--- id: CP-349 slug: have-i-been-pwned-verificar-fuga-correio-eletronico lang: pt title: Verificar se o seu endereço aparece numa fuga de dados description: Uma fuga de dados coloca a sua palavra-passe em circulação. Como reagir sem demora e porque é que um endereço ausente de uma base não prova nada. canonical_url: https://startbrain.io/cyberpedia/pt/articles/have-i-been-pwned-verificar-fuga-correio-eletronico/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/have-i-been-pwned-verificar-fuga-correio-eletronico.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Verificar se o seu endereço aparece numa fuga de dados», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/have-i-been-pwned-verificar-fuga-correio-eletronico/ (CC BY 4.0) wing: 5 theme: master_passwords reflex: cr-022 schema: G2 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/have-i-been-pwned-verificar-fuga-correio-eletronico/ fr: https://startbrain.io/cyberpedia/fr/articles/have-i-been-pwned-verifier-fuite-courriel/ en: https://startbrain.io/cyberpedia/en/articles/have-i-been-pwned-check-email-breach/ de: https://startbrain.io/cyberpedia/de/articles/have-i-been-pwned-e-mail-adresse-datenleck-pruefen/ es: https://startbrain.io/cyberpedia/es/articles/have-i-been-pwned-comprobar-filtracion-correo/ it: https://startbrain.io/cyberpedia/it/articles/have-i-been-pwned-verificare-violazione-email/ nl: https://startbrain.io/cyberpedia/nl/articles/have-i-been-pwned-e-mailadres-datalek-controleren/ sources: - "n": 1 title: Pourquoi et comment bien gérer ses mots de passe ? publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe published: "2019-11-23" accessed: "2026-11-03" - "n": 2 title: NIST Special Publication 800-63B publisher: NIST url: https://pages.nist.gov/800-63-3/sp800-63b.html accessed: "2026-11-03" - "n": 3 title: Use Strong Passwords publisher: CISA url: https://www.cisa.gov/secure-our-world/use-strong-passwords accessed: "2026-11-03" - "n": 4 title: Use a strong and separate password for your email publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/use-a-strong-and-separate-password-for-email published: "2018-12-17" accessed: "2026-11-03" - "n": 5 title: Les conseils de la CNIL pour un bon mot de passe publisher: CNIL url: https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe published: "2017-01-26" accessed: "2026-11-03" - "n": 6 title: Recognize and Report Phishing publisher: CISA url: https://www.cisa.gov/secure-our-world/recognize-and-report-phishing accessed: "2026-11-03" - "n": 7 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" --- # Verificar se o seu endereço aparece numa fuga de dados Quando uma empresa ou um site é alvo de um ataque informático, as credenciais dos seus clientes podem acabar em mãos erradas. Saber se o seu endereço consta de uma base de fugas de dados pode tranquilizá-lo ou alertá-lo, mas não substitui os bons hábitos com as palavras-passe. Esta ficha trata do que recomendam os organismos públicos de referência após uma fuga: alterar a palavra-passe sem demora, não a reutilizar, ativar a autenticação de dois fatores e desconfiar de falsas mensagens de alerta. ## Em 30 segundos - Onde acontece: um serviço onde tem conta é pirateado, e o anúncio ou um boato chega até si [1]. - O que quer o atacante: aproveitar as palavras-passe reutilizadas: uma palavra-passe comprometida torna vulneráveis todos os serviços onde é usada [1]. - O reflexo: alterar sem demora a palavra-passe em causa, nunca a reutilizar noutro lado e ativar a autenticação de dois fatores [1]. - Se já aconteceu: se a mesma palavra-passe serve para o seu correio eletrónico, altere a do correio eletrónico o mais depressa possível [4]. ## Perguntas diretas ### O que é uma fuga de dados? Um atacante pode obter palavras-passe cifradas (com hash) ao introduzir-se numa base de dados, o que o NIST designa por «database breach» [2]. A CISA conta o caso de uma utilizadora cuja