Se sua senha apareceu em um vazamento, não clique no link do alerta. Abra o aplicativo oficial ou digite o endereço conhecido do serviço, confirme o aviso e troque a credencial por uma senha longa e exclusiva. Se ela também era usada no e-mail, proteja o e-mail primeiro. Depois, altere a senha em todas as contas que repetiam a combinação, encerre sessões desconhecidas, revise os dados de recuperação e ative a autenticação em dois fatores.
O alerta exige ação rápida, mas não confirma sozinho que alguém invadiu sua conta. A diferença aparece nos registros de acesso, nas sessões abertas e em alterações que você não reconhece.
Sua senha apareceu em um vazamento: o que significa
O aviso normalmente indica que uma combinação de usuário e senha foi encontrada em dados conhecidos como expostos. O incidente pode ter ocorrido no próprio serviço ou em outro site onde a mesma credencial foi utilizada. O alerta do navegador também não significa que o navegador causou o vazamento; ele compara credenciais salvas com bases de senhas comprometidas.
A senha deixou de ser confiável mesmo que o vazamento seja antigo ou a conta pareça normal. Criminosos podem testar combinações expostas automaticamente e guardá-las para tentativas futuras.
Vazamento, tentativa de acesso e invasão não são a mesma coisa
Vazamento: a credencial ou outro dado foi exposto, mas não há evidência de uso na conta.
Tentativa de acesso: aparece um login malsucedido, código não solicitado ou pedido de aprovação que você negou.
Invasão confirmada: há login bem-sucedido desconhecido, mensagens enviadas, compras, mudança de senha, novo dispositivo ou alteração dos dados de recuperação.
Uma tentativa bloqueada pela senha já trocada ou pelo segundo fator não equivale a uma invasão. Mesmo assim, ela justifica revisar a atividade e manter a conta sob observação.
Como confirmar o alerta sem cair em outro golpe
Golpistas também enviam mensagens sobre supostos vazamentos para provocar urgência. Um e-mail falso pode copiar a marca de um banco ou rede social e levar a uma página criada para roubar a senha nova.
Não responda à mensagem nem use o link, o telefone ou o botão apresentado nela.
Abra o aplicativo instalado por uma loja oficial ou digite o endereço que você já conhece.
Entre na área de segurança, alertas, senhas ou atividade recente.
Confira se o aviso também aparece dentro da conta ou no gerenciador de senhas.
Se precisar de suporte, use somente o canal publicado no aplicativo ou no site oficial.
Onde verificar avisos de senhas comprometidas
No Chrome, o Gerenciador de Senhas do Google possui um Check-up que identifica senhas expostas, fracas ou reutilizadas. No Edge, o Microsoft Password Manager oferece a verificação de segurança de senhas. Em dispositivos Apple atuais, o aplicativo Senhas apresenta recomendações na área Segurança. Os nomes podem variar conforme o sistema, a versão e o idioma.
Um alerta exibido por uma dessas ferramentas pode ser legítimo. Ainda assim, faça a troca no site ou aplicativo da conta afetada, não em uma página aberta por mensagem inesperada.
Proteja as contas na ordem certa
Quando várias contas usavam a mesma senha, comece pelas que permitem recuperar outras contas, movimentar dinheiro, representar você ou acessar informações sensíveis. Uma ordem prática é: e-mail principal; banco, carteira e serviços de pagamento; contas profissionais; mensageiros e redes sociais; lojas com cartão salvo; demais serviços.
Por que o e-mail principal vem primeiro
O e-mail costuma receber links de redefinição, códigos, notas fiscais e alertas. Quem o controla pode tentar trocar senhas de outros serviços e esconder os avisos. Por isso, revise dispositivos, sessões, telefone e e-mail de recuperação, aplicativos conectados, encaminhamentos automáticos e filtros que movam mensagens para a lixeira ou para outra pasta.
Imagine que uma pessoa usava a mesma senha no e-mail e em uma loja virtual. Se trocar apenas a senha da loja, a credencial exposta ainda poderá abrir o e-mail. Proteger o e-mail primeiro fecha uma rota de recuperação usada contra as demais contas.
Troque a senha vazada sem repetir o problema
Crie uma senha que nunca tenha sido usada em outro serviço. Como referência prática, prefira 16 caracteres ou mais quando a plataforma permitir, ou use a senha longa e aleatória gerada por um gerenciador. Comprimento e exclusividade importam mais do que cumprir uma fórmula previsível de letras, números e símbolos.
Não transforme uma senha antiga trocando apenas o ano, a primeira letra ou acrescentando um símbolo. Essas variações preservam o padrão que já foi exposto. Também não é necessário trocar senhas seguras em intervalos fixos sem motivo; a troca é necessária diante de vazamento, suspeita de captura ou acesso indevido.
O que fazer se a senha foi reutilizada
Liste todos os serviços onde a mesma senha ou uma variação próxima era usada. Consulte as entradas salvas no seu gerenciador, sem colocar a credencial em planilhas, mensagens ou arquivos de texto. Depois, substitua cada repetição por uma senha diferente.
Esse cuidado impede o credential stuffing, ou preenchimento de credenciais: tentativas automatizadas de usar pares de e-mail e senha obtidos em um incidente para entrar em outros sites.
Um gerenciador de senhas é seguro?
Um gerenciador confiável ajuda a gerar e guardar credenciais únicas, reduzindo a reutilização. Entretanto, nenhum produto garante risco zero. Mantenha o aplicativo atualizado, proteja-o com uma senha mestra longa e exclusiva, ative o segundo fator e tenha um método seguro de recuperação. Escolha uma solução conhecida, obtida por fonte oficial e compatível com seus dispositivos.
