Imagine uma noite de dia útil em que chega uma mensagem de um site de ingressos que você usou pela última vez há três anos. O assunto diz: “Importante: seus dados podem ter sido expostos”. Você mal lembra da conta, não faz ideia de qual senha cadastrou, e a mensagem traz um botão grande escrito “Proteger minha conta”. A próxima hora vale mais do que o resto da semana, e a primeira coisa a fazer nela é não tocar nesse botão.
Resumindo: confirme o aviso entrando você mesmo no site da empresa, descubra que tipos de dados foram levados, proteja sua caixa de entrada principal antes de qualquer outra coisa, depois troque em todos os lugares a senha que vazou e ative a autenticação em dois fatores ou uma passkey. Um vazamento de dados de e-mail acontece quando uma empresa que guardava seu endereço perde o controle dele, em geral junto com outras informações. Você não consegue desfazer o vazamento. Mas consegue fazer com que ele continue sendo só um incômodo e não vire uma conta roubada.
A primeira hora, em ordem
A ordem abaixo parte de uma ideia: sua caixa de entrada consegue redefinir quase todas as outras senhas que você tem, então ela é protegida antes da conta que foi de fato atingida. Os tempos são aproximados. Se senhas não fizeram parte do vazamento, você pode pular os passos 4 e 5 e terminar em quinze minutos.
- Não use nada que esteja na mensagem (primeiros 2 minutos). Nenhum link, nenhum anexo, nenhum número de telefone do aviso. Avisos falsos de vazamento são um desdobramento comum de vazamentos reais, e um aviso verdadeiro não perde nada se você ignorar o botão.
- Confirme por conta própria (próximos 5 minutos). Digite o endereço da empresa no navegador ou use um favorito antigo e procure um aviso de segurança ou um banner. Pesquise o nome da empresa junto com a palavra “vazamento” e veja se veículos de imprensa confiáveis ou a própria empresa noticiam o caso.
- Veja o que foi levado (próximos 5 minutos). O aviso, o comunicado da empresa ou um serviço de consulta vai listar os tipos de dados. Senhas, dados de cartão e documentos de identidade levam a tarefas diferentes, e a tabela mais abaixo organiza isso.
- Proteja sua caixa de entrada principal (próximos 15 minutos). Defina uma senha longa que você não use em nenhum outro lugar, encerre as outras sessões, ative a autenticação em dois fatores ou uma passkey e confira as regras de encaminhamento e os dados de recuperação. Os passos para Gmail, Outlook e iCloud estão na seção sobre a caixa de entrada, mais adiante.
- Resolva a senha que vazou (próximos 20 minutos). Troque-a no site atingido, pela página de login do próprio site. Depois pense em onde mais você usou essa senha, ou algo parecido, e troque nesses lugares também, começando por banco, operadora de celular, armazenamento na nuvem e qualquer loja que guarde um cartão salvo.
- Anote o que você fez (últimos 5 minutos). Registre a empresa, a data, os dados envolvidos e quais senhas você trocou. Se algo estranho acontecer daqui a três meses, essa anotação mostra se as duas coisas têm relação.
Se o tempo ou a energia acabarem, pare depois do passo 4. Uma caixa de entrada protegida mantém a maior parte das suas opções abertas, porque quem não consegue ler seu e-mail tem muito mais dificuldade para redefinir qualquer outra coisa.
O aviso é verdadeiro?
As empresas realmente enviam essas mensagens e, em muitos lugares, são obrigadas a isso. Pelo artigo 34 do GDPR, da União Europeia, uma organização deve avisar as pessoas afetadas sem demora injustificada quando é provável que o vazamento gere um risco elevado para elas, e cada estado dos EUA tem sua própria lei de notificação de vazamentos, com seus próprios critérios. As regras variam, e por isso você pode ouvir de uma empresa em poucos dias, de outra meses depois, ou de outra nunca. Nossa visão geral sobre as leis de privacidade de e-mail trata do lado jurídico com mais profundidade.
Os criminosos sabem que as pessoas esperam essas mensagens. Veja um exemplo inventado do tipo de aviso falso que merece atenção:
Exemplo de aviso falso (inventado, só para ilustrar):
Assunto: Incidente de segurança URGENTE na sua conta
Prezado cliente, sua senha foi exposta em um incidente recente. Sua conta será encerrada em até 12 horas, a menos que você confirme sua senha atual e o número do cartão pelo botão seguro abaixo.
