Por que todo admin é ‘/admin’? O segredo que hackers descobriram primeiro

Se você digita um slash e a palavra “admin” na URL de qualquer site aleatório, existe uma chance absurdamente alta de encontrar uma página de login. Parece brincadeira, mas é real.

Essa não é coincidência. É preguiça em estado puro.

Como começou essa bagunça

Lá nos anos 1990, quando a internet era jovem e ninguém pensava em segurança (spoiler: ninguém ainda pensa), os desenvolvedores precisavam de um lugar para “mexer nos botões” do site. Então criaram a pasta /admin.

Simples, óbvio, fácil de lembrar. Perfeito? Errado.

Quando o site cresceu e passou para outra pessoa, ela manteve /admin. A terceira pessoa também. Era o caminho do menor esforço.

O hacker entra em cena

Um belo dia, um hacker jovem digitou seusite.com.br/admin em um site aleatório. E ganhou acesso à página de login.

Digitou em outro site. Ganhou acesso de novo. E de novo. E de novo.

Não é nem preciso quebrar senha. O site está literalmente gritando: “Aqui está meu painel de controle!”

Bilhões em danos com uma barra e sete letras

Hackers começaram a vasculhar sites inteiros procurando por /admin. Quando encontravam, experimentavam senhas padrão: admin/admin, admin/123456, admin/password.

Funciona uma porcentagem envergonhosa de vezes.

Sites inteiros foram derrubados. Dados vazados. Cartões de crédito roubados. Tudo porque ninguém quis criar uma URL criativa para o admin.

A solução? Ninguém faz

Até hoje, em 2026, existem milhões de /admin, /administrator, /admin.php e /wp-admin expostos na internet.

Alguns têm proteção decente. Muitos não têm.

A lição que ninguém aprendeu: criatividade custa zero bytes.

Moral da história

O backdoor mais famoso da internet não é sofisticado, não é um exploit de zero-day, nem é “hacking” de verdade.

É apenas uma URL óbvia que ninguém teve criatividade para mudar.

Na próxima vez que seu site for “hackeado”, existe uma chance sólida de que o invasor apenas digitou /admin e acertou na primeira.

A internet é engraçada assim.