16 Bilhões de Senhas Vazadas: Como Verificar se Você Foi Afetado

Em janeiro de 2026, pesquisadores de segurança descobriram 30 bancos de dados desprotegidos contendo aproximadamente 16 bilhões de pares usuário-senha — o maior vazamento de credenciais da história. Os dados expostos incluem credenciais de login para Google, Apple, Facebook, GitHub, Telegram e até plataformas governamentais.

Se você usa a internet, há uma grande chance de suas credenciais estarem neste vazamento.

O Que Foi Exposto

O vazamento inclui:

• 16 bilhões de credenciais de login em 30 conjuntos de dados
• Alguns conjuntos de dados contendo até 3,5 bilhões de registros cada
• Credenciais de praticamente todos os principais serviços online
• Tanto dados de violações antigas quanto logs recentes de infostealer
• Tokens de sessão, cookies e metadados em muitos casos

Isso não é apenas dados reciclados de violações antigas. Pesquisadores encontraram dados recém-compilados, estruturados e prontos para exploração — incluindo logs recentes de malware infostealer com tokens de sessão ativos.

Como Verificar se Você Foi Afetado

Passo 1: Verifique o Have I Been Pwned

Visite haveibeenpwned.com e digite seus endereços de e-mail. Este banco de dados é atualizado regularmente com dados de violações e informará quais violações incluem suas credenciais.

Passo 2: Use o Monitor de Violações do Seu Gerenciador de Senhas

A maioria dos gerenciadores de senhas oferece monitoramento de violações:

• 1Password: Watchtower alerta sobre contas comprometidas
• Bitwarden: Data Breach Report mostra credenciais expostas
• Dashlane: Dark Web Monitoring escaneia suas informações
• Google Password Manager: Verifique senhas em passwords.google.com

Passo 3: Execute o Security Checkup do Google

Se você tem uma conta Google (o Google descontinuou o relatório da dark web):

1. Acesse myaccount.google.com
2. Abra o Security Checkup e, em seguida, execute o Password Checkup no Gerenciador de Senhas do Google
3. Use "Resultados sobre você" para solicitar a remoção das suas informações pessoais da Pesquisa

Passo 4: Monitore Suas Contas Financeiras

Mesmo que seu e-mail não apareça em violações conhecidas, monitore seus extratos bancários e de cartão de crédito para atividades não autorizadas. Atacantes frequentemente testam credenciais primeiro em serviços financeiros.

O Que Fazer se Você Foi Comprometido

Ações Imediatas

1. Mude senhas comprometidas imediatamente

Comece com suas contas mais críticas:

• Contas de e-mail (usadas para redefinição de senha)
• Bancos e serviços financeiros (Nubank, Inter, Pix)
• Armazenamento em nuvem (Google Drive, Dropbox)
• Contas de redes sociais (WhatsApp, Instagram, Facebook)

2. Ative a autenticação de dois fatores em todos os lugares

Mesmo que atacantes tenham sua senha, 2FA bloqueia acesso não autorizado:

• Use aplicativos autenticadores (Google Authenticator, Authy) em vez de SMS
• Considere chaves de hardware (YubiKey) para contas críticas
• Ative 2FA primeiro no seu e-mail — é a chave mestra para todo o resto

3. Verifique acessos não autorizados

Revise atividades recentes em suas contas:

• Google: myactivity.google.com
• Facebook: Configurações → Segurança → Onde você está conectado
• WhatsApp: Configurações → Aparelhos conectados
• Instagram: Configurações → Segurança → Atividade de login

4. Revogue sessões suspeitas

Saia de todos os dispositivos e sessões que você não reconhece. A maioria dos serviços tem uma opção "Sair de todos os dispositivos".

Proteção a Longo Prazo

Use senhas únicas para cada conta

A razão pela qual vazamentos de credenciais são tão perigosos é a reutilização de senhas. Se você usa a mesma senha em vários sites, uma violação compromete todos eles.

Use um gerenciador de senhas para gerar e armazenar senhas únicas e fortes para cada conta.

Considere mudar para passkeys

Passkeys são resistentes a phishing e não podem vazar em violações de dados:

• Google, Apple e Microsoft agora suportam passkeys
• Eles usam autenticação biométrica (impressão digital, rosto) em vez de senhas
• Sem senha significa nada para roubar

Configure alertas de violação

• Ative notificações do Have I Been Pwned
• Ative o monitoramento de violações do seu gerenciador de senhas
• Execute o Password Checkup do Google regularmente

Como Compartilhar Credenciais com Segurança no Futuro

Uma razão pela qual credenciais acabam em violações são práticas inseguras de compartilhamento. As pessoas colam senhas em:

• Mensagens do WhatsApp ou Telegram (armazenadas em servidores)
• E-mail (frequentemente não criptografado, pesquisável)
• Mensagens de texto (backup na nuvem)
• Documentos compartilhados (acesso persistente)

Use Canais Seguros com Expiração

Quando você precisa compartilhar uma senha com alguém:

1. Nunca envie senhas em texto simples através de mensagens regulares
2. Use o recurso de compartilhamento do gerenciador de senhas se ambas as partes usam o mesmo gerenciador
3. Use notas seguras que se autodestroem para compartilhamento único

Serviços como LOCK.PUB permitem criar uma nota protegida por senha que:

• Se autodestrói após ser lida uma vez
• Expira após um tempo definido (1 hora, 24 horas)
• Não pode ser acessada novamente após visualização

Exemplo de fluxo de trabalho:

• Crie uma nota segura com a senha
• Configure para expirar em 1 hora
• Envie o link por um canal
• Envie a senha de acesso por um canal diferente
• A credencial nunca poderá ser recuperada novamente após visualização

O Panorama Geral

Este vazamento de 16 bilhões de credenciais é um sintoma de um problema maior: senhas são fundamentalmente quebradas.

Estatísticas principais:

• 94% das senhas são reutilizadas entre contas
• Apenas 3% das senhas atendem aos requisitos de complexidade do NIST
• Ataques baseados em credenciais respondem por quase metade de todas as violações

A indústria está se movendo em direção a passkeys e autenticação sem senha. Enquanto isso:

• Use senhas únicas em todos os lugares
• Ative 2FA em todas as contas
• Monitore violações regularmente
• Compartilhe credenciais apenas através de canais seguros com expiração

Verifique-se Agora

Não espere até notar cobranças não autorizadas ou contas bloqueadas. Dedique 10 minutos hoje para:

1. Verificar haveibeenpwned.com para seus endereços de e-mail
2. Executar o relatório de violação do seu gerenciador de senhas
3. Ativar 2FA em suas 10 contas mais importantes
4. Mudar quaisquer senhas que aparecem em violações

O vazamento já aconteceu. O que importa agora é quão rápido você responde.

Compartilhe credenciais com segurança usando notas que se autodestroem →