Digite qualquer e-mail que você usa há mais de cinco anos no Have I Been Pwned e existe uma chance real de aparecer em pelo menos um vazamento — não porque você fez algo errado, mas porque em algum momento um serviço que você usou (uma loja online que fechou, um fórum antigo, uma rede social que ninguém mais lembra) foi invadido e a base de dados vazou. A pergunta certa não é “se” isso vai acontecer com você, é “com que frequência você checa e o que faz depois”.
Have I Been Pwned continua sendo o ponto de partida
Criado por Troy Hunt, pesquisador de segurança australiano, o Have I Been Pwned reúne dados de centenas de vazamentos públicos conhecidos e permite checar gratuitamente se um e-mail apareceu em algum deles, sem precisar criar conta. A limitação que vale entender: ele só sabe o que já foi tornado público ou compartilhado com a plataforma — vazamentos recentes que ainda circulam só em fóruns fechados da dark web podem não aparecer imediatamente, às vezes levando semanas ou meses até serem catalogados.
Alternativas que avisam automaticamente, sem você precisar lembrar de checar
A limitação de “precisar lembrar de checar manualmente” é resolvida por ferramentas de monitoramento contínuo:
- Firefox Monitor: usa a mesma base de dados do Have I Been Pwned, mas com o diferencial de criar um alerta por e-mail toda vez que seu endereço aparecer num vazamento novo — configura uma vez e esquece, até receber o aviso.
- Google Password Checkup: integrado ao Chrome e à Conta Google, analisa automaticamente as senhas salvas no navegador e avisa quais são fracas, reutilizadas ou já vazadas — a vantagem aqui é que ele já sabe quais senhas você realmente usa, não só o e-mail.
- Microsoft Edge Password Monitor: mesma lógica, rodando em segundo plano no navegador Edge pra quem já está nesse ecossistema.
- Avast Hack Check: consulta bases de vazamentos conhecidos e também gera notificação automática quando detecta um vazamento novo envolvendo o e-mail cadastrado.
O detalhe que a maioria ignora: checar a senha, não só o e-mail
Saber que seu e-mail vazou é só metade da informação útil. O que importa de verdade é saber se a senha que vazou junto ainda é a mesma que você usa hoje — porque vazamento de e-mail sozinho é quase inofensivo, mas combinação de e-mail e senha reutilizada em vários serviços é a porta de entrada mais comum pra invasão de conta real. Ferramentas como o Google Password Checkup fazem justamente esse cruzamento, checando não só se o e-mail apareceu num vazamento