“admin” é a password mais usada em Portugal — e o problema é maior do que pensas

Se a tua palavra-passe é “admin”, temos de falar.

Não é força de expressão: segundo o mais recente estudo anual da NordPass, essa é mesmo a password mais usada em Portugal em 2025, destronando a clássica “123456”. E se isto te faz revirar os olhos… ótimo. Mas também é bem provável que tenhas, algures por aí, uma password que não é muito melhor.

Vamos pegar nos dados, traduzi-los para linguagem do dia a dia e, sobretudo, perceber como é que continuamos a falhar num básico da vida digital: proteger as nossas contas.

“admin” no topo em Portugal: o problema começa logo na porta de entrada

A NordPass analisou as 200 palavras-passe mais comuns, a nível global e em 44 países. Em Portugal, o top 20 é um pequeno museu do horror da cibersegurança. Eis algumas das estrelas:

1. admin

2. 123456

3. 123456789

4. 12345678

5. 12345

6. password
   …

7. sporting

8. benfica

9. 1qazxsw2

Ou seja:

• sequências numéricas triviais,

• a palavra “password” (com P grande ou pequeno, como se isso mudasse alguma coisa),

• clubes de futebol,

• e combinações de teclado óbvias como “1qazxsw2”.

Tudo isto são passwords que um atacante consegue testar em segundos com ferramentas automáticas. Não é necessário ser um génio do mal. Basta ser preguiçoso… como muitos de nós a criar passwords.

Geração Z, Millennials, Boomers: todos igualmente maus

Uma parte curiosa do estudo deste ano é a análise por gerações. Spoiler: ninguém sai bem na fotografia.

• Em todas as faixas etárias, “12345” e “123456” continuam a aparecer no topo.

• A diferença está mais no estilo do que na segurança:

  • Gerações Z e Y (mais novas) raramente usam nomes; preferem coisas como “1234567890” ou palavras da moda tipo “skibidi”.

  • A partir da Geração X para cima, começam a surgir mais nomes próprios nas passwords, muitas vezes de pessoas da família.

  • Entre os Baby Boomers, o nome “Maria” é dos mais usados como password. Na Geração Silenciosa, aparece “Susana”.

Ou seja, o tal “nativo digital” que cresceu com smartphone na mão não é, por si só, mais cuidadoso. Usa as mesmas más práticas, só que embrulhadas em referências mais modernas.

Números, letras… e agora símbolos – mas quase sempre mal usados

O estudo também detetou um aumento no uso de caracteres especiais. Este ano, 32 das palavras-passe mais comuns a nível mundial incluem símbolos, quando no ano passado eram apenas seis.

Boa notícia? Mais ou menos.
Na prática, a maioria é qualquer coisa como:

• P@ssw0rd

• Admin@123

• Abcd@1234

Ou seja, continuam a ser padrões extremamente fáceis de adivinhar, só com uma maquilhagem ligeira: trocar “a” por “@”, “o” por “0”, adicionar “123” ao fim. Para um algoritmo de ataque, isto é básico.

Mais de metade das passwords mais usadas no mundo continuam a ser combinações diretas de teclado: “qwerty”, “1q2w3e4r5t”, “123456789” e por aí fora.

Porque é que isto interessa mesmo?

Porque, segundo a própria NordPass, cerca de 80% das violações de dados têm origem em palavras-passe:

• fracas,

• comprometidas,

• ou reutilizadas em vários serviços.

A equação é simples:

• Um site sofre uma fuga de dados.

• As tuas credenciais aparecem num conjunto de milhões de logins roubados.

• Alguém tenta as mesmas combinações em e-mail, redes sociais, banco, serviços de streaming, lojas online, etc.

• Se reutilizaste a password… o resto faz-se sozinho.

E, no meio disto, não adianta muito culpar “hackers sofisticados” quando a password é “porta123” ou “jorge123456”.

O futuro é das passkeys — mas, até lá, a password ainda manda

É verdade que o mundo caminha para soluções sem palavra-passe, como as chaves de acesso (passkeys) baseadas em biometria (impressão digital, reconhecimento facial). Mas esse futuro ainda não é universal e, durante largos anos, vamos continuar a viver num cenário híbrido:

• algumas contas com login via passkey;

• muitas outras ainda dependentes de passwords clássicas.

Enquanto isso, as tuas melhores defesas continuam a ser boas palavras-passe, um gestor credível e autenticação multifator.

Como criar passwords fortes sem perder a sanidade

Vamos ao que interessa: o que é que podes fazer hoje para não entrar na lista das 200 piores?

1. Esquece “123456” e companhia

Regra de ouro: Se consegues dizer a tua password em voz alta sem te sentires minimamente ridículo, provavelmente é má.

Evita:

• sequências (123456, abcdef, qwerty);

• nomes próprios simples (teus, de filhos, de parceiros);

• clubes, datas de nascimento, locais óbvios.

2. Usa frases-passe longas

Uma password forte não precisa de ser impossível de memorizar. Pensa em frases em vez de palavras:

• Gosto_de_café_ás_7h_da_manhã!
• O_meu_cão_adora_roubar_meias_#2025

Misturas:

• letras maiúsculas e minúsculas,

• números,

• símbolos,

• e ficas logo com algo muito mais difícil de quebrar.

Idealmente, fala-se em 20 caracteres ou mais.

3. Uma password por conta. Sempre.

Usar a mesma password em tudo é pedir problemas.
Regra simples: 1 serviço = 1 palavra-passe.

De outra forma, basta um único site ser comprometido para abrir a porta a todos os outros.

4. Usa um gestor de palavras-passe

Ninguém consegue inventar e decorar dez, vinte ou cinquenta passwords robustas. Por isso é que existem gestores de passwords:

• geram passwords aleatórias e longas;

• guardam-nas encriptadas;

• preenchem automaticamente nos sites e apps;

• avisam-te quando estás a reutilizar passwords ou se alguma foi exposta.

É aqui que ferramentas como a da NordPass se posicionam, mas o importante é escolheres um gestor fiável e passares a centralizar lá a tua “vida de logins”.

5. Ativa sempre a autenticação multifator (MFA)

Mesmo que alguém descubra a tua password, a MFA pode bloquear o acesso.
Pode ser:

• código via app

• chave de segurança física

• notificação push no telemóvel

Dá mais um clique, mas evita muitas dores de cabeça.

Conclusão: a tecnologia evolui, os nossos hábitos nem por isso

O estudo da NordPass mostra duas coisas ao mesmo tempo:

1. Há sinais tímidos de evolução (mais caracteres especiais, alguma complexidade extra).

2. Mas no essencial, continuamos agarrados a padrões frágeis, repetitivos e fáceis de explorar.

Não precisas de ser especialista em cibersegurança para melhorar radicalmente a tua proteção online. Basta:

• abandonares as passwords “preguiçosas”,

• começares a usar um gestor,

• ativares MFA onde for possível,

• e parares de achar que “isto nunca me vai acontecer”.

Porque, se a tua password ainda é “admin” ou “123456”, a verdadeira surpresa não é se um dia fores atacado.
É como é que isso ainda não aconteceu.