Encontrar o seu endereço de email numa fuga de dados não prova que a sua conta foi pirateada. Para saber se o seu endereço de email vazou, introduza-o no Have I Been Pwned: este serviço gratuito lista as violações conhecidas que o contêm. A 28 de outubro de 2026, a sua base de dados regista 1.048 sites comprometidos e mais de 17,8 mil milhões de endereços.
Como verificar se o seu endereço de email vazou?
Abra haveibeenpwned.com, escreva o seu endereço no campo de pesquisa e valide. O site responde com a lista das violações em que ele aparece ou com uma mensagem a indicar que não foi encontrada nenhuma violação. As pesquisas não ficam registadas, segundo as perguntas frequentes do HIBP.
Teste todos os endereços que utiliza
O resultado diz respeito apenas ao endereço introduzido. Teste, por isso, o endereço principal, o profissional se o usou em inscrições privadas e as caixas antigas (Gmail, Outlook, Yahoo) que ainda mantém. A CaptainVerify propõe também uma ferramenta de teste de endereços de email que permite verificar se um email foi comprometido numa fuga de dados.
Teste as suas palavras-passe
O serviço «Pwned Passwords» do HIBP compara uma palavra-passe com as que já foram expostas em fugas de dados. As palavras-passe são convertidas num hash SHA-1 e anonimizadas antes do envio. Neste serviço, nenhuma palavra-passe é guardada ao lado de dados pessoais, segundo o HIBP.
O que significa o resultado: a sua conta foi pirateada?
Não necessariamente. Figurar numa violação indica que um serviço onde deixou este endereço perdeu dados. A sua caixa de correio pode continuar intacta. Inversamente, um resultado vazio garante apenas que nenhuma violação conhecida do HIBP contém o endereço. Tudo depende do que foi roubado e da reutilização das suas palavras-passe.
O HIBP classifica as violações por nível de certeza. Uma violação «unverified» (não verificada) é uma fuga cuja legitimidade não foi possível estabelecer sem dúvida razoável. Uma «spam list» reúne dados usados para spam direcionado, sem que um sistema tenha sido necessariamente pirateado. Uma «sensitive breach» não se encontra na pesquisa pública: só o proprietário verificado do endereço a vê, a partir do seu painel.
Que dados podem ter vazado com o seu endereço?
Depende do serviço atingido: por vezes só o endereço, por vezes muito mais. A fuga do operador francês Free, ocorrida em outubro de 2024 e adicionada ao HIBP a 27 de maio de 2025, mostra até onde pode ir. Segundo a ficha do HIBP, envolvia 14 milhões de endereços únicos, ou seja, 13,9 milhões de contas na pré-visualização da ficha. Estavam associados a eles dados de identidade (nome, morada postal, telefone, sexo, data de nascimento) e, para muitos, um IBAN.
Releia, portanto, a lista de violações com uma pergunta: a que serviço dei que informações? Uma violação em que deixou um IBAN exige uma reação mais rápida do que um fórum em que só indicou um pseudónimo.
Um endereço de email isolado representa um risco?
Sim, um risco real. Um endereço exposto alimenta o phishing direcionado e o credential stuffing, que testa automaticamente noutros sites pares de endereço e palavra-passe roubados.
O burlão que sabe de que serviço é cliente (um operador como a Free, um banco, uma loja) pode redigir uma mensagem credível ou até falsificar o remetente (veja o email spoofing). Um falso link de seguimento de encomenda ou de reembolso basta para obter as suas credenciais: é o princípio do phishing. Quanto ao credential stuffing, só resulta se a mesma palavra-passe for usada noutro sítio. Com uma palavra-passe única por serviço, uma fuga fica limitada a esse serviço.
O que fazer se o seu endereço figurar numa fuga de dados?
Siga a ordem do folheto de três páginas publicado a 1 de outubro de 2026 pela autoridade francesa de proteção de dados, a CNIL, e pelo Cybermalveillance.gouv.fr, «Violation de données personnelles, que faire en 3 étapes clés ?» (o que fazer em 3 passos-chave perante uma violação de dados pessoais): primeiro a primeira semana, depois as semanas seguintes, por fim o dia a dia.
A primeira semana
Guarde a notificação do organismo em causa, servirá de prova. Altere depois a palavra-passe, começando pela caixa de correio, porque ela permite repor todas as outras contas. Escolha uma palavra-passe única que um gestor de palavras-passe memorize e ative a autenticação de dois fatores ou uma chave de acesso («passkey») quando o serviço a propuser. Desconfie dos emails, SMS e chamadas que citam o serviço atingido.
As semanas seguintes
Abra as definições da sua caixa de correio e verifique três pontos: as sessões ativas, os endereços de recuperação e as regras de reencaminhamento automático. Um pirata acrescenta estas regras para receber cópia das suas mensagens. Altere também qualquer palavra-passe que tenha reutilizado noutro sítio. No Gmail, segundo a Google, o reencaminhamento define-se em Definições > Ver todas as definições > «Reencaminhamento e POP/IMAP». Os dispositivos ligados controlam-se na secção de segurança da sua Conta Google. O Cybermalveillance.gouv.fr, serviço público francês de assistência em cibersegurança, detalha esta verificação para uma caixa de correio pirateada, com o encerramento das sessões e a reposição das palavras-passe reutilizadas.
Se a fuga incluía dados bancários, avise o seu banco. Vigie depois os seus extratos e não assine nenhum mandato SEPA suspeito.
No dia a dia
Dê aos serviços o mínimo de informações possível. Mantenha separados um endereço profissional e um pessoal. Elimine as contas que não utiliza: uma base de dados que abandonou já não pode deixar vazar o seu endereço.
É preciso mudar de endereço de email após uma fuga de dados?
Raramente. O seu endereço já consta das bases que vazaram e mudar de caixa obrigá-lo-ia a atualizar todas as contas. Renovar a palavra-passe da caixa de correio e ativar a autenticação de dois fatores protege mais.
A mudança justifica-se se a caixa se tornar inutilizável sob as mensagens fraudulentas. Para o futuro, um alias de email permite isolar as inscrições. É um endereço de reencaminhamento próprio de cada serviço: se o alias de um site vazar, elimina-o sem tocar no endereço principal.
Quem avisar e como denunciar uma fuga de dados?
Cabe ao organismo atingido informá-lo de uma violação. A CNIL não pode dizer-lhe se faz parte de alguma. Se não recebeu nenhuma notificação, escreva ao serviço em causa para obter esclarecimentos. A CNIL desaconselha também os sites desconhecidos que afirmam deter os dados e dizer-lhe se é afetado. O Have I Been Pwned, gerido por Troy Hunt desde 2013, limita-se a indicar as violações que indexou.
O RGPD (o regulamento europeu de 2016) confere-lhe um direito ao apagamento: pode pedir a um serviço que elimine a sua conta e os dados associados. Em caso de prejuízo comprovado, por exemplo um débito fraudulento ou uma usurpação de identidade, a queixa apresenta-se em França, em linha, na «THESEE». O Cybermalveillance.gouv.fr refere este serviço do Ministério do Interior francês.
Um endereço divulgado continua divulgado: o que se muda é a fechadura que está atrás. Volte a abrir a ficha de cada violação listada pelo Have I Been Pwned e trate primeiro das que afetam a sua caixa de correio ou os seus dados bancários.
