Minha senha vazou? Como saber e o que fazer agora

Para saber se a sua senha vazou, confira-a em uma base de vazamentos que não exige enviar a senha, como a verificação de senha vazada do Qual Meu IP, e consulte o seu e-mail no Have I Been Pwned. Se ela aparecer, troque-a já em todos os serviços onde você a usa, começando pelo e-mail principal, ative a verificação em duas etapas e encerre as sessões que você não reconhece.

Uma senha vazada não significa, por si só, que alguém já entrou na sua conta. O risco está no que vem depois: listas com e-mails e senhas circulam entre criminosos e são testadas automaticamente em bancos, lojas e redes sociais. A seguir, você vê como as senhas vazam, como conferir sem se expor, o que fazer nos primeiros 30 minutos e como evitar que o próximo vazamento vire um problema.

Como as senhas vazam

O CERT.br lembra que vazamentos também acontecem por furto de equipamentos, erro humano e descuido no tratamento de dados. Em geral, você só fica sabendo quando a empresa avisa, quando um serviço de monitoramento alerta ou quando algo estranho acontece na conta.

Sinais de que alguém pode ter entrado na sua conta

• Aviso de login em um aparelho ou local que você não reconhece.
• Senha, telefone ou e-mail de recuperação alterados sem você pedir.
• Mensagens, publicações ou compras que você não fez.
• Contatos recebendo pedidos de dinheiro em seu nome.
• E-mails que somem da caixa de entrada, o que pode indicar um filtro ou encaminhamento criado pelo invasor.
• Pedidos de aprovação de login no celular que você não iniciou.

Se notar qualquer um deles, vá direto ao passo a passo dos primeiros 30 minutos, mais abaixo.

Como verificar se sua senha ou e-mail vazou

Existem dois tipos de verificação, e vale fazer os dois: um confere a senha (se aquela sequência exata de caracteres já apareceu em algum vazamento) e o outro confere o e-mail (em quais incidentes conhecidos o seu endereço foi exposto).

Em outubro de 2026, o Have I Been Pwned reunia mais de 17 bilhões de contas expostas, vindas de mais de mil sites e serviços que sofreram vazamentos (o mesmo e-mail pode aparecer em vários deles). Mesmo assim, nenhuma base é completa: vazamentos recentes ou que nunca se tornaram públicos não aparecem. E desconfie de sites desconhecidos que prometem “mostrar seus dados vazados” em troca do CPF ou da senha: o CERT.br alerta que eles podem ser armadilhas para coletar mais dados ou espalhar vírus.

Como dá para verificar sem expor a senha

A verificação de senha usa uma técnica chamada k-anonimato. O navegador calcula o hash SHA-1 da senha, um código de 40 caracteres, e envia só os 5 primeiros ao serviço Pwned Passwords. O serviço devolve todos os hashes da base que começam com esses 5 caracteres, que costumam ser centenas ou milhares, e a comparação final acontece no seu aparelho. Como existem pouco mais de 1 milhão de prefixos possíveis (16 elevado a 5), quem observar a consulta não consegue saber qual é a senha. O funcionamento completo, com um diagrama, está na página da ferramenta de senha vazada.

Como interpretar o resultado

• A senha apareceu, nem que seja uma vez: troque-a em todos os lugares onde a usa. Isso não prova que a sua conta foi invadida (outra pessoa pode ter usado a mesma senha), mas ela já está nas listas usadas em ataques.
• A senha não apareceu: não quer dizer que ela seja forte. Uma senha curta ou previsível pode ser adivinhada sem nunca ter vazado.
• O e-mail apareceu em vazamentos: veja a data e os dados expostos em cada incidente. Se a senha daquele serviço é a mesma de outros, troque em todos.

O que fazer nos primeiros 30 minutos

Se a senha vazou ou você suspeita de invasão, siga esta ordem. Ela começa pelo e-mail porque é por ele que se recuperam quase todas as outras contas.

