Como verificar se o seu endereço de e-mail apareceu em um vazamento de dados

O que um vazamento de dados realmente significa para o seu e-mail

Quando uma empresa sofre um vazamento de dados, os atacantes raramente guardam o que roubaram para si. Bancos de dados com endereços de e-mail, senhas, nomes, números de telefone e outros detalhes de conta são copiados, negociados e, por fim, publicados no que pesquisadores de segurança chamam de dumps de vazamento. Com o tempo, dumps individuais são mesclados em listas combinadas enormes — muitas vezes chamadas de combolists — que circulam livremente em fóruns e sites de compartilhamento de arquivos. Seu endereço de e-mail não precisa pertencer a uma conta importante para acabar em uma delas. Um fórum em que você se registrou em 2013, uma loja on-line que você usou uma vez ou um serviço que nem existe mais podem ser a origem. O vazamento aconteceu nos servidores deles, mas a exposição é sua.

O perigo prático normalmente não é o vazamento original em si, mas o que vem depois. Os atacantes pegam essas listas e executam ataques de reutilização de credenciais (credential stuffing): testam cada par vazado de e-mail e senha em centenas de outros serviços, apostando que as pessoas reutilizam senhas. Se a sua senha de um fórum de pets vazado é a mesma que protege sua conta de e-mail principal, o vazamento do fórum acabou de virar um sequestro da sua conta de e-mail. Endereços vazados também alimentam phishing direcionado, já que um atacante que sabe quais serviços você usa consegue criar e-mails falsos muito mais convincentes. É por isso que saber se — e onde — seu endereço foi exposto é genuinamente útil, e não apenas curiosidade mórbida.

Como funcionam os serviços de verificação de vazamentos

Os serviços de verificação de vazamentos resolvem um problema simples de indexação. Pesquisadores obtêm cópias dos dumps conforme eles surgem, verificam que os dados são genuínos e carregam os endereços de e-mail afetados em um banco de dados pesquisável. Quando você digita seu endereço, o serviço informa quais vazamentos conhecidos o continham, quando cada vazamento ocorreu e quais categorias de dados foram expostas — senhas, números de telefone, endereços físicos e assim por diante. O serviço mais estabelecido, o Have I Been Pwned, já catalogou bilhões de contas vazadas em centenas de incidentes e é amplamente usado tanto por indivíduos quanto por empresas que monitoram seus próprios domínios.

Uma objeção razoável é que digitar sua senha em um site para verificar se ela vazou parece uma péssima ideia — e, digitada no site errado, seria mesmo. O recurso de verificação de senhas do Have I Been Pwned evita o problema com uma técnica chamada k-anonimato. Seu navegador gera o hash da senha localmente e envia ao servidor apenas os cinco primeiros caracteres desse hash. O servidor responde com todos os hashes vazados que começam com esses cinco caracteres — tipicamente algumas centenas de candidatos — e seu navegador verifica localmente se há correspondência. O serviço nunca vê sua senha, nem sequer uma parte do hash suficiente para identificá-la. O design completo foi documentado publicamente pelo criador do serviço e desde então foi adotado por gerenciadores de senhas e navegadores em seus próprios recursos de verificação de vazamentos.

O modelo de k-anonimato por trás do Pwned Passwords é explicado em detalhes por Troy Hunt, que mantém o Have I Been Pwned: Troy Hunt — Pwned Passwords e o modelo de k-anonimato ↗

Verificando seu endereço passo a passo

Comece pelo Have I Been Pwned, em haveibeenpwned.com. Digite seu endereço de e-mail na caixa de busca e envie. O resultado é ou um alívio em branco, ou uma lista cronológica de vazamentos que incluíram seu endereço, cada um com uma breve descrição do incidente e as classes de dados expostas. Leia as classes de dados com atenção: um vazamento que expôs apenas endereços de e-mail é um aborrecimento, enquanto um que expôs senhas ou hashes de senha exige ação imediata. Repita a verificação para todos os endereços que você usa ativamente, incluindo endereços antigos que ainda encaminham para você, já que as contas registradas com eles são igualmente vulneráveis.

Aproveitando a visita, cadastre-se para receber notificações de vazamento. O Have I Been Pwned permite registrar um endereço e envia um e-mail quando ele aparece em um vazamento recém-carregado — transformando uma checagem manual que você poderia esquecer em um alerta automático. O serviço de notificação verifica que você controla o endereço antes de ativar os alertas, então não é possível assinar endereços arbitrários de outras pessoas. Para a maioria dos usuários, esse único passo captura a maior parte do valor: vazamentos são descobertos continuamente, e o endereço que está limpo hoje pode aparecer em um dump carregado no mês que vem.

O Mozilla Monitor (antigo Firefox Monitor) é uma segunda opção sólida, construída sobre os mesmos dados de vazamento. Ele oferece a mesma busca por endereço, além de monitoramento contínuo vinculado a uma conta Mozilla gratuita, e apresenta os resultados com orientações de resolução passo a passo para cada vazamento. Usar os dois serviços não custa nada e leva minutos. Se você possui um domínio próprio, o Have I Been Pwned oferece adicionalmente monitoramento de domínio inteiro, que reporta todo endereço do seu domínio que aparece em qualquer vazamento — útil porque endereços fáceis de adivinhar, como info@ ou contact@, acumulam exposição que você nunca vê.

