Password managers são ótimos — e continuam sendo uma das melhores defesas contra reutilização de senha.
Mas uma pesquisa recente mostra que a promessa de “zero knowledge” (conhecimento zero) pode falhar em cenários específicos, principalmente quando recursos como recuperação de conta, grupos e compartilhamento estão habilitados.
Aqui vai o que a notícia afirma com segurança e um checklist prático para reduzir risco sem paranoia.
Password managers saíram do nicho e viraram ferramenta básica de segurança para milhões de pessoas. Eles guardam bem mais do que senhas: dados bancários, e-mails, cartões e até credenciais de cripto. E, para tranquilizar o usuário, quase todos os grandes fornecedores adotaram o termo “zero knowledge” (sem sua senha ninguém abre) para dizer, em resumo: “nem a empresa consegue ver seu cofre — e mesmo que o servidor seja comprometido, o atacante não consegue ler”.
A matéria traz um choque de realidade: uma pesquisa de pesquisadores da ETH Zurich e da USI Lugano analisou Bitwarden, Dashlane e LastPass e descreveu 25 ataques em um modelo de ameaça específico: quando o servidor (ou quem controla o servidor) se comporta de forma maliciosa. Esse modelo é uma barra alta — mas é plausível, e os próprios pesquisadores defendem isso citando histórico de incidentes e a atratividade desses alvos para atacantes sofisticados.
O ponto central não é “password manager é ruim”. É este: algumas funções, quando habilitadas, podem abrir caminhos inesperados que enfraquecem o “zero knowledge” prometido.
A notícia deixa claro que os ataques aparecem com mais força quando o usuário (ou a empresa) usa funcionalidades como:
Se você usa o app “solo”, sem compartilhamento e sem recuperação habilitada, a superfície descrita tende a ser menor (a própria matéria sugere que “quase todos” ficam vulneráveis apenas quando certos recursos estão ligados).
Analogia curta: é como um prédio com porta blindada (criptografia forte), mas com uma entrada de serviço (recuperação/compartilhamento) que às vezes não tem a mesma rigorosidade de verificação. A porta da frente continua boa — o problema é a rota alternativa.
A matéria descreve um padrão recorrente: falta de autenticação/checagem de integridade em informações críticas que o cliente recebe do servidor. Em linguagem simples: o cliente confia demais no que o servidor “fala”.
Alguns exemplos citados:
Além disso, a matéria cita categorias de ataques que não dependem apenas de recuperação/compartilhamento:
Um detalhe importante da matéria: várias correções já foram feitas ou estão em andamento após os pesquisadores reportarem os problemas. E os fornecedores citados defendem que fazem auditorias e testes; ao mesmo tempo, a pesquisa mostra que auditoria “clássica” pode não focar no cenário de servidor malicioso.
✅ Revise recursos “sensíveis” (principalmente em empresa):
✅ Trate “cliente desatualizado” como risco real:
✅ Fortaleça o básico que não depende do fornecedor:
✅ Gestão de risco (sem drama):
🛡️ Como a Neologik ajuda: Neologik Safe — ajudamos a transformar “configuração segura” em rotina: governança de identidade/acesso, revisão de controles e monitoramento para detectar sinais de abuso cedo.
(https://neologik.com.br/solucoes#safe)
[Ars Technica] (17/02/2026) — https://arstechnica.com/security/2026/02/password-managers-promise-that-they-cant-see-your-vaults-isnt-always-true/
