Para verificar se sua senha vazou, compare-a com bancos de dados de credenciais expostas em violações de dados anteriores, idealmente usando um método chamado k-anonimato que nunca envia sua senha real para lugar nenhum. A maneira segura mais rápida é um verificador de vazamentos que faz o hash da sua senha localmente e transmite apenas um fragmento de cinco caracteres desse hash. Se sua senha aparecer em um vazamento conhecido, trate-a como comprometida e altere-a em todos os lugares onde a reutilizou.
Essa última frase é a parte que as pessoas ignoram. Uma senha vazada não é apenas um problema para o site que sofreu a violação. Os invasores alimentam essas credenciais vazadas em formulários de login em milhares de outros sites, apostando que você reutilizou a mesma senha. Este guia mostra como verificar com segurança, por que o método seguro é realmente seguro e exatamente o que fazer se você obtiver um resultado ruim.
Por que uma senha vazada é mais perigosa do que parece#
Quando uma empresa sofre uma violação de dados, as informações roubadas geralmente incluem endereços de e-mail e senhas. Essas listas são negociadas, vendidas e eventualmente divulgadas publicamente. Depois que sua senha está em uma dessas listas, ela deixa de ser um segredo.
O verdadeiro dano vem do preenchimento de credenciais. Os atacantes pegam pares de e-mail e senha vazados de uma violação e os testam automaticamente em bancos, provedores de e-mail, sites de compras e redes sociais. A automação permite testar milhões de combinações a baixo custo.
Se você usou a mesma senha no site violado e na sua conta de e-mail, uma violação pode se transformar em uma invasão total da conta. É por isso que pensar "mas era só meu login antigo de um fórum" é perigoso. A reutilização de senhas transforma um pequeno vazamento em um desastre pessoal.
Ponto chave: a pergunta não é apenas "essa senha específica foi vazada." É "eu reutilizei essa senha em algum lugar importante." Verificar a senha é o primeiro passo. Parar a reutilização é a solução real.
Como verificar se sua senha foi vazada (com segurança)#
Esta é a preocupação que impede as pessoas de verificar. Digitar sua senha real em um site aleatório parece imprudente, e geralmente é. A boa notícia é que o método confiável foi projetado especificamente para que você nunca precise expor sua senha.
Um verificador de vazamentos seguro usa uma técnica chamada k-anonimato. Em vez de enviar sua senha, ele envia um fragmento minúsculo e não identificável de um hash. O serviço pode informar se sua senha aparece em um vazamento sem nunca saber qual é a sua senha. Vamos detalhar exatamente como isso funciona na próxima seção, porque entender isso é o que permite que você confie.
Você pode executar essa verificação em segundos. O verificador de senhas vazadas gratuito da Molixa faz o hash no seu navegador e transmite apenas o prefixo curto, então sua senha nunca sai do seu dispositivo em formato legível.
O que você está realmente verificando#
Existem duas verificações relacionadas, mas diferentes, e as pessoas as confundem constantemente:
- Verificação de senha vazada: esta string de senha exata está presente em algum corpus de vazamentos conhecido? Esta é a verificação do tipo "senhas comprometidas" e não requer seu e-mail.
- Verificação de conta ou e-mail vazado: uma conta vinculada ao meu e-mail apareceu em um vazamento específico (como os vazamentos do LinkedIn ou Adobe)? Isso informa quais serviços expuseram seus dados.
Este guia foca na verificação de senha, porque é a que você pode fazer sem revelar dados pessoais e responde diretamente "esta senha é segura para continuar usando". Se você quiser saber quais sites vazaram seus dados, uma busca por e-mail complementa essa verificação.
O Que é K-Anonimato e Por Que é Seguro?#
K-anonimato é o modelo de privacidade que torna a verificação de vazamento de senhas confiável. Em termos simples, ele permite que você pergunte "minha senha está na lista de vazamentos" escondendo-a em meio a outras possibilidades, de modo que o servidor que responde não consiga identificar qual é a sua.
Aqui está o mecanismo, passo a passo, usando a mesma abordagem popularizada pelo serviço Pwned Passwords de Troy Hunt, na qual a maioria dos verificadores confiáveis se baseia:
- Sua senha é transformada em hash localmente com SHA-1, gerando uma impressão digital hexadecimal de 40 caracteres. Hashing é unidirecional, então o hash não pode ser revertido para sua senha original.
- Apenas os primeiros cinco caracteres desse hash (o prefixo) são enviados ao servidor. Cinco caracteres hexadecimais mapeiam para um dos aproximadamente um milhão de buckets.
- O servidor retorna todos os hashes vazados que compartilham esse prefixo de cinco caracteres, geralmente várias centenas deles, sem saber qual deles (se houver) é o seu.
- Seu navegador compara o hash completo com essa lista retornada localmente. A correspondência ocorre no seu dispositivo, não no servidor.