Três coisas entregam essa mensagem. Ela impõe um prazo medido em horas, pede sua senha atual e quer um número de cartão, algo que nenhum processo legítimo de redefinição exige. Um aviso verdadeiro explica o que aconteceu e orienta você a trocar a senha no site. Nosso guia para identificar e-mails de phishing apresenta muitos outros sinais, mas as comparações abaixo cobrem os específicos de vazamentos.
| O que observar | Um aviso verdadeiro costuma | Um aviso falso costuma |
|---|---|---|
| Instruções | Sugerir que você troque a senha no site, ou dizer que uma redefinição foi forçada | Empurrar você por um botão até uma página de login |
| Detalhes | Nomear o incidente, as datas aproximadas e os tipos de dados | Ser vago sobre o que aconteceu |
| Pedidos | Não pedir nada sensível por e-mail | Pedir senha, número de cartão ou um código enviado ao seu celular |
| Anexos | Raramente trazer algum | Trazer um “relatório” em ZIP, um documento com macro ou um arquivo como report.pdf.exe |
| Rastro público | Corresponder a um comunicado no site da empresa | Não ter nenhum rastro público |
| Ofertas | Pode oferecer monitoramento de identidade por um provedor nomeado, com um código para usar no site desse provedor | Exigir uma taxa ou pedir dados bancários para pagar uma indenização |
Uma mensagem também pode passar em todas as verificações técnicas e mesmo assim ser indesejada. No Gmail, o menu de três pontos tem a opção Mostrar original, que exibe os resultados de SPF, DKIM e DMARC. Um dmarc=fail em uma mensagem que diz vir de uma grande empresa é um alerta forte. Já um resultado positivo só indica que o e-mail veio do domínio mostrado, e esse domínio pode ser um parecido, registrado na semana passada.
Às vezes os avisos chegam de um nome que você não reconhece, porque o incidente aconteceu num fornecedor: uma central de suporte, uma plataforma de marketing ou um processador de pagamentos que trabalha para uma empresa que você conhece. Nesse caso, procure confirmação na empresa que você conhece. Se não encontrar nada, escreva para o suporte dela pela página de contato oficial e pergunte.
Leia a lista de dados: ela define seu trabalho
O endereço de e-mail quase nunca vaza sozinho. Se isso vai custar dez minutos ou uma tarde inteira depende do que estava ao lado dele na tabela roubada. Digamos que o site de ingressos do nosso exemplo informe “nomes, endereços de e-mail e senhas em hash”. Isso coloca você na terceira linha abaixo, com parte do trabalho da segunda.
| O que vazou com seu endereço | O que alguém pode fazer com isso | O que fazer |
|---|---|---|
| Nada além dele | Enviar spam e phishing direcionado, ligar seus registros entre vazamentos, testar senhas repetidas em outros lugares | Desconfiar de mensagens que citem esse serviço; considerar mudar a conta para outro endereço |
| Senha em texto puro | Entrar na hora nesse site e tentar o mesmo par em outros | Trocar em todos os lugares onde foi usada, hoje mesmo |
| Senha em hash | Tentar quebrá-la offline; senhas fracas e comuns caem primeiro | Tratar como se fosse texto puro |
| Nome, telefone, endereço residencial | Escrever mensagens convincentes, fazer ligações golpistas, tentar um SIM swap | Adicionar um PIN ou bloqueio de portabilidade na operadora; ter cuidado com ligações e mensagens inesperadas |
| Data de nascimento, respostas de segurança | Abusar da recuperação de conta, passar por verificações de identidade fracas | Trocar as respostas de segurança por respostas aleatórias guardadas em um gerenciador de senhas |
| Dados parciais do cartão | Dar credibilidade a golpes (“vemos seu cartão com final 1234”) | Acompanhar os extratos; quem liga sabendo esses dígitos não provou nada |
| Número completo do cartão | Tentar compras fraudulentas | Ligar para o emissor pelo número que está no cartão e pedir a substituição |
| Números de documentos oficiais | Tentar fraude de identidade | Seguir a orientação da autoridade do seu país; veja a seção sobre dados de identidade mais abaixo |
| Endereço IP, dados do dispositivo | Estimar sua localização aproximada, adaptar um golpe | Pouco a fazer diretamente |
| Mensagens ou arquivos privados | Extorquir ou constranger, expor dados de outras pessoas | Descobrir o que havia neles e quem mais é afetado; denunciar extorsão à polícia |
Uma palavra sobre “hash”, já que as empresas a usam para tranquilizar. Um hash é uma mistura de mão única da sua senha, e a proteção que ele dá depende do método. Algoritmos lentos e com salt, como bcrypt ou Argon2, tornam o palpite caro, de modo que uma senha longa e aleatória guardada assim pode nunca ser recuperada. Hashes rápidos, como MD5 ou SHA-1 sem salt, podem ser atacados em velocidade enorme, e senhas curtas ou comuns caem rápido em qualquer método. Um aviso raramente traz informação suficiente para você avaliar isso, então troque a senha de qualquer jeito.
