Verificar se o seu endereço aparece numa fuga de dados
Uma fuga de dados coloca a sua palavra-passe em circulação. Como reagir sem demora e porque é que um endereço ausente de uma base não prova nada.
Em 30 segundos
- Onde acontece
- Um serviço onde tem conta é pirateado, e o anúncio ou um boato chega até si1.
- O que quer o atacante
- Aproveitar as palavras-passe reutilizadas: uma palavra-passe comprometida torna vulneráveis todos os serviços onde é usada1.
- O reflexo
- Alterar sem demora a palavra-passe em causa, nunca a reutilizar noutro lado e ativar a autenticação de dois fatores1.
- Se já aconteceu
- Se a mesma palavra-passe serve para o seu correio eletrónico, altere a do correio eletrónico o mais depressa possível4.
Do que se trata
Quando uma empresa ou um site é alvo de um ataque informático, as credenciais dos seus clientes podem acabar em mãos erradas. Saber se o seu endereço consta de uma base de fugas de dados pode tranquilizá-lo ou alertá-lo, mas não substitui os bons hábitos com as palavras-passe.
Esta ficha trata do que recomendam os organismos públicos de referência após uma fuga: alterar a palavra-passe sem demora, não a reutilizar, ativar a autenticação de dois fatores e desconfiar de falsas mensagens de alerta.
Perguntas diretas
O que é uma fuga de dados?
Um atacante pode obter palavras-passe cifradas (com hash) ao introduzir-se numa base de dados, o que o NIST designa por «database breach»2. A CISA conta o caso de uma utilizadora cuja palavra-passe fazia parte de uma fuga de uma empresa publicada na internet3. A palavra-passe deixa então de ser secreta, mesmo que o seu próprio computador nunca tenha sido afetado.
É preciso esperar pela confirmação de uma fuga para agir?
Não. Em caso de dúvida sobre a segurança de uma conta, ou se souber que uma empresa onde tem conta foi pirateada, a Cybermalveillance.gouv.fr recomenda que não espere para saber se é verdade. É preciso alterar de imediato a palavra-passe em causa, antes que caia em mãos erradas1.
O que fazer se o meu endereço aparecer numa fuga?
Altere a palavra-passe do serviço em causa. Se a usava para o correio eletrónico, altere a palavra-passe do correio eletrónico o mais depressa possível4. Escolha depois uma palavra-passe diferente para cada serviço, de modo que, se uma se perder ou for roubada, só esse serviço fique vulnerável1. Por fim, ative a autenticação de dois fatores quando o serviço a oferecer5.
Porque é que o correio eletrónico vem em primeiro lugar?
Recebe as ligações de reposição das palavras-passe das suas outras contas. Um cibercriminoso que o pirateie pode usar a função «esqueci-me da palavra-passe» dos serviços a que acede, incluindo a conta bancária, para assumir o controlo dessas contas1. O NCSC acrescenta que também poderia ler as suas informações privadas e enviar mensagens fazendo-se passar por si4.
1Como funciona1 min
As palavras-passe roubadas servem primeiro para adivinhar outras palavras-passe. O NIST observa que as escolhas dos utilizadores são muito previsíveis e que os atacantes testam as palavras-passe que já funcionaram, nomeadamente as provenientes de fugas anteriores2. O mesmo documento recomenda que um serviço compare as palavras-passe escolhidas com uma lista de valores conhecidos como comuns, previsíveis ou comprometidos, por exemplo palavras-passe provenientes de fugas passadas2. Este texto data de junho de 2017 e foi substituído por uma revisão mais recente desde 1 de agosto de 20252.
O risco aumenta quando uma palavra-passe é usada em vários sítios. Se a reutilizou, basta aos criminosos conhecer uma só para entrar em todas as suas contas4. É o cenário descrito pela CISA: uma utilizadora vê uma transferência de 700 dólares que não pediu, deixa de conseguir entrar no banco e depois no correio eletrónico, porque tinha a mesma palavra-passe nos dois. Mais tarde fica a saber que essa palavra-passe fazia parte de uma fuga de uma empresa publicada na internet3.
2O que fazer1 min
Após uma fuga, ou à menor dúvida, a ordem seguinte limita os danos, do mais urgente ao mais duradouro.
- Altere primeiro a palavra-passe do serviço afetado1. Se a tinha reutilizado para o correio eletrónico, altere também a do correio eletrónico4.
- Escolha uma palavra-passe longa e aleatória. A CISA indica pelo menos 16 caracteres, seja uma sequência aleatória, seja uma frase de 4 a 7 palavras sem relação entre si3. A Cybermalveillance.gouv.fr cita um mínimo de 12 caracteres, misturando maiúsculas, minúsculas, algarismos e caracteres especiais1.
- Uma palavra-passe por conta. A CNIL pede uma palavra-passe própria e única para cada conta sensível: banco, correio eletrónico, rede social5.