O servidor vê apenas cinco caracteres de um hash SHA-1. Isso é compartilhado por centenas de senhas não relacionadas, portanto não identifica nada. Sua senha completa e o hash completo nunca saem da sua máquina. Esse é o ponto principal: você obtém uma resposta definitiva enquanto vaza essencialmente zero informações.
| O que é enviado | O que o servidor descobre | Risco para você |
|---|---|---|
| Sua senha em texto puro | Tudo | Nunca faça isso |
| Hash SHA-1 completo | O hash exato (reversível via tabelas de consulta para senhas fracas) | Evite |
| Primeiros 5 caracteres do hash (k-anonimato) | Um dos ~1 milhão de buckets de prefixo, compartilhado por muitas senhas | Insignificante |
Portanto, quando um verificador promete "sua senha nunca sai do seu dispositivo", o k-anonimato é a razão pela qual essa afirmação pode ser verdadeira. Uma ferramenta que pede para você colar sua senha e a envia por completo não está usando esse modelo, e você não deve confiar nela.
Como Interpretar o Resultado da Sua Verificação de Vazamento#
Você executou a verificação. E agora, o que o número significa? Os verificadores de vazamento geralmente informam quantas vezes sua senha apareceu em vazamentos conhecidos. A contagem importa mais do que as pessoas imaginam.
- 0 aparições: esta string de senha específica não está no corpus de vazamentos conhecidos. Isso é bom, mas não é garantia de segurança. Uma senha fraca como
Summer2024!pode estar ausente hoje e ser trivialmente adivinhável de qualquer forma. - Algumas aparições: a senha vazou e está circulando. Pare de usá-la.
- Milhares ou milhões de aparições: esta é uma senha comum e muito reutilizada (pense em
password1ouqwerty123). Está no dicionário de primeiros palpites de qualquer invasor. Mude-a imediatamente, em todos os lugares.
Uma contagem alta de aparições não é uma medida de quão grave foi o vazamento da sua conta específica. Ela mede o quão comum a senha é em todos os vazamentos. Quanto mais comum, mais rápido um ataque automatizado tentará usá-la. De qualquer forma, qualquer contagem diferente de zero significa que essa senha está comprometida e deve ser aposentada.
Aviso: "não encontrada" não significa "forte." Uma verificação de vazamento responde apenas a uma pergunta: se esta senha já é pública. Uma senha longa e única que nunca vazou é o objetivo. Combine a verificação de vazamento com uma verificação de força para cobrir ambos os ângulos.
O que fazer se sua senha vazou#
Descobrir que uma senha vazou é a parte fácil. A recuperação é onde a maioria dos guias fica vaga. Aqui está um plano concreto que você pode executar hoje, em ordem de prioridade.
Passo 1: Altere a senha vazada em todos os sites que a usaram#
Comece pelas contas mais sensíveis: e-mail principal, banco, qualquer coisa com dados de pagamento. Seu e-mail é a chave mestra, porque a maioria das redefinições de senha passa por ele. Proteja isso primeiro.
Depois, trabalhe em todos os outros sites onde você reutilizou essa senha exata. Se você não consegue se lembrar de todos, essa incerteza é exatamente por que a reutilização é perigosa. Presuma o pior e altere amplamente.
Passo 2: Crie cada nova senha única e forte#
Não troque uma senha vazada por outra reutilizada. Cada conta precisa de sua própria senha distinta. A maneira mais rápida de fazer isso sem inventá-las manualmente é um gerador que produza strings longas e aleatórias.
Use um gerador de senhas fortes aleatórias para criar uma senha única para cada conta. Priorize o comprimento em vez de truques de complexidade: uma senha longa e aleatória ou uma frase de várias palavras vence P@ssw0rd! toda vez. Um gerenciador de senhas então as memoriza para você não precisar.
Passo 3: Ative a autenticação de dois fatores#
A autenticação de dois fatores (2FA) é sua rede de segurança. Mesmo que uma futura violação vaze uma nova senha, um invasor ainda precisa do segundo fator (um código de aplicativo ou chave de hardware) para entrar. Ative-a em todos os lugares onde for oferecida, começando por e-mail e contas financeiras.
Prefira um aplicativo autenticador ou uma chave de segurança de hardware em vez de códigos SMS quando tiver escolha. SMS pode ser interceptado por ataques de troca de SIM, enquanto fatores baseados em aplicativo e hardware são muito mais difíceis de roubar remotamente.
Passo 4: Verifique se suas novas senhas estão realmente limpas#
Após gerar substituições, execute as novas no verificador de violações para confirmar que retornam zero aparições. Uma senha aleatória recém-gerada deve sempre voltar limpa. Essa verificação rápida fecha o ciclo e prova que você não escolheu acidentalmente algo já em circulação.
Passo 5: Verifique seu e-mail em bancos de dados de violações#
Por fim, pesquise seu endereço de e-mail em um serviço confiável de notificação de violações para ver quais sites expuseram seus dados historicamente. Isso mostra onde focar, revela contas antigas que você esqueceu e permite que você se inscreva para alertas, ouvindo sobre futuras violações cedo, em vez de meses depois.