O que um endereço vazado, sozinho, pode causar
“Apenas seu endereço de e-mail foi afetado” soa como boa notícia e, comparado a um vazamento de senha, é. Um endereço não é segredo, e ninguém entra na sua conta só com ele. Mesmo assim, ele muda sua situação de algumas maneiras que vale a pena entender.
Um endereço vindo de um serviço real é sabidamente de alguém que se cadastra em coisas, o que o torna mais valioso para spammers do que um endereço adivinhado. As listas são combinadas e revendidas, então um aumento de spam pode começar meses depois do incidente e sem nenhuma ligação óbvia com ele.
O vazamento também diz aos criminosos onde você tem conta. Uma mensagem genérica de “problema no seu pedido” é fácil de descartar. Uma que cita a loja que você realmente usa, chama você pelo nome que veio do mesmo vazamento e chega quando essa loja está nas notícias é muito mais difícil de perceber. Esse é o principal motivo prático para ficar atento por várias semanas depois de um aviso.
Seu endereço também funciona como chave de ligação. Suponha que um vazamento o associe a um nome de usuário de jogo, outro a um número de telefone e um terceiro à sua cidade. Quem tiver os três pode alinhá-los pelo endereço em comum e montar um perfil que você nunca entregou de uma só vez. Usar o mesmo endereço em todo lugar é o que torna isso possível, e é também a parte que você pode mudar.
E um endereço é metade da maioria dos logins, o que leva ao ataque que torna os vazamentos tão caros.
Como um vazamento vira vários
A empresa atingida muitas vezes não é onde o dano acontece. Credential stuffing é o teste automatizado de pares de e-mail e senha vazados em outros serviços. Pares de muitos vazamentos são reunidos em enormes “combo lists”, e ferramentas os testam em provedores de e-mail, lojas, serviços de streaming, plataformas de jogos e armazenamento na nuvem. A maioria das tentativas falha. Mas o bastante dá certo para compensar, porque um acerto pode servir para comprar produtos com um cartão salvo, esvaziar pontos de fidelidade, enviar spam a partir de uma conta confiável ou iniciar redefinições de senha em serviços ligados.
Tudo isso depende da repetição de senhas. Por exemplo, pense em alguém que usou Harbour2019! no site de ingressos, em uma loja e no e-mail. O vazamento do site de ingressos expõe uma senha e três contas. Se cada site tivesse uma senha aleatória própria, o mesmo vazamento teria exposto uma única conta que a pessoa quase não usa. Pequenas alterações ajudam pouco, porque as ferramentas dos atacantes tentam as variações óbvias: trocar o ano, acrescentar um dígito, mudar o ponto de exclamação.
O password spraying é o espelho disso. Em vez de testar uma senha conhecida por pessoa, o atacante tenta algumas senhas muito comuns contra uma longa lista de endereços válidos. Sua senha não precisou vazar para isso funcionar. Bastou ser comum, e o vazamento forneceu o endereço.
Vale citar outra fonte de senhas roubadas, porque ela muda o conselho. Um malware conhecido como infostealer copia senhas salvas e cookies de login direto de um dispositivo infectado, e esses registros roubados circulam de forma parecida com os dados de vazamentos. Se uma senha que você nunca repetiu aparece como exposta, ou uma conta é invadida apesar de ter senha forte e sem vazamento conhecido, o seu dispositivo pode ser a origem. Passe um antivírus confiável e faça as trocas de senha em um dispositivo limpo, porque trocar uma senha num computador infectado pode entregar a nova também.
Verificando sua própria exposição
Um aviso fala de uma única empresa. Para ver o quadro mais amplo, use mais de uma fonte, já que nenhum banco de dados cobre todos os incidentes.
O Have I Been Pwned (haveibeenpwned.com), mantido pelo pesquisador de segurança Troy Hunt, é a consulta mais conhecida. Você digita um endereço e ele lista os vazamentos conhecidos que o contêm, com datas e tipos de dados. O recurso de notificação envia um e-mail quando seu endereço aparece em um vazamento recém-carregado, algo que vale configurar uma vez e esquecer. Alguns vazamentos considerados sensíveis ficam ocultos na busca pública e só aparecem depois que você prova ser dono do endereço. O Mozilla Monitor oferece uma consulta e alertas parecidos, usando os dados do Have I Been Pwned, e exige uma conta Mozilla para receber alertas contínuos.
Um resultado vazio não significa que você está seguro. Muitos vazamentos nunca são descobertos ou nunca chegam a esses serviços. Uma lista longa também não quer dizer que você está encrencado, já que entradas antigas costumam envolver senhas que você trocou há muito tempo. Olhe as datas e os tipos de dados e aja sobre tudo o que ainda possa estar em uso.
