A análise detalhada dos caracteres utilizados mostra que os utilizadores tendem a ser pouco criativos nas suas escolhas. O símbolo "@" (arroba) lidera a lista de caracteres especiais, surgindo em 10% das passwords que contêm apenas um símbolo, seguido pelo ponto final e pelo ponto de exclamação. Quanto aos números, 53% das credenciais terminam com dígitos e 17% começam com eles, revelando padrões que as ferramentas de ataque já estão programadas para explorar prioritariamente. Além disso, sequências de teclado óbvias como "qwerty" e datas de nascimento continuam a ser escolhas prevalentes em todo o mundo.
Curiosamente, a cultura da internet e o estado emocional dos utilizadores também influenciam a criação de chaves de acesso. Termos positivos como "love", "magic" e "star" são extremamente comuns, mas o destaque vai para a adoção de tendências virais passageiras. O uso da palavra "Skibidi", por exemplo, aumentou 36 vezes no período analisado, acompanhando a sua popularidade online. Em Portugal, a falta de cuidado é ainda mais evidente, com a palavra "admin" a liderar as escolhas nacionais em 2025, seguida pelas tradicionais sequências numéricas "123456" e "123456789".
O advento da Inteligência Artificial mudou drasticamente as regras do jogo no que toca ao comprimento e complexidade das credenciais. Embora passwords mais longas sejam geralmente mais seguras, a IA permite agora que mais de 20% das combinações com 15 caracteres sejam quebradas em menos de um minuto, caso sigam padrões linguísticos ou estruturais previsíveis. Utilizando o poder de processamento de hardware moderno, como uma única GPU RTX 5090, os atacantes conseguem testar biliões de combinações de forma sistemática, tornando obsoleto o esforço de apenas adicionar um número ao final de uma palavra comum.
Para garantir uma proteção robusta, os especialistas recomendam a utilização de frases complexas que combinem várias palavras não relacionadas, números e símbolos intercalados no meio do texto, idealmente com erros ortográficos propositados. A password ideal deve ter pelo menos 16 caracteres e ser estritamente única para cada serviço utilizado. Para gerir esta complexidade sem falhas de memória, o uso de gestores de passwords e a ativação obrigatória da autenticação de dois fatores (2FA) são apontados como as medidas mais eficazes para prevenir o acesso não autorizado a contas pessoais e profissionais.
Em suma, o estudo da Kaspersky reforça que a segurança digital em 2026 não depende apenas de cumprir requisitos mínimos impostos pelos sites, mas de uma mudança profunda de hábitos. A automatização e a IA estão a tornar os ataques cada vez mais rápidos e precisos, exigindo que o utilizador deixe de confiar na sua intuição para criar códigos. Manter-se seguro requer agora uma abordagem proativa onde a aleatoriedade é a melhor defesa, utilizando ferramentas de geração automática para criar barreiras que resistam ao poder de computação dos cibercriminosos.