Se o vazamento incluiu CPF, cartão ou dados bancários

Senha se troca; CPF, não. Quando o vazamento expõe documentos ou dados financeiros, o objetivo passa a ser impedir que alguém use a sua identidade. Parte destas medidas vem do fascículo sobre vazamentos do CERT.br; as demais são serviços oficiais gratuitos:

• Cartão: bloqueie ou troque o cartão pelo app do banco e revise as faturas, inclusive as anteriores.
• Contas e empréstimos em seu nome: o Registrato, do Banco Central, mostra contas, chaves Pix e empréstimos ligados ao seu CPF. O acesso exige conta gov.br nível prata ou ouro com verificação em duas etapas ativa.
• Bloqueio de novas contas: com o BC Protege+, você informa às instituições financeiras que não quer abrir contas no momento, e elas ficam impedidas de abrir conta em seu nome enquanto a proteção estiver ativa. É gratuito e pode ser desligado quando você precisar.
• Linhas de celular: o Cadastro Pré-Pago, mantido pelas operadoras, mostra se há linhas pré-pagas ativas no seu CPF na Algar, Claro, Sercomtel, TIM e Vivo.
• Empresas em seu nome: a Proteção do CPF, no Portal Nacional da Redesim, bloqueia a abertura de empresas com o seu CPF.
• Boletim de ocorrência: registre se alguém se passar por você, se houver prejuízo ou se tentarem extorquir você com os dados. O BO costuma ser exigido para contestar fraudes.

O que a LGPD exige da empresa que vazou

Pela Lei Geral de Proteção de Dados (art. 48), a empresa precisa comunicar à ANPD e às pessoas afetadas os incidentes de segurança que possam causar risco ou dano relevante. O regulamento da ANPD (Resolução CD/ANPD nº 15/2024) fixa o prazo de três dias úteis, contados de quando a empresa sabe que dados pessoais foram afetados, e o aviso ao titular deve informar quais dados foram atingidos, os riscos e as medidas de segurança adotadas. Se a empresa não responder aos seus pedidos de esclarecimento, você pode recorrer à ANPD pelos canais de atendimento ao titular. Seus direitos estão explicados em LGPD e seus dados.

Gerenciadores de senha e chaves de acesso

Ninguém consegue memorizar dezenas de senhas longas e diferentes, e é aí que a repetição começa. Um gerenciador de senhas cria, guarda e preenche uma senha única para cada site. De quebra, ele só preenche a senha no domínio em que ela foi salva, o que ajuda a perceber páginas falsas.

Se preferir não usar um aplicativo, o CERT.br considera aceitável anotar as senhas em papel guardado em local seguro ou mantê-las em um arquivo criptografado. O essencial é não repetir a mesma senha em vários lugares.

As chaves de acesso (passkeys) vão além: trocam a senha por uma chave criptográfica guardada no aparelho e liberada com a biometria ou o bloqueio de tela. Elas não podem ser copiadas, anotadas ou digitadas em uma página falsa, porque só funcionam no site para o qual foram criadas. Google, Apple, Microsoft e WhatsApp já aceitam o recurso (no iPhone, a Apple o chama de “chaves-senha”). Quando o serviço oferecer, prefira a chave de acesso à senha.

Erros comuns depois de um vazamento

• Trocar só a senha do site que vazou e manter a mesma nos outros.
• Criar uma variação previsível da senha antiga.
• Trocar as senhas no mesmo computador infectado.
• Tocar no link de um “aviso de vazamento” recebido por e-mail ou SMS. O próprio Google orienta abrir o Check-up de senha diretamente para confirmar se um alerta é autêntico.
• Pagar quem promete “apagar seus dados da internet” ou ameaça divulgá-los. Dados que já circulam não desaparecem; em caso de extorsão, registre boletim de ocorrência.
• Baixar ou comprar bases vazadas “para conferir”: isso incentiva novos vazamentos e os arquivos podem trazer malware.

Se a sua preocupação é com o endereço de conexão, e não com senhas, veja como saber se o seu IP foi vazado.