Você pode verificar seu endereço e ler a explicação completa de como os dados de vazamento são tratados no FAQ oficial: Have I Been Pwned — Perguntas frequentes ↗

O serviço gratuito de monitoramento da Mozilla oferece alertas contínuos e orientações de resolução: Mozilla Monitor — monitoramento gratuito de vazamentos de dados ↗

O que fazer se o seu endereço aparecer em um vazamento

Primeiro, troque a senha no serviço vazado — e, ponto crucial, em todos os outros serviços onde você usou a mesma senha ou uma parecida. Os atacantes contam com a reutilização, e variações como adicionar um dígito ou um ponto de exclamação não derrotam a adivinhação automatizada. A ordem importa: proteja primeiro sua conta de e-mail principal, porque ela é o mecanismo de recuperação de todo o resto. Um atacante que controla sua caixa de entrada pode redefinir as senhas da maioria das suas outras contas à vontade.

Segundo, corte o problema da reutilização pela raiz gerando uma senha aleatória única para cada conta, o que na prática significa usar um gerenciador de senhas. Essa única mudança converte vazamentos futuros de uma emergência em cascata em um incidente contido: uma senha vazada abre exatamente uma conta, e trocá-la leva um minuto. Onde os serviços oferecerem passkeys, prefira-as sem hesitar. Uma passkey é uma credencial criptográfica vinculada ao seu dispositivo; não há segredo compartilhado guardado no banco de dados do serviço para vazar, então um vazamento do serviço não expõe nada que um atacante possa reutilizar contra a sua conta. Ative a autenticação em dois fatores em tudo o que for importante e ainda usar senhas, de preferência com um aplicativo autenticador em vez de SMS.

Terceiro, trate os dados expostos com realismo. Uma senha vazada pode ser trocada; um endereço de e-mail vazado, não. Depois que seu endereço entra em circulação, espere mais spam e phishing mais convincente indefinidamente. Desconfie especialmente de e-mails que mencionam o serviço vazado, já que atacantes usam as listas de vazamento para enviar exatamente esse tipo de isca direcionada. Se o vazamento expôs dados de pagamento, acompanhe suas faturas e considere substituir o cartão. Se expôs dados de identidade, como um número de documento oficial, procure os mecanismos de alerta de fraude ou congelamento de crédito disponíveis no seu país.

Reduzindo a exposição futura com aliases e endereços descartáveis

Tudo o que foi dito acima é reativo. A versão proativa da higiene contra vazamentos é limitar quantos bancos de dados contêm seu endereço real, porque um endereço que nunca foi coletado nunca poderá ser vazado. Os aliases de e-mail são a ferramenta certa para serviços com os quais você mantém uma relação contínua: um provedor de aliases dá a cada serviço seu próprio endereço de encaminhamento, então um vazamento expõe apenas aquele alias, que você pode desativar. O endereço comprometido morre; sua caixa real fica intacta, e você sabe exatamente quem o vazou.

Para interações únicas — baixar um whitepaper, pegar um código de desconto, testar um serviço ao qual você nunca vai voltar —, um endereço descartável é a solução mais limpa. Uma caixa temporária de um serviço como o PureTempMail existe por minutos ou horas, recebe o e-mail de verificação e depois expira junto com todos os seus dados. Quando esse serviço inevitavelmente for vazado anos depois, o dump conterá um endereço que não existe mais e nunca esteve conectado a você. Dados que você nunca entregou são os únicos dados garantidamente ausentes de qualquer resultado de verificação de vazamento.

O que não fazer

Nunca digite uma senha que você realmente usa em um site qualquer de "verificação de senha". O design de k-anonimato descrito acima é o que torna segura a verificação de senhas do Have I Been Pwned, e gerenciadores de senhas respeitáveis usam o mesmo protocolo — mas um site aleatório com um formulário pedindo sua senha pode estar simplesmente coletando-a. Se quiser verificar senhas, faça isso diretamente pelo Have I Been Pwned ou pelo recurso de verificação de vazamentos embutido no seu gerenciador de senhas ou navegador, onde a checagem acontece contra dados em hash, sem transmitir a senha em si.

Seja igualmente cético com e-mails não solicitados anunciando que você foi vazado, especialmente os que levam a uma página de login ou exigem pagamento. Notificações legítimas de vazamento não pedem sua senha, e os alertas do Have I Been Pwned nunca pedem que você faça login para ver os resultados. Um golpe relacionado afirma possuir material comprometedor e cita uma das suas senhas vazadas reais como prova; a senha é real, mas veio de um dump antigo de vazamento, não de acesso aos seus dispositivos. Por fim, dispense produtos pagos de "varredura da dark web" que reembalam os mesmos dados públicos de vazamento que esses serviços gratuitos já oferecem.

Uma rotina realista

A exposição a vazamentos não é um evento único a consertar, mas uma condição de fundo a gerenciar. Uma rotina sensata é curta: verifique seus endereços ativos no Have I Been Pwned, assine as notificações lá ou no Mozilla Monitor, migre para senhas únicas com um gerenciador, adote passkeys onde forem oferecidas e entregue seu endereço real apenas a serviços que genuinamente precisam de um canal de longo prazo com você. Os aliases cobrem o meio-termo confiável-mas-segmentado, e endereços descartáveis cobrem tudo o que é transitório. Nenhum desses passos é difícil, e juntos eles transformam a próxima manchete de vazamento de uma emergência pessoal em um não evento.

Reduzir quantos serviços guardam seu endereço real é a melhor defesa de longo prazo. Cobrimos as técnicas práticas em um artigo complementar: Como proteger seu endereço de e-mail contra spam