palavra-passe fazia parte de uma fuga de uma empresa publicada na internet [3]. A palavra-passe deixa então de ser secreta, mesmo que o seu próprio computador nunca tenha sido afetado. ### É preciso esperar pela confirmação de uma fuga para agir? Não. Em caso de dúvida sobre a segurança de uma conta, ou se souber que uma empresa onde tem conta foi pirateada, a Cybermalveillance.gouv.fr recomenda que não espere para saber se é verdade. É preciso alterar de imediato a palavra-passe em causa, antes que caia em mãos erradas [1]. ### O que fazer se o meu endereço aparecer numa fuga? Altere a palavra-passe do serviço em causa. Se a usava para o correio eletrónico, altere a palavra-passe do correio eletrónico o mais depressa possível [4]. Escolha depois uma palavra-passe diferente para cada serviço, de modo que, se uma se perder ou for roubada, só esse serviço fique vulnerável [1]. Por fim, ative a autenticação de dois fatores quando o serviço a oferecer [5]. ### Porque é que o correio eletrónico vem em primeiro lugar? Recebe as ligações de reposição das palavras-passe das suas outras contas. Um cibercriminoso que o pirateie pode usar a função «esqueci-me da palavra-passe» dos serviços a que acede, incluindo a conta bancária, para assumir o controlo dessas contas [1]. O NCSC acrescenta que também poderia ler as suas informações privadas e enviar mensagens fazendo-se passar por si [4]. ### E se o meu endereço não aparecer na base consultada? O conselho não depende do resultado de uma verificação: alterar a palavra-passe logo que haja dúvida, não a reutilizar, ativar a autenticação de dois fatores [1][5]. Um resultado vazio não dispensa, portanto, nenhuma destas medidas. ## Como funciona As palavras-passe roubadas servem primeiro para adivinhar outras palavras-passe. O NIST observa que as escolhas dos utilizadores são muito previsíveis e que os atacantes testam as palavras-passe que já funcionaram, nomeadamente as provenientes de fugas anteriores [2]. O mesmo documento recomenda que um serviço compare as palavras-passe escolhidas com uma lista de valores conhecidos como comuns, previsíveis ou comprometidos, por exemplo palavras-passe provenientes de fugas passadas [2]. Este texto data de junho de 2017 e foi substituído por uma revisão mais recente desde 1 de agosto de 2025 [2]. O risco aumenta quando uma palavra-passe é usada em vários sítios. Se a reutilizou, basta aos criminosos conhecer uma só para entrar em todas as suas contas [4]. É o cenário descrito pela CISA: uma utilizadora vê uma transferência de 700 dólares que não pediu, deixa de conseguir entrar no banco e depois no correio eletrónico, porque tinha a mesma palavra-passe nos dois. Mais tarde fica a saber que essa palavra-passe fazia parte de uma fuga de uma empresa publicada na internet [3]. ## O que fazer Após uma fuga, ou à menor dúvida, a ordem seguinte limita os danos, do mais urgente ao mais duradouro. - Altere primeiro a palavra-passe do serviço afetado [1]. Se a tinha reutilizado para o correio eletrónico, altere também a do correio eletrónico [4]. - Escolha uma palavra-passe longa e aleatória. A CISA indica pelo menos 16 caracteres, seja uma sequência aleatória, seja uma frase de 4 a 7 palavras sem relação entre si [3]. A Cybermalveillance.gouv.fr cita um mínimo de 12 caracteres, misturando maiúsculas, minúsculas, algarismos e caracteres especiais [1]. - Uma palavra-passe por conta. A CNIL pede uma palavra-passe própria e única para cada conta sensível: banco, correio eletrónico, rede social [5]. - Confie-as a um gestor de palavras-passe. A CISA nota que, para a maioria das pessoas, memorizar palavras-passe longas, aleatórias e únicas para cada conta é impossível, e que estas ferramentas as geram, as guardam e assinalam as palavras-passe fracas ou reutilizadas [3]. - Ative a autenticação de dois fatores, sobretudo no correio eletrónico, nas redes sociais e nas contas financeiras [3]. O NCSC