Como saber se o seu e-mail apareceu em um vazamento de dados

Um vazamento de dados acontece quando informações guardadas por uma empresa são expostas ou roubadas, seja por um ataque, por um servidor mal configurado ou por alguém de dentro. Os dados vazados costumam incluir endereços de e-mail, às vezes junto com nomes, telefones, datas de nascimento, documentos como o CPF e senhas. Essas senhas podem estar guardadas em texto puro ou em forma de hash, e hashes de senhas fracas muitas vezes podem ser quebrados.

O seu endereço de e-mail é o fio que liga todos esses dados. Os criminosos usam o e-mail para testar senhas vazadas em outros serviços, para escrever mensagens de phishing convincentes que citam um serviço que você realmente usa e para atacar os fluxos de redefinição de senha. Saber em quais vazamentos o seu endereço aparece mostra quais senhas trocar e que tipo de golpe esperar.

Aparecer em um vazamento não significa que a sua caixa de e-mail foi invadida. Significa que um serviço em que você usou aquele endereço perdeu dados ligados a ele. O risco real depende do que foi exposto e de você ter usado ou não a mesma senha em outro lugar.

O serviço gratuito mais conhecido é o Have I Been Pwned, criado por um pesquisador de segurança independente. Ele reúne dados de vazamentos publicamente conhecidos e permite digitar um endereço de e-mail para ver em quais incidentes ele aparece e que tipos de dados foram expostos. O serviço não mostra as senhas vazadas em si, e você pode se inscrever para receber um aviso se o seu endereço aparecer em um vazamento futuro.

Muitos gerenciadores de senhas, incluindo os que vêm integrados aos produtos do Google, da Apple e da Microsoft, também avisam quando uma senha salva aparece em dados de vazamentos conhecidos. Alguns provedores de e-mail e de segurança oferecem um monitoramento parecido. Essas verificações são úteis porque analisam as suas senhas de verdade, e não só o seu endereço.

Tome cuidado com os verificadores em que você confia. Um serviço legítimo só precisa do seu endereço de e-mail e nunca pede a senha do e-mail. Evite sites que cobram para mostrar o resultado ou pedem para instalar algum programa, e ignore mensagens não solicitadas que dizem que os seus dados vazaram e insistem para você clicar em um link. Nunca saia procurando bancos de dados vazados por conta própria: mexer com eles é arriscado, muitas vezes ilegal e uma forma comum de espalhar malware.

O resultado costuma listar cada vazamento pelo nome do serviço, pela data em que aconteceu e pelos tipos de dados envolvidos. Concentre-se nos tipos de dados. Um e-mail e um nome expostos aumentam principalmente o risco de phishing. Senhas, perguntas de segurança ou números de telefone expostos exigem ação nas suas contas.

Vazamentos antigos continuam importando se você usou a mesma senha em outro lugar, mesmo há muito tempo, porque os criminosos seguem testando combinações antigas. Se você não lembra qual senha usou em um serviço que vazou, parta do princípio de que era uma das que você repete e troque-a em todos os lugares onde ela aparece.

Um resultado limpo é uma boa notícia, mas não quer dizer que está tudo resolvido. Nem todo vazamento se torna público, e alguns só são descobertos muito tempo depois. Senhas exclusivas e autenticação em dois fatores protegem você, tenha o vazamento sido divulgado ou não.

Troque a senha no serviço que vazou, se você ainda tiver a conta, e depois em todas as outras contas em que usou a mesma senha ou uma parecida. Comece pela sua conta de e-mail, porque quem controla o e-mail consegue redefinir todo o resto. Use um gerenciador de senhas para gerar uma senha nova e exclusiva para cada conta.

Ative a autenticação em dois fatores em todos os serviços que oferecem essa opção, começando pelo e-mail, pelo armazenamento em nuvem e por tudo o que estiver ligado a pagamentos. Um app autenticador ou uma chave de segurança mantém você protegido mesmo que um vazamento futuro exponha a sua nova senha.

Se o vazamento expôs perguntas de segurança, troque as respostas e trate-as como senhas: uma resposta aleatória guardada no gerenciador de senhas é mais segura do que o nome verdadeiro da sua primeira escola. Se dados de pagamento estiverem envolvidos, acompanhe de perto a fatura do cartão e o extrato e siga as orientações do seu banco.

Quem consegue entrar em uma conta de e-mail costuma tentar ficar lá sem ser notado. Abra as configurações do e-mail e confira encaminhamentos, filtros e regras. Um endereço de encaminhamento desconhecido, ou uma regra que move ou apaga mensagens com palavras como fatura, boleto, senha ou segurança, é um forte sinal de invasão. Remova tudo o que você não criou.

Depois, confira o e-mail e o telefone de recuperação, qualquer acesso delegado ou permissão de caixa compartilhada, as respostas automáticas e a sua assinatura. Olhe a pasta de enviados e a lixeira em busca de mensagens que você não escreveu ou não apagou. Nos serviços que usam senhas de app, revise-as e revogue as que você não reconhecer.

Os nomes exatos dos menus mudam de um provedor para outro, como Gmail, Outlook e Yahoo, mas essas opções normalmente ficam nas configurações do e-mail, em encaminhamento, filtros ou regras, e na seção de segurança da conta.

Nas configurações de segurança da conta, abra a lista de dispositivos e sessões ativas. Saia de tudo o que você não reconhecer, ou use a opção de encerrar todas as outras sessões, e depois entre de novo nos seus próprios dispositivos. Só trocar a senha nem sempre encerra as sessões que já estão abertas.

Revise os apps e serviços de terceiros que têm acesso à sua conta, por exemplo pelos botões de fazer login com Google ou com Microsoft, e remova tudo o que você não usa mais ou não reconhece. Essas conexões podem continuar funcionando mesmo depois da troca de senha.

Por fim, leia a página de atividade recente de segurança, onde a maioria dos provedores lista logins, trocas de senha e novos dispositivos. Se encontrar um login bem-sucedido feito de um lugar ou dispositivo que você não conhece, repita a troca de senha e o encerramento das sessões e confirme se as suas opções de recuperação continuam corretas.

Inscreva-se para receber alertas de vazamento de todos os endereços que você usa e ative os alertas de vazamento do seu gerenciador de senhas. Um aviso antecipado dá tempo de trocar a senha antes que ela seja testada nas suas outras contas.

Pense em usar endereços ou aliases separados para finalidades diferentes, como um para o banco e os serviços importantes e outro para newsletters e compras on-line. Alguns provedores aceitam aliases ou o recurso de endereço com o sinal de mais, o que também ajuda a descobrir qual serviço vazou ou repassou o seu endereço.

Se você usa uma conta de e-mail que recebeu de outra pessoa, inclusive uma comprada em um marketplace como o rStock, faça as verificações de caixa de entrada e de sessões descritas acima assim que a entrega aparecer na página do pedido, antes de vincular a conta a qualquer coisa importante. Use a conta de acordo com os termos de uso do provedor. Os mesmos hábitos de senhas exclusivas, autenticação em dois fatores e revisões periódicas mantêm qualquer caixa de e-mail, nova ou antiga, sob o seu controle.