As consultas de e-mail precisam só do seu endereço. Com senhas é preciso mais cuidado. O Gerenciador de Senhas do Google tem o Verificação de senhas, o app Senhas dos dispositivos Apple tem uma seção Segurança que sinaliza senhas comprometidas e repetidas, e gerenciadores de terceiros têm relatórios semelhantes, como o Watchtower do 1Password e o relatório de senhas expostas do Bitwarden. Eles trabalham sobre a sua lista de senhas salvas, que também é a forma mais rápida de descobrir onde uma senha foi repetida.
O recurso Pwned Passwords mostra como uma verificação pode evitar revelar a senha. Seu dispositivo calcula um hash SHA-1 da senha e envia apenas os cinco primeiros caracteres. O serviço devolve todos os hashes vazados que começam com esses caracteres, e seu dispositivo compara o resto localmente. O serviço nunca recebe a senha nem o hash completo, um método chamado k-anonimato.
Nunca digite uma senha em um site qualquer que ofereça dizer se ela foi hackeada. Ferramentas embutidas no seu gerenciador de senhas ou no navegador são seguras. Uma página verificadora que você alcançou por um e-mail ou um anúncio pode estar apenas coletando senhas.
Você também pode aprender bastante com o seu próprio e-mail. Pesquise na caixa de entrada por “bem-vindo”, “verifique seu e-mail”, “confirme sua conta” e “sua senha foi alterada”. O resultado é uma lista aproximada dos serviços que têm seu endereço, alguns dos quais você terá esquecido. Essa lista será útil na seção de limpeza mais abaixo.
Uma auditoria completa da caixa de entrada
Trocar a senha não basta se alguém já esteve lá dentro. Quem entra numa caixa de entrada muitas vezes configura algo que sobrevive à troca de senha, então procure estas quatro coisas: sessões abertas, encaminhamento, filtros e dados de recuperação. Os nomes dos menus mudam com o tempo, mas os caminhos a seguir devem levar você perto.
Gmail e contas Google
No Gmail na web, vá até o ícone de engrenagem e depois em Ver todas as configurações. Em Encaminhamento e POP/IMAP, procure qualquer endereço de encaminhamento que você não adicionou e, em Filtros e endereços bloqueados, regras que excluam ou encaminhem mensagens. No canto inferior direito da caixa de entrada, o link Detalhes sob a última atividade da conta mostra os acessos recentes. Na sua Conta do Google, a página Segurança lista seus dispositivos, a atividade de segurança recente, o telefone e o e-mail de recuperação e as conexões de terceiros. Desconecte qualquer dispositivo e remova qualquer app que você não reconheça.
Outlook.com e contas Microsoft
No Outlook na web, abra Configurações e depois E-mail. Confira Encaminhamento e Regras. Na sua conta Microsoft, vá em Segurança para revisar a atividade de entrada e conferir quais métodos de verificação e apps estão conectados.
Apple e iCloud Mail
No iPhone, abra Ajustes, toque no seu nome e depois em Login e Segurança para revisar seus números de telefone confiáveis e as opções de recuperação. A lista de dispositivos, mais abaixo, mostra tudo o que está conectado à sua Conta Apple. As regras e o encaminhamento do iCloud Mail podem ser conferidos nos ajustes do Mail em iCloud.com.
Como é uma caixa de entrada adulterada
Um endereço de encaminhamento que você não adicionou é o sinal mais claro, já que envia cópias silenciosas do seu e-mail, incluindo redefinições de senha, para outra pessoa. Logo atrás vem um filtro que manda mensagens com palavras como “segurança”, “senha” ou o nome do seu banco direto para a lixeira ou o arquivo. Mensagens enviadas desconhecidas, um telefone de recuperação que você não conhece ou um app conectado que você nunca aprovou apontam para o mesmo lado.
Se encontrar qualquer um desses sinais, trate a caixa de entrada como comprometida. Remova o item, troque a senha de novo a partir de um dispositivo de confiança, encerre todas as sessões e depois examine os próprios e-mails. Procure mensagens de redefinição de senha que você não pediu, pois elas mostram quais outras contas foram alvo. O processo de recuperação de conta do seu provedor é o caminho certo se você ficou sem acesso, e você deve chegar a ele pelas páginas de ajuda do próprio provedor. Resultados de busca por “telefone de suporte de e-mail” são um terreno conhecido de golpistas.
