Como saber se seu e-mail e senha já vazaram — e o que fazer na hora para evitar invasões

RESUMO | Um megavazamento em outubro de 2025 expôs 183 milhões de combinações de e-mail e senha. Serviços gratuitos como o Have I Been Pwned permitem consultar se suas credenciais foram comprometidas. Se o resultado for positivo, a troca imediata de senha, a ativação da verificação em duas etapas e a revisão de sessões ativas reduzem o risco de invasão.

Só em outubro de 2025, um megavazamento expôs cerca de 183 milhões de combinações de e-mail e senha vinculadas a serviços como Gmail, Outlook e Yahoo, segundo o site de monitoramento Have I Been Pwned (HIBP). O volume não veio de um ataque direto a essas empresas, mas de programas espiões que roubam credenciais e de listas que circulam entre criminosos. Por isso, verificar se seu e-mail e senha já vazaram é o primeiro passo para evitar que uma conta comprometida vire porta de entrada para fraudes.

Por que um vazamento antigo ainda representa risco?

A técnica que transforma vazamentos em invasões se chama credential stuffing. Criminosos usam listas massivas de e-mails e senhas expostos para testar combinações em dezenas de serviços ao mesmo tempo, apostando que muita gente repete a mesma senha em mais de um site.

Quando a combinação funciona, o invasor pode assumir a conta, acessar dados pessoais, aplicar golpes ou revender o acesso. A base do HIBP já acumula quase 2 bilhões de endereços de e-mail e 1,3 bilhão de senhas — e boa parte dessas credenciais ainda está em uso ativo.

Como saber se seu e-mail já apareceu em um vazamento

O Have I Been Pwned (haveibeenpwned.com), criado pelo pesquisador de segurança Troy Hunt, é a referência global para esse tipo de consulta. O site reúne bases de vazamentos públicos e permite checar, de graça, se um endereço de e-mail foi exposto.

1. Acesse haveibeenpwned.com;
2. No campo "Email address", digite seu e-mail completo;
3. Clique em "pwned?";
4. Se o e-mail estiver em alguma base, o site lista os incidentes — nome do vazamento, data e tipo de dados expostos;
5. Ative a opção "Notify me" para receber alertas caso seu e-mail apareça em novos vazamentos.

O Firefox Monitor (monitor.mozilla.org), da Mozilla, é uma alternativa que usa a mesma base do HIBP e envia notificações contínuas de novas violações.

Como verificar se uma senha específica já vazou

O HIBP também oferece uma página dedicada a senhas (haveibeenpwned.com/Passwords). O processo é seguro: o navegador calcula o hash da senha no próprio dispositivo, envia apenas os cinco primeiros caracteres desse hash ao servidor e faz a comparação final de forma local — a senha completa nunca é transmitida.

1. Acesse haveibeenpwned.com/Passwords;
2. Digite a senha no campo indicado;
3. Clique em "Check";
4. O site mostra quantas vezes aquela senha apareceu em bases conhecidas.

Como checar senhas salvas no Google, na Apple e em gerenciadores

O Google aponta senhas comprometidas, reutilizadas ou fracas e sugere a troca. É possível verificar todas as senhas armazenadas de uma vez:

1. Abra o Chrome e vá em Configurações > Preenchimento automático e senhas > Gerenciador de Senhas do Google (ou acesse passwords.google.com);
2. Clique em Verificar senhas;
3. No celular com Android, o caminho é Configurações > Google > Preenchimento automático > Senhas > Verificar senhas.

Em dispositivos Apple (iPhone, iPad, Mac), vá em Ajustes > Senhas > Recomendações de segurança. O sistema avisa quando uma senha salva no iCloud apareceu em vazamentos.

Gerenciadores como 1Password, Bitwarden, Dashlane e NordPass fazem varredura contra bases de vazamentos e geram relatórios com senhas expostas, fracas ou duplicadas — útil para priorizar quais trocar primeiro.

O que fazer se seu e-mail ou senha apareceram em um vazamento

A ordem de ação é importante. Comece pela conta mais crítica — e-mail principal, banco, redes sociais, trabalho — e avance para as demais.

1. Troque a senha da conta afetada. No Google, acesse myaccount.google.com/security e clique em "Senha". Na Microsoft, acesse account.microsoft.com. Em outros serviços, use a opção "Esqueci minha senha". Crie uma senha com pelo menos 12 caracteres, misturando letras maiúsculas e minúsculas, números e símbolos.
2. Ative a verificação em duas etapas (2FA). No Google, acesse myaccount.google.com/security e clique em "Verificação em duas etapas". Na Microsoft, ative em account.microsoft.com/security. Prefira app autenticador (Google Authenticator, Microsoft Authenticator) ou chave de segurança física em vez de SMS.
3. Revise sessões ativas. No Google, veja "Seus dispositivos" e "Atividade de segurança" em myaccount.google.com/security. Na Microsoft, consulte "Entradas recentes" em account.microsoft.com/security. Encerre tudo que não reconhecer.
4. Troque todas as senhas reutilizadas. Se a senha exposta era usada em outros serviços, mude em todos eles — começando por contas financeiras e de trabalho. Use um gerenciador de senhas para gerar e guardar credenciais únicas.
5. Monitore movimentações financeiras. Se o vazamento incluiu dados como CPF ou informações bancárias, acompanhe extratos por pelo menos 90 dias e fique atento a tentativas de fraude.

Como reduzir o risco de novos vazamentos

Use senhas longas e únicas para cada serviço — um gerenciador de senhas elimina a necessidade de decorar todas. Também se lembre de ativar 2FA em todas as contas que oferecem essa opção e desconfie de e-mails e mensagens que pedem login fora do endereço oficial do serviço — digite o endereço no navegador em vez de clicar no link.

Outra atitude importante, mas negligenciada por grande parte dos usuários, é manter sistema operacional, navegador e aplicativos atualizados para corrigir brechas exploradas por programas espiões.