Durante uma hora, mais de 60 % das senhas são desbloqueadas a partir do hash MD5 usando apenas uma GeForce RTX 5090

Como é possível quebrar rapidamente senhas MD5: resultados da pesquisa do Laboratório Kaspersky

*Em 2024, pesquisadores do Laboratório Kaspersky analisaram mais de 231 milhões de senhas roubadas coletadas em vazamentos na dark web. Após o hash delas com o algoritmo MD5, descobriu-se que:*

- 60 % das senhas podem ser quebradas em menos de uma hora.

- 48 % já em um minuto.

*Para isso basta uma única placa de vídeo Nvidia GeForce RTX 5090.*

Por que é tão rápido
1. Baixa complexidade do MD5

O algoritmo MD5 tem sido considerado obsoleto há muito tempo; seus hashes são fáceis de enumerar com GPUs modernas.

2. Otimização para senhas específicas

A análise de mais de 200 milhões de senhas revelou padrões (templates frequentes, palavras simples, etc.) que reduzem o tempo de busca.

3. Crescimento da potência dos processadores gráficos

Desde a primeira pesquisa em 2024, a performance das GPUs aumentou significativamente, enquanto as próprias senhas não ficaram mais difíceis.

O que isso significa para os usuários
- Senhas protegidas apenas por hashes MD5 já não são confiáveis. Se um atacante obtiver uma delas de um vazamento, ele pode acessar rapidamente contas.

- Hackers profissionais podem alugar potência GPU em provedores de nuvem, então mesmo placas baratas representam risco.

Por que o problema é mais complexo do que “mudar para SHA”
Especialistas da The Register apontam vários fatores:

1. Falta de conscientização

Usuários e organizações sabem pouco sobre os riscos de senhas fracas.

2. Requisitos de senha fracos

Em muitas plataformas, as regras permanecem suaves, sem exigir comprimento, complexidade ou atualização regular.

3. Ausência de medidas adicionais de proteção

- Autenticação de dois fatores (2FA) ainda é vista como “suficiente”; biometria é considerada o segundo fator mais confiável.

- Sistemas nem sempre protegem contra movimentação horizontal do atacante após a intrusão inicial.

O que pode ser feito
- Migrar para hashes mais resistentes (bcrypt, Argon2) e usar sal.

- Implementar regras de senha rigorosas: mínimo 12 caracteres, combinação de letras, números e símbolos especiais.

- Exigir autenticação de dois fatores, preferencialmente com biometria ou tokens físicos.

- Auditorias regulares de segurança e treinamento de pessoal.

Assim, mesmo senhas MD5 simples já representam uma ameaça séria. Medidas de proteção abrangentes são a única forma de reduzir o risco de ataques cibernéticos nas condições atuais.