aa123: perguntas e respostas sobre o código que virou lenda

Quem nunca digitou “aa123” para testar um formulário?Ou usou como senha provisória em algum cadastro antigo?O código aparece em fóruns， em piadas de programador e até em listas de senhas mais usadas. Não é à toa: a combinação é curta， fácil de lembrar e parece inofensiva. Só que por trás dessa simplicidade existe uma história curiosa — e alguns riscos reais.Vamos direto ao ponto: “aa123” é um exemplo clássico de sequência previsível. Duas letras iguais seguidas de três números em ordem crescente. Para um humano， isso é moleza de lembrar. Para um algoritmo de força bruta， é quase um convite. Em testes de penetração， é comum encontrar sistemas que ainda aceitam esse tipo de senha. Um conhecido meu， analista de segurança。certa vez auditou uma rede interna e achou 47 contas com “aa123” como senha. O pior?O servidor de arquivos da diretoria estava entre elas.Por que “aa123” é tão usado?A resposta tem a ver com o cérebro humano. A gente tende a escolher padrões que minimizam o esforço cognitivo. Repetir a mesma letra e depois subir a sequência numérica é um atalho mental. É como andar de escada rolante em vez de subir a pé. Só que， em segurança digital， o atalho custa caro. Um estudo de 2022 sobre senhas vazadas mostrou que variantes de “aa123” aparecem em mais de 300 mil registros. Não é um caso isolado.

Ah， mas e o “aa123” como código de teste?Em desenvolvimento de software， é comum usar esse tipo de string para simular entradas. Em ambientes de homologação， tudo bem. O problema começa quando o código de teste vaza para produção. Já vi um caso em que o formulário de cadastro de uma clínica odontológica aceitava “aa123” como senha válida — e o sistema não exigia troca no primeiro acesso. Resultado: qualquer pessoa que soubesse o e-mail de um paciente poderia entrar na conta com essa senha padrão. A clínica só descobriu depois de um vazamento de dados.

Existe algum contexto em que “aa123” é aceitável?Sim， em ambientes controlados e isolados. Por exemplo。em um laboratório de informática onde as máquinas são reiniciadas a cada aula e não guardam dados sensíveis. Ou em um script de automação que roda em rede fechada. Fora disso， é pedir para ter dor de cabeça. A regra é simples: se a senha protege algo que você não quer perder， “aa123” não serve. Nem como piada.E o que dizer das políticas de senha que proíbem “aa123”?Elas existem por um motivo. Muitos sistemas hoje usam listas de senhas comuns para bloquear combinações óbvias. O “aa123” está quase sempre nessas listas. Se o seu sistema ainda aceita， talvez seja hora de revisar as regras de complexidade. Não precisa exigir 20 caracteres com símbolos e emojis — basta bloquear padrões previsíveis e exigir um comprimento mínimo razoável.

Curiosamente， “aa123” também virou meme entre programadores. Em fóruns como o Stack Overflow， é comum ver piadas do tipo “minha senha é aa123。mas não conto para ninguém”. A brincadeira revela uma verdade incômoda: muita gente ainda trata segurança como detalhe. Um amigo que trabalha em suporte técnico conta que já atendeu um cliente que usava “aa123” como senha do internet banking. O cliente argumentou: “ninguém vai adivinhar， é só um código bobo”. Não é bem assim.

Para fechar， vale um exercício rápido. Pense nas senhas que você usa hoje. Alguma delas segue um padrão parecido com “aa123”?Se sim， troque agora. Não precisa entrar em pânico， mas também não dá para ignorar. A boa notícia é que criar senhas fortes ficou mais fácil com gerenciadores de senhas. A combinação “aa123” pode até continuar existindo como curiosidade histórica — só não como sua proteção digital.