precisa que ela impede um criminoso de aceder ao correio eletrónico mesmo que conheça a palavra-passe [4]. Para uma conta profissional, aplique as mesmas medidas e siga as instruções da sua organização. O NCSC pede que a palavra-passe do correio eletrónico não seja usada em nenhuma outra conta, em casa ou no trabalho [4]. ## As armadilhas ### A falsa mensagem de alerta de fuga Uma mensagem que anuncia uma fuga e o pressiona a iniciar sessão pode ser phishing. A CISA descreve como sinais comuns uma linguagem urgente ou carregada de emoção, um pedido de informações pessoais ou financeiras, ligações encurtadas pouco fiáveis e endereços ou ligações incorretos, como «amazan.com» [6]. Os erros de ortografia deixaram de ser um indício fiável: na era da inteligência artificial, alguns correios eletrónicos são perfeitos nesse ponto [6]. Perante uma mensagem duvidosa que poderia ser verdadeira, não clique em nenhuma ligação nem ligue para nenhum número que ela contenha. Procure o site da organização por si próprio, ou escreva o endereço, e retire os contactos do site verificado [6]. No exemplo da CISA, um correio eletrónico anunciava um pagamento recusado e pressionava o destinatário a iniciar sessão. O utilizador enganado entregou a palavra-passe e os dados do cartão, e só recuperou a maior parte das perdas após longas horas ao telefone [6]. A Cybermalveillance.gouv.fr acrescenta que nenhuma empresa ou organização séria pedirá alguma vez a sua palavra-passe por correio eletrónico ou por telefone, nem mesmo para «manutenção» ou «assistência informática». Se lha pedirem, está perante uma tentativa de pirataria ou de burla [1]. Uma falsa mensagem de fuga que exija a sua palavra-passe enquadra-se neste caso. Para denunciar a mensagem, a CISA indica que existe em geral uma opção junto ao endereço do remetente, ou no botão «denunciar spam». Aconselha depois a apagar a mensagem sem responder nem clicar, incluindo numa ligação de cancelamento da subscrição [6]. O NCSC britânico precisa que pode investigar endereços e sites fraudulentos e fazê-los retirar, e que a denúncia demora um minuto [7]. ### O falso sentimento de segurança Não constar de uma base de fugas consultada não dispensa as boas práticas. A regra vale em todos os casos: uma palavra-passe diferente por conta, palavras-passe longas e autenticação de dois fatores [1][3][5]. ### A palavra-passe anotada no sítio errado Depois de uma alteração, é tentador guardar a nova palavra-passe num ficheiro ou numa mensagem. A CNIL desaconselha as notas autocolantes, os ficheiros de texto, o telemóvel e a caixa de correio eletrónico, bem como guardá-las no navegador de um computador partilhado [5]. ## Fontes 1. Cybermalveillance.gouv.fr, «Pourquoi et comment bien gérer ses mots de passe ?», 23 de novembro de 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (consultado em 3 de novembro de 2026) 2. NIST, «NIST Special Publication 800-63B». https://pages.nist.gov/800-63-3/sp800-63b.html (consultado em 3 de novembro de 2026) 3. CISA, «Use Strong Passwords». https://www.cisa.gov/secure-our-world/use-strong-passwords (consultado em 3 de novembro de 2026) 4. NCSC (Royaume-Uni), «Use a strong and separate password for your email», 17 de dezembro de 2018. https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/use-a-strong-and-separate-password-for-email (consultado em 3 de novembro de 2026) 5. CNIL, «Les conseils de la CNIL pour un bon mot de passe», 26 de janeiro de 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (consultado em 3 de novembro de 2026) 6. CISA, «Recognize and Report Phishing». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consultado em 3 de novembro de 2026) 7. NCSC (Royaume-Uni), «Phishing scams: how to spot and report them», 26 de novembro de 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/have-i-been-pwned-verificar-fuga-correio-eletronico/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.