegociáveis. Ninguém deve digitar a senha real do e-mail num computador de laboratório.
- Mostrar o vazamento do próprio e-mail funciona mais do que qualquer estatística. O momento da aplicação do Bruno foi o de maior engajamento.
- Ser honesto sobre os limites das ferramentas aumenta a confiança. Falar das falhas dos gerenciadores não afastou os alunos: deu mais sentido à chave mental.
Plano para levar para casa
Terminamos com cinco passos simples, e deixo aqui para quem estiver lendo:
- Criar a senha-mestra com uma frase-senha de 4 ou mais palavras.
- Ativar a verificação em duas etapas no e-mail e no gerenciador.
- Trocar hoje as senhas que apareceram em vazamentos.
- Deixar o cofre gerar senhas únicas para cada conta.
- Aplicar a chave mental nas contas críticas: e-mail, banco e gov.br.
Um passo por dia já muda muita coisa.
Agradecimentos
Agradeço aos 41 estudantes pela participação e pelo interesse, à organização da XIII JEnPEx e ao IFMT Campus Pontes e Lacerda – Fronteira Oeste pelo espaço, e ao Bruno pela parceria e pelo excelente trabalho na demonstração ao vivo.
Se você trabalha com educação ou segurança e já fez algo parecido, quero saber nos comentários: que estratégias funcionaram para mudar o hábito das pessoas, e não só a informação que elas têm?
Fontes citadas na oficina
- Hitaj et al. (2019). PassGAN: A Deep Learning Approach for Password Guessing.
- Home Security Heroes (2023). Teste do PassGAN com 15,6 milhões de senhas da base RockYou.
- Hive Systems (2025, 2026). Password Table (bcrypt fator 10, RTX 5090).
- NIST SP 800-63B (2025). Digital Identity Guidelines.
- NordPass (2025). Senhas mais comuns no Brasil (dados de set. 2024 a set. 2025).
- IstoÉ Dinheiro e Canaltech (2025). Caso C&M Software.
- Canaltech (20/02/2026), Desbugados (18/02/2026) e Olhar Digital (23/06/2026). Pesquisa da ETH Zurich sobre gerenciadores de senhas e vazamentos do LastPass.
- Verizon DBIR (2025). Abuso de credenciais como vetor inicial mais comum (22% das violações).
- TechTudo (23/01/2026), Olhar Digital (17/06/2026), Revista Segurança Eletrônica (03/11/2026) e g1 (05/11/2026). Manchetes usadas na abertura.