Sim: dá para descobrir se a sua senha vazou, ou se o seu e-mail aparece em algum incidente, de graça e sem instalar nada. O caminho mais direto é consultar o Have I Been Pwned, serviço público de referência que reúne registros de 17,8 bilhões de endereços de e-mail expostos em vazamentos, catalogados a partir de mais de mil serviços invadidos. Se o resultado vier positivo, a sequência certa é trocar a senha da conta afetada e de todos os lugares onde ela foi reutilizada, e só depois ativar a verificação em duas etapas. Este guia mostra os 5 passos, o que cada resultado significa e como impedir que o problema se repita.
Por que o vazamento te alcança
A maioria das invasões de conta não depende de engenharia sofisticada: depende de senha reutilizada. Quando um serviço é invadido, pares de e-mail e senha entram em listas que golpistas testam de forma automática em bancos, redes sociais e lojas. Por isso o vazamento de um site pequeno, que você talvez nem lembre de ter cadastrado, pode abrir a porta do seu e-mail principal. A página do serviço Pwned Passwords resume o mecanismo: invasores automatizam tentativas de login com credenciais vazadas de outros sites, explorando justamente o hábito de repetir a mesma senha. Conhecido o problema, o remédio é específico: descobrir o que já vazou e cortar o reuso.
Como checar seu email hoje
A checagem leva poucos minutos e não exige cadastro. Siga os 5 passos nesta ordem:
- Acesse o Have I Been Pwned e digite o endereço completo, sem abreviações, no campo de busca da página inicial, e confirme a consulta.
- Leia a lista de incidentes com calma: cada linha mostra o nome do serviço invadido, a data do vazamento e quais tipos de dados foram expostos, o que muda a urgência da resposta.
- Se quiser testar uma senha antiga, use o Pwned Passwords em vez de digitar a senha em qualquer outro site desconhecido que prometa o mesmo serviço.
- Anote em um papel ou aplicativo de notas todos os serviços onde você usou a senha repetida, incluindo contas antigas usadas como e-mail de recuperação.
- Programe a troca começando pelas contas financeiras e pelo e-mail principal, que concentram os danos mais graves.
Há um detalhe de privacidade que tranquiliza quem tem receio de digitar dados em sites de segurança: no serviço do Have I Been Pwned, apenas 5 caracteres do hash SHA-1 da senha são enviados ao serviço; a comparação final acontece no seu próprio computador. O modelo, chamado k-anonymity, evita que a senha completa ou o hash inteiro trafeguem. Para e-mails, a consulta usa o endereço completo, por isso vale usar o site oficial e evitar cópias em domínios desconhecidos.
O que fazer depois da checagem
O resultado positivo não é motivo para pânico, mas pede ação imediata e ordenada. A orientação oficial do CERT.br é alterar imediatamente as senhas sempre que houver suspeita de que tenham sido descobertas, vazadas ou usadas em equipamento invadido. Na sequência, a Cartilha de Segurança para Internet do CERT.br orienta ativar a verificação em duas etapas sempre que o recurso estiver disponível, porque a senha sozinha deixa de ser o único obstáculo para o invasor. A meta final é uma senha nova e longa para cada serviço, guardada em um gerenciador de senhas.
Use esta tabela para decidir a ordem do trabalho:
| Resultado da checagem | Ação recomendada | Quando fazer |
|---|---|---|
| E-mail e senha no mesmo vazamento | Trocar a senha do serviço afetado e de todas as contas com a mesma senha | Hoje, começando por banco e e-mail |
| Só o e-mail aparece | Revisar tentativas suspeitas de redefinição e ativar duas etapas | Hoje ou amanhã |
| Senha antiga no Pwned Passwords | Abandonar a senha em qualquer conta que ainda a use | Nesta semana |
| Nada encontrado | Ativar duas etapas mesmo assim e repetir a checagem periodicamente | Sem pressa |
Como transformar checagem em hábito
Uma checagem isolada resolve o passado; o hábito resolve o futuro. Reserve uma checagem mensal de dez minutos no calendário, com o mesmo status de uma conta a pagar, e cadastre o alerta do próprio serviço para ser notificado quando o seu e-mail aparecer em novos vazamentos. Se você mantém projetos paralelos, crie um e-mail separado para cada frente, como mostramos no guia de projetos paralelos para aprender tecnologia de verdade: assim um vazamento profissional não contamina as contas pessoais. E, em vez de improvisar senhas na hora, aplique um método: o artigo sobre brainstorming estruturado mostra como transformar uma decisão solta em critérios claros, a mesma lógica necessária para definir suas regras de senha. Exemplo hipotético, apresentado como exemplo e não como caso medido: frase longa com número e símbolo, única por serviço, guardada no gerenciador.