- Confie-as a um gestor de palavras-passe. A CISA nota que, para a maioria das pessoas, memorizar palavras-passe longas, aleatórias e únicas para cada conta é impossível, e que estas ferramentas as geram, as guardam e assinalam as palavras-passe fracas ou reutilizadas3.
- Ative a autenticação de dois fatores, sobretudo no correio eletrónico, nas redes sociais e nas contas financeiras3. O NCSC precisa que ela impede um criminoso de aceder ao correio eletrónico mesmo que conheça a palavra-passe4.
Para uma conta profissional, aplique as mesmas medidas e siga as instruções da sua organização. O NCSC pede que a palavra-passe do correio eletrónico não seja usada em nenhuma outra conta, em casa ou no trabalho4.
3As armadilhas2 min
A falsa mensagem de alerta de fuga
Uma mensagem que anuncia uma fuga e o pressiona a iniciar sessão pode ser phishing. A CISA descreve como sinais comuns uma linguagem urgente ou carregada de emoção, um pedido de informações pessoais ou financeiras, ligações encurtadas pouco fiáveis e endereços ou ligações incorretos, como «amazan.com»6. Os erros de ortografia deixaram de ser um indício fiável: na era da inteligência artificial, alguns correios eletrónicos são perfeitos nesse ponto6.
Perante uma mensagem duvidosa que poderia ser verdadeira, não clique em nenhuma ligação nem ligue para nenhum número que ela contenha. Procure o site da organização por si próprio, ou escreva o endereço, e retire os contactos do site verificado6. No exemplo da CISA, um correio eletrónico anunciava um pagamento recusado e pressionava o destinatário a iniciar sessão. O utilizador enganado entregou a palavra-passe e os dados do cartão, e só recuperou a maior parte das perdas após longas horas ao telefone6.
A Cybermalveillance.gouv.fr acrescenta que nenhuma empresa ou organização séria pedirá alguma vez a sua palavra-passe por correio eletrónico ou por telefone, nem mesmo para «manutenção» ou «assistência informática». Se lha pedirem, está perante uma tentativa de pirataria ou de burla1. Uma falsa mensagem de fuga que exija a sua palavra-passe enquadra-se neste caso.
Para denunciar a mensagem, a CISA indica que existe em geral uma opção junto ao endereço do remetente, ou no botão «denunciar spam». Aconselha depois a apagar a mensagem sem responder nem clicar, incluindo numa ligação de cancelamento da subscrição6. O NCSC britânico precisa que pode investigar endereços e sites fraudulentos e fazê-los retirar, e que a denúncia demora um minuto7.
O falso sentimento de segurança
Não constar de uma base de fugas consultada não dispensa as boas práticas. A regra vale em todos os casos: uma palavra-passe diferente por conta, palavras-passe longas e autenticação de dois fatores135.
A palavra-passe anotada no sítio errado
Depois de uma alteração, é tentador guardar a nova palavra-passe num ficheiro ou numa mensagem. A CNIL desaconselha as notas autocolantes, os ficheiros de texto, o telemóvel e a caixa de correio eletrónico, bem como guardá-las no navegador de um computador partilhado5.
Ficha
- Identificador
- CP-349
- Ala
- 5. Vida no escritório e reflexos
- Competência Brain
- Dominar as palavras-passe (master_passwords)
- Reflexo Brain
- cr-022
- Esquema
- G2 · Mito contra realidade
- Idiomas
- de, en, es, fr, it, nl, pt
- Fontes
- 7 fontes verificadas em 3 de novembro de 2026
Fontes7 fontes
- Cybermalveillance.gouv.fr, «Pourquoi et comment bien gérer ses mots de passe ?», 23 de novembro de 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (consultado em 3 de novembro de 2026)
- NIST, «NIST Special Publication 800-63B». https://pages.nist.gov/800-63-3/sp800-63b.html (consultado em 3 de novembro de 2026)
- CISA, «Use Strong Passwords». https://www.cisa.gov/secure-our-world/use-strong-passwords (consultado em 3 de novembro de 2026)
- NCSC (Royaume-Uni), «Use a strong and separate password for your email», 17 de dezembro de 2018. https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/use-a-strong-and-separate-password-for-email (consultado em 3 de novembro de 2026)
- CNIL, «Les conseils de la CNIL pour un bon mot de passe», 26 de janeiro de 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (consultado em 3 de novembro de 2026)
- CISA, «Recognize and Report Phishing». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consultado em 3 de novembro de 2026)
- NCSC (Royaume-Uni), «Phishing scams: how to spot and report them», 26 de novembro de 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consultado em 3 de novembro de 2026)
Citar este artigo
Brain, «Verificar se o seu endereço aparece numa fuga de dados», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp349_pt_2026,
author = {Brain},
title = {Verificar se o seu endereço aparece numa fuga de dados},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pt/articles/have-i-been-pwned-verificar-fuga-correio-eletronico/},
note = {CC BY 4.0}
}