Escolhendo um segundo fator
A autenticação em dois fatores barra a maior parte do credential stuffing, porque a senha vazada, sozinha, já não deixa ninguém entrar. Os métodos, porém, diferem bastante, e depois de um vazamento faz sentido subir suas contas importantes nesta tabela sempre que possível.
| Método | Quanto resiste | Onde falha |
|---|---|---|
| Códigos por SMS | Bem melhor que só a senha | SIM swaps; os códigos podem ser digitados em um site falso e repassados |
| Códigos enviados por e-mail | Fracos nas suas contas mais importantes | Inúteis se a própria caixa de entrada estiver comprometida, e sem sentido no login dela mesma |
| App autenticador (TOTP) | Bom, e não depende do seu número de telefone | Os códigos ainda podem ser capturados por uma página de login falsa bem feita; mantenha backups para quando trocar de celular |
| Aprovação por notificação | Boa quando pede para você conferir um número | Sem conferência de número, pedidos repetidos podem cansar a pessoa até ela tocar em Aprovar |
| Passkey ou chave de segurança física | A opção mais forte para a maioria das pessoas | Exige um pouco de configuração e uma segunda chave ou um dispositivo sincronizado como backup; nem sempre disponível |
As passkeys merecem atenção extra neste contexto. Uma passkey é uma credencial baseada em criptografia de chave pública e vinculada ao domínio de um único site. O site guarda só a metade pública, então uma tabela de usuários roubada não contém nada que consiga entrar como você. Um site de phishing parecido também não obtém nada, porque seu dispositivo não oferece a credencial ao domínio errado. Se seu provedor de e-mail e seu banco aceitam passkeys, um aviso de vazamento é um bom momento para configurar uma. Qualquer que seja o método, guarde os códigos de recuperação quando forem oferecidos, no gerenciador de senhas ou no papel, em um lugar seguro em casa.
Quando há dados de pagamento ou de identidade
Um vazamento comum de e-mail e senha não exige nada disto. Se a lista inclui números completos de cartão, dados bancários ou números de documentos oficiais, os próximos passos dependem de onde você mora e do que a empresa oferece.
No caso de cartões, ligue para o emissor pelo número impresso no cartão e pergunte se ele deve ser substituído. Confira os extratos recentes em busca de pequenas cobranças de teste, que costumam vir antes das maiores. Se a empresa oferecer monitoramento de identidade gratuito, acesse-o pelo site oficial dela, e saiba que o monitoramento só avisa dos problemas depois que eles começam.
Nos Estados Unidos, o congelamento de crédito é a ferramenta gratuita mais forte. A lei federal torna gratuito congelar e descongelar seu cadastro em cada um dos três birôs nacionais (Equifax, Experian e TransUnion), e o congelamento em geral impede a abertura de novo crédito em seu nome até que você o retire. É preciso contatar cada birô separadamente. Um alerta de fraude é uma opção mais leve, que pede aos credores que verifiquem sua identidade, dura um ano, e registrá-lo em um só birô o repassa aos outros. Se sua identidade foi usada indevidamente, o site IdentityTheft.gov, da FTC, gera um plano de recuperação e um relatório que você pode usar com bancos e birôs.
Em outros lugares, as opções são diferentes. No Reino Unido, você pode consultar seu cadastro nas agências de referência de crédito e perguntar ao seu banco o que ele recomenda, e há registro de proteção pago no serviço de prevenção a fraudes Cifas. Na UE e em muitos outros países, entre em contato com seu banco e consulte a orientação da autoridade nacional de defesa do consumidor ou de proteção de dados. Se o escaneamento de um passaporte ou documento de identidade nacional foi levado, a autoridade emissora pode dizer se a substituição é adequada.
Um número de telefone vazado tem sua própria solução. Peça à sua operadora um PIN da conta, um PIN de portabilidade ou um bloqueio de número, conforme o nome que ela use para isso. Essas medidas dificultam a fraude de SIM swap, na qual um atacante convence a operadora a mover seu número para o chip dele e passa a receber seus códigos por SMS. As operadoras variam no que oferecem, então pergunte diretamente.
Situações complicadas
Um vazamento num site que você nunca usou
Há várias explicações possíveis. Alguém pode ter digitado seu endereço errado ou usado de propósito, os dados podem ter vindo de um fornecedor que trabalha para a empresa citada, o vazamento pode ser uma lista coletada ou combinada, ou você pode simplesmente ter esquecido uma conta de anos atrás. Para descobrir, use a função “esqueci minha senha” no site oficial. Se chegar uma redefinição, existe uma conta, e você pode protegê-la ou encerrá-la. Se não foi você quem a criou, fale com a empresa, porque dados de outra pessoa podem estar ligados ao seu endereço.
Uma senha antiga que você não usa mais
É uma boa notícia, desde que “não usa mais” valha em todos os lugares. Contas esquecidas tendem a manter senhas antigas, e qualquer senha nova construída sobre o mesmo padrão também merece ser trocada. Procure por ela no seu gerenciador de senhas, se você tiver um.