Com que frequência você deve verificar?#
Você não precisa verificar diariamente. Um ritmo sensato é realizar uma verificação em três situações:
- Após qualquer notícia de violação envolvendo um serviço que você usa. Se a notícia disser que uma empresa foi violada e você tem uma conta lá, verifique e altere essa senha.
- Ao reciclar contas antigas. Antes de fazer login novamente em uma conta inativa, verifique se a senha não está em uma lista vazada.
- Como uma higiene trimestral nas suas senhas mais importantes (e-mail, banco, provedores de identidade primários).
A correção mais profunda é estrutural. Se cada conta já tiver uma senha única e gerada, com 2FA ativado, uma única violação só pode queimar um login. Essa contenção vale muito mais do que verificações manuais frequentes.
Mitos Comuns Que Deixam as Pessoas Vulneráveis#
Algumas crenças persistentes mantêm as pessoas expostas mesmo depois de aprenderem sobre vazamentos. Esclarecê-las é importante.
"Mudei alguns caracteres, então minha senha é diferente." Os atacantes conhecem as variações comuns. Adicionar um 1 ou um ! a uma senha vazada é uma das primeiras coisas que as ferramentas de credential stuffing tentam. Uma senha vazada modificada ainda é uma senha vazada.
"Minha senha é muito obscura para estar em um vazamento." Obscuridade não é o problema. Se você a usou em um site que foi invadido, ela está no dump independentemente de quão inteligente ela parecia. A invasão levou o banco de dados, não apenas as senhas óbvias.
"Verificar minha senha em algum lugar vai vazá-la." Com um verificador de k-anonimato, esse é exatamente o medo que o design elimina. Toda a arquitetura existe para que você possa verificar sem expor nada. O perigo está em ferramentas que não o usam, não no ato de verificar em si.
Conclusão: Verifique, Depois Pare o Sangramento#
Aprender a verificar se sua senha foi vazada leva segundos, e fazer isso com segurança é totalmente possível graças ao anonimato k, que envia apenas um pequeno fragmento de hash e mantém sua senha real no seu dispositivo. Execute a verificação, leia o número de ocorrências e trate qualquer resultado diferente de zero como uma senha que deve ser aposentada imediatamente.
A verificação é o alarme, não a solução. A solução são senhas únicas e geradas para cada conta, além da autenticação de dois fatores, para que a próxima violação (e haverá uma próxima violação) só possa custar um login, e não toda a sua vida digital. Execute suas senhas atuais no verificador gratuito de senhas vazadas agora e substitua qualquer coisa que aparecer como vazada.
Perguntas Frequentes#
Como posso verificar se minha senha vazou sem expô-la? Use um verificador de vazamentos que implemente k-anonimato. Ele gera o hash da sua senha no navegador com SHA-1 e envia apenas os primeiros cinco caracteres desse hash para o servidor, que retorna todos os hashes vazados que compartilham esse prefixo. Seu dispositivo faz a comparação final localmente, então sua senha completa e o hash completo nunca saem da sua máquina.
É seguro digitar minha senha em um verificador de vazamentos online? Somente se a ferramenta usar k-anonimato e fizer o hash localmente, caso em que nunca transmite sua senha real. Nunca cole sua senha em um verificador que envie a string completa para um servidor, pois você estaria entregando sua credencial a um terceiro desconhecido. Em caso de dúvida, use uma ferramenta que explique abertamente seu modelo de k-anonimato.
O que significa se minha senha aparecer milhares de vezes em vazamentos? A contagem reflete o quão comum e reutilizada a senha é em todos os vazamentos conhecidos, não o quão grave foi o vazamento de uma conta específica. Uma contagem alta significa que a senha está nos dicionários de primeiro chute dos atacantes e será testada instantaneamente durante ataques automatizados. Qualquer contagem diferente de zero, alta ou baixa, significa que você deve parar de usar essa senha.
Minha verificação de senha deu resultado limpo, então estou seguro? Um resultado limpo significa apenas que essa senha exata não está no corpus de vazamentos conhecidos. Isso não mede a força, então uma senha curta ou adivinhável ainda pode ser fraca mesmo que não tenha vazado ainda. Combine a verificação de vazamento com uma avaliação de força e uma senha única, longa e gerada aleatoriamente para segurança real.
Devo verificar meu e-mail ou minha senha para vazamentos? Ambos, porque respondem a perguntas diferentes. Uma verificação de senha informa se uma string de senha específica está comprometida e pode ser feita sem revelar dados pessoais. Uma verificação de e-mail informa quais sites específicos expuseram suas contas, o que ajuda a encontrar contas esquecidas e se inscrever para alertas futuros de vazamentos.
Como criar uma senha que não apareça em um vazamento? Gere uma senha longa e totalmente aleatória ou uma frase secreta de várias palavras que você nunca usou antes, e use-a em apenas uma conta. Um gerador de senhas fortes aleatórias produz credenciais que estatisticamente nunca vão colidir com listas vazadas, e combinar cada uma com autenticação de dois fatores protege você mesmo se esse site for violado posteriormente.