Encerre sessões e revise métodos de recuperação
Trocar a senha nem sempre encerra todas as sessões já autenticadas. Use a área de segurança da plataforma para revisar dispositivos e sair das sessões desconhecidas. Quando houver a opção “sair de todos os lugares”, ela pode ser útil após uma invasão; depois, entre novamente apenas nos seus dispositivos.
Confira telefone, e-mail alternativo, chaves, passkeys, códigos de backup e perguntas de recuperação. Remova informações e aplicativos conectados que você não reconheça. Antes de excluir algo suspeito, registre telas, datas e mensagens caso exista fraude ou necessidade de suporte.
Como identificar sinais de acesso indevido
Verifique logins bem-sucedidos, localização aproximada, navegador, dispositivo, compras, mensagens, publicações e mudanças de configuração. A localização pode ser imprecisa por causa da operadora ou de uma VPN; combine vários sinais antes de concluir que houve invasão.
Na conta Microsoft pessoal, a atividade recente cobre os últimos 30 dias. Google e Apple também permitem revisar dispositivos e eventos de segurança. Rejeite pedidos de login que você não iniciou e nunca informe códigos de autenticação a outra pessoa.
O que fazer se a conta já foi invadida
Se o invasor alterou a senha ou os dados de recuperação, use o fluxo oficial de conta comprometida da plataforma. Faça isso em um dispositivo confiável. Se o computador apresenta extensões desconhecidas, redirecionamentos, programas suspeitos ou alertas de malware, atualize o sistema e execute uma verificação de segurança antes de cadastrar novas credenciais.
Não pague supostos técnicos nem ligue para números encontrados em anúncios. Preserve alertas, protocolos e comprovantes. Avise contatos se sua conta enviou mensagens falsas. Se houver compra, transferência, empréstimo ou movimentação não reconhecida, fale imediatamente com o banco ou instituição pelo aplicativo, cartão ou site oficial.
Apagar a conta não costuma ser a primeira medida. Primeiro recupere o controle, interrompa acessos, preserve os registros e avalie quais dados ou serviços dependem dela.
Ative a melhor autenticação disponível
A autenticação em dois fatores adiciona outra verificação além da senha. Ela ainda ajuda quando a senha vaza, mas sessões roubadas, recuperação mal protegida, códigos entregues a golpistas e aprovações indevidas continuam sendo riscos.
Quando o serviço oferecer opções, prefira passkeys ou chaves de segurança compatíveis com FIDO/WebAuthn. Em seguida, use um aplicativo autenticador. Deixe SMS ou ligação para situações em que não exista alternativa mais resistente. Gere códigos de backup, guarde-os em local protegido e nunca os envie a terceiros.
Passkeys ajudam, mas não eliminam todos os riscos
Passkeys são credenciais criptográficas exclusivas para cada site ou aplicativo. Elas não são reutilizadas como senhas e resistem melhor a páginas falsas. Porém, o dispositivo precisa estar protegido por bloqueio de tela, e você ainda deve revisar dispositivos perdidos, sincronização e métodos de recuperação. Ative uma passkey somente dentro do serviço oficial e mantenha uma forma segura de recuperar a conta.
É seguro consultar o Have I Been Pwned?
O site oficial do Have I Been Pwned permite pesquisar se um endereço de e-mail aparece nos incidentes reunidos pelo serviço. Essa consulta não exige a senha. Digite apenas um endereço que pertença a você e confira quais serviços e tipos de dados são listados.
Um resultado negativo não prova que nunca houve exposição; significa apenas que o endereço não foi encontrado nos dados carregados. O serviço também possui uma verificação de senhas baseada em anonimização, mas você não precisa inserir sua senha real para seguir este guia. Prefira os avisos do gerenciador já usado e nunca envie a senha completa para ferramentas desconhecidas.
Erros comuns depois de receber o alerta
Usar o link ou o telefone da própria mensagem sem confirmar a origem.
Trocar a senha apenas no serviço citado e esquecer outras contas que a reutilizavam.
Criar uma pequena variação da credencial vazada.
Proteger redes sociais antes do e-mail que recupera essas contas.
Ignorar sessões, filtros de e-mail, dispositivos e aplicativos conectados.
Aprovar uma solicitação de login apenas para interromper notificações repetidas.
Acreditar que 2FA ou passkeys eliminam todos os riscos.
Trocar senhas em um dispositivo que ainda pode estar infectado.
Checklist de resposta rápida
Não clique em links, botões ou telefones do alerta.
Abra o aplicativo oficial ou digite o endereço conhecido do serviço.
Confirme o aviso na área de segurança ou no gerenciador de senhas.
Proteja primeiro o e-mail principal se a senha foi repetida nele.
Crie uma senha longa, aleatória e exclusiva para a conta afetada.
Localize e altere todas as outras contas que reutilizavam a credencial.
Encerre sessões desconhecidas e remova dispositivos não reconhecidos.
Revise recuperação, encaminhamentos, filtros e aplicativos conectados.
Confira atividades, mensagens, compras e alterações recentes.
Ative o método de autenticação mais resistente disponível.
Use somente a recuperação e o suporte oficiais se perdeu o acesso.
Monitore novos alertas e contate o banco imediatamente diante de fraude.
Conclusão
Quando uma senha aparece em um vazamento, a resposta correta é confirmar o alerta fora da mensagem, proteger o e-mail, substituir a credencial em todos os lugares onde ela foi repetida e revisar sessões e recuperação. Faça as mudanças em um dispositivo confiável e use senhas exclusivas com autenticação forte. O próximo passo é abrir agora o gerenciador de senhas que você já utiliza e procurar outras credenciais expostas ou reutilizadas.
Continue na DEVM: Como recuperar uma conta com autenticação em dois fatores; Como saber se um link é falso antes de clicar; Golpe do falso suporte: como funciona e como se proteger