Um e-mail de extorsão citando sua senha
Esse golpe é comum e assusta na primeira vez. O remetente cita como prova uma senha antiga sua que é real, diz que gravou você pela webcam e exige criptomoedas. No caso típico, a senha veio de uma lista de vazamento e não existe gravação nenhuma. Não pague e não responda. Troque essa senha em todos os lugares onde você ainda a usa, denuncie a mensagem e bloqueie o remetente. Se a mensagem contiver material privado real ou uma ameaça que você leve a sério, guarde uma cópia e procure a polícia.
Seu endereço de trabalho estava no vazamento
Avise sua equipe de TI ou de segurança, mesmo que pareça pouca coisa. Ela pode querer verificar a repetição de senhas nos sistemas da empresa, redefinir credenciais ou ficar de olho em phishing direcionado. Confira a política da sua empresa antes de se cadastrar em serviços de monitoramento com um endereço de trabalho e, no futuro, mantenha contas pessoais em um endereço pessoal.
Um pai, mãe ou parente recebeu o aviso
Siga a mesma ordem com essa pessoa, concentrando-se na caixa de entrada principal e nas senhas repetidas. Parentes mais velhos são alvos frequentes de ligações posteriores que mencionam o vazamento, então uma regra útil de combinar é que nenhuma empresa de verdade vai pedir que leiam um código em voz alta. Se quem ligar disser o contrário, a pessoa pode desligar e ligar de volta para um número que esteja em um cartão do banco ou em um extrato.
Uma mensagem sobre acordo ou indenização
Depois de grandes vazamentos, você pode receber mensagens sobre ações coletivas ou programas de indenização. Algumas são verdadeiras e outras são imitações feitas para coletar dados bancários. Confira o acordo em uma página oficial de tribunal, órgão regulador ou da empresa antes de preencher qualquer coisa. Não pague taxa para receber uma indenização.
Nas semanas seguintes
Passada a parte urgente, um vazamento é uma boa desculpa para corrigir o que o tornou perigoso. Nada disso precisa ser feito de uma só vez.
Comece por um gerenciador de senhas, se você não usa um. Ele gera uma senha aleatória para cada site e se recusa a preencher em um domínio parecido, o que também dá uma pequena proteção contra phishing. Escolha um produto conhecido, proteja-o com uma frase-senha longa e um segundo fator e migre primeiro as contas mais importantes. As demais podem vir à medida que você entrar nelas. As diretrizes de identidade digital do NIST desaconselham forçar trocas rotineiras de senha só por trocar e recomendam verificar as senhas contra vazamentos conhecidos, então você não precisa renovar tudo num calendário. Troque o que está exposto, fraco ou repetido.
Depois passe pela lista de contas esquecidas que você levantou na busca pela caixa de entrada. Toda conta parada é um dado armazenado esperando o próximo incidente. Entre, apague o que puder do perfil, exclua qualquer cartão salvo e encerre a conta. Quando não houver botão de exclusão, escreva para o contato de privacidade indicado na política de privacidade do site. Pelo GDPR e por algumas outras leis, incluindo a da Califórnia, muitas pessoas têm o direito de pedir a exclusão, embora a empresa possa manter registros que é obrigada a reter, e esses direitos dependem de onde você mora.
As perguntas de segurança vêm em seguida. “Nome de solteira da mãe” e “primeira escola” muitas vezes podem ser descobertos em dados de vazamentos ou nas redes sociais. Quando um site obrigar você a usá-las, dê uma resposta aleatória e salve-a no gerenciador de senhas como se fosse uma senha.
Por fim, continue atento por um tempo. Dados vazados seguem circulando por anos, e o phishing direcionado costuma chegar bem depois que as manchetes esfriam. Deixe os alertas de vazamento ligados, revise o relatório do seu gerenciador de senhas a cada alguns meses e demore a confiar em qualquer mensagem que mencione o serviço atingido.
Como tornar o próximo vazamento menor
Você não controla a segurança de uma empresa. Mas controla quanto ela guarda e até onde um vazamento pode se espalhar a partir daquele registro. O objetivo é que cada aviso futuro signifique uma checagem rápida de senha e nada mais.
Separe seus endereços por nível de confiança
A mudança mais útil é parar de entregar um único endereço a todo mundo. Uma estrutura simples de três níveis atende a maioria das pessoas, e nosso artigo sobre como montar uma estratégia de e-mail pessoal explica isso passo a passo.
| Nível | Use para | Tipo de endereço | O que um vazamento custa |
|---|---|---|---|
| Principal | Banco, governo, saúde, trabalho, gerenciador de senhas, redes sociais principais | Um endereço de longo prazo, com forte proteção de login, raramente compartilhado | Sério, mas esse nível raramente deve vazar, porque poucas empresas o têm |
| Cotidiano | Lojas, assinaturas, serviços que você mantém por anos | Uma segunda caixa de entrada, ou aliases que encaminham para a sua caixa | Contido; dá para desligar um único alias ou filtrá-lo |
| Pontual | Um único download, um formulário que você nunca mais vai usar, testar a sua própria página de cadastro | Uma caixa de entrada temporária, se os termos do site permitirem | Pequeno; o endereço não está ligado ao seu nome e a caixa deixa de existir |
O endereçamento com sinal de mais, como name+shop@example.com, fica em algum ponto do meio. Funciona no Gmail e no Outlook.com e pode mostrar quem vazou ou vendeu seu endereço. Ele não esconde nada, porque qualquer pessoa pode apagar a etiqueta e ver o endereço-base, e as ferramentas dos atacantes fazem exatamente isso. Aliases de encaminhamento, como os do iCloud+, do Proton ou do Firefox Relay, escondem o endereço real de verdade, pois nada no alias aponta para ele. Compras merecem atenção especial aqui, já que os bancos de dados das lojas guardam endereços de e-mail, telefones e endereços residenciais juntos. Nosso guia sobre privacidade de e-mail nas compras trata desse caso, inclusive como guardar seus comprovantes.
Onde uma caixa de entrada temporária ajuda
Uma caixa de entrada temporária serve para uma única ação em um site com o qual você não tem relação duradoura, por privacidade, e quando os termos do site permitem. O VookMail é um desses serviços: um endereço fica pronto quando a página carrega, sem cadastro e sem senha. Você pode tocar em Novo para digitar um nome de usuário e escolher um entre mais de 30 domínios, ou tocar no botão amarelo «Aleatório» para um endereço aleatório. Mensagens, anexos e endereços são excluídos depois de cerca de um dia.
Essa vida curta é o que limita um vazamento futuro. Se um site que você visitou uma vez vazar depois a tabela de usuários, o endereço dessa tabela leva a uma caixa que já não guarda nada e não tem ligação com seu nome, telefone ou caixa de entrada principal. Qualquer senha que você criou lá ainda importa, então faça com que seja única. Os dados que você preencheu no perfil também ficam expostos, e esse é um bom motivo para preencher apenas o que o formulário exige.
Os limites são igualmente claros. Qualquer pessoa que conheça ou adivinhe um endereço temporário pode abrir aquela caixa, por isso um endereço aleatório é a escolha mais segura e nada privado deve ficar ali. Você não consegue receber de forma confiável uma redefinição de senha semanas depois, então é a ferramenta errada para qualquer conta de que você possa precisar de novo, e nunca deve ser usada para banco, serviços públicos, saúde, trabalho ou suas redes sociais principais. Alguns sites recusam domínios descartáveis. A decisão é deles, e a resposta certa é respeitá-la e dar a eles um endereço permanente ou um alias. Nossos termos e condições também proíbem usar o serviço para fraude, abuso ou para contornar um banimento.
Entregue menos desde o início
O dano depende do que foi armazenado. Deixe os campos opcionais vazios. Evite salvar um cartão em um site que você usa pouco. Tenha cuidado com os botões “Entrar com” em serviços em que você não confia totalmente e veja o acesso ao perfil que eles pedem. Recuse informar um telefone, a menos que o site realmente precise dele por segurança. Uma data de nascimento que o site só quer para um cupom de aniversário é um dado que você pode simplesmente guardar para si, quando o formulário permitir.
Dois lugares diferentes guardam seus dados
Ajuda separar dois tipos de incidente que costumam ser misturados. Quando um serviço sofre um vazamento, o atacante leva o que aquele serviço armazenava: seu endereço, seu perfil e o que mais estivesse no banco de dados. Quando sua caixa de entrada é comprometida, o atacante leva outra coisa, a saber, todas as mensagens que você guardou, incluindo recibos antigos, links de redefinição de senha, documentos escaneados e conversas privadas.
O segundo caso costuma ser pior, e é por isso que este guia sempre traz você de volta à caixa de entrada. Ele também sugere um hábito modesto: você não precisa de dez anos de e-mails de pouco valor na sua conta principal. Apagar avisos antigos de envio e newsletters reduz o que uma invasão da caixa de entrada pode revelar, e guardar documentos importantes em outro lugar seguro, com proteção própria, custa pouco.
As caixas de entrada temporárias ficam na ponta extrema dessa ideia. No VookMail, os registros MX de cada domínio apontam para um provedor de entrega de e-mail, que recebe a mensagem por SMTP e a encaminha ao serviço por HTTPS. Como mensagens e anexos são removidos depois de cerca de um dia, nenhum arquivo longo se acumula. O modo como o serviço trata os dados é explicado na política de privacidade e na página de metodologia.
Como o vazamento aconteceu e por que isso importa para você
As empresas nem sempre explicam a causa em detalhes, mas, quando explicam, isso pode indicar o que esperar.
- Um comprometimento de banco de dados, por uma falha como SQL injection ou um servidor sem atualização, em geral significa que a tabela de usuários foi copiada em massa. Espere endereços e hashes de senha e presuma que os dados serão negociados.
- Armazenamento mal configurado significa que um banco de dados ou um bucket na nuvem ficou aberto para a internet. Pode ser que ninguém tenha “hackeado” nada, e a empresa pode não saber quem baixou os dados, de modo que a resposta honesta para “meus dados foram levados?” pode ser “não sabemos dizer”.
- Um incidente em fornecedor significa que uma plataforma de marketing, uma central de suporte ou uma ferramenta de análise foi comprometida. Isso explica avisos vindos de nomes que você não reconhece, e costuma expor dados de contato e tíquetes de suporte, não senhas. Tudo o que você escreveu em um tíquete de suporte pode estar incluído, então lembre o que enviou.
- O scraping coleta dados de perfil públicos ou semipúblicos em grande escala, por um site ou uma API. As empresas às vezes argumentam que isso não é um vazamento, mas seu endereço vai parar em um conjunto de dados negociado do mesmo jeito.
- O uso indevido por pessoas de dentro significa que um funcionário ou prestador exportou dados que não deveria. Costuma ser direcionado, então mensagens posteriores incomuns e pessoais merecem mais desconfiança.
Erros fáceis de cometer sob pressão
O mais comum é trocar apenas a senha do site atingido e deixar a mesma no e-mail e nas contas de lojas. Logo em seguida vem uma pequena variação da senha antiga. Passar de Summer2024! para Summer2025! dá a uma ferramenta de quebra de senhas quase nenhum trabalho extra.
As pessoas também tendem a parar numa única mudança. Pulam as regras de encaminhamento, que é como alguém que já estava dentro antes da troca de senha continua recebendo e-mails depois dela. Confiar em códigos por SMS quando um app autenticador ou uma passkey está disponível deixa uma brecha em contas críticas, embora o SMS ainda seja melhor que nada quando é a única escolha.
Há ainda o erro oposto: tratar todo aviso como emergência. Se só o seu endereço vazou de uma conta que você pode simplesmente encerrar, não precisa trocar de endereço de e-mail, nem pagar por um produto de monitoramento só porque apareceu um anúncio assustador. Guarde seu esforço para os casos em que envolveram uma senha, um cartão ou um número de documento.
Perguntas que surgem depois de um aviso
Devo excluir minha conta de e-mail?
Em geral, não. Seu endereço principal está ligado a anos de redefinições de senha e contatos, e abandoná-lo cria riscos próprios, já que uma conta esquecida pode ser difícil de recuperar. Proteja-o e pare de dá-lo a sites de baixa confiança. Um endereço novo só faz sentido se o antigo estiver irremediavelmente exposto, e aí você deve migrar suas contas aos poucos e manter o antigo aberto por um tempo.
A empresa diz que as senhas estavam criptografadas. Ainda preciso trocar a minha?
Sim. Sem saber o método e se as chaves também foram levadas, você não consegue avaliar a proteção, e trocar uma senha leva menos tempo do que descobrir. Troque-a também em qualquer outro lugar onde a tenha usado.
Um endereço temporário pode evitar um vazamento?
Nenhuma ferramenta impede que uma empresa sofra um vazamento. Um endereço temporário muda o que o vazamento revela sobre você. Se um fórum em que você entrou assim vazar a tabela de usuários, o endereço vazado não tem ligação com a sua identidade, desde que você não tenha informado mais nada que o identifique.
Com que frequência devo verificar?
Ative os alertas para que a verificação aconteça sem você. Basta uma olhada manual no relatório do gerenciador de senhas a cada alguns meses, mais uma extra quando um serviço que você usa estiver nas notícias.
Pagar por monitoramento da dark web ajuda?
Depende do que você está comprando. Esses produtos, em sua maioria, informam que seus dados apareceram em algum lugar, o que você consegue descobrir em boa parte de graça nos serviços de consulta citados acima. Um seguro de identidade ou a ajuda na recuperação pode ter alguma utilidade se os dados do seu documento oficial foram expostos, então leia o que o plano realmente cobre antes de pagar.
A quem devo denunciar?
Normalmente você não precisa denunciar o vazamento de uma empresa, porque ela tem as próprias obrigações perante os órgãos reguladores. Denuncie se perdeu dinheiro ou está sendo extorquido: primeiro ao seu banco, depois à polícia ou ao serviço nacional de denúncia de fraudes. Na UE e no Reino Unido, você pode reclamar à sua autoridade de proteção de dados se uma empresa tratar mal o incidente ou ignorar seus pedidos.
Para saber mais sobre como funcionam as caixas de entrada temporárias e por quanto tempo as mensagens ficam guardadas, veja as Perguntas frequentes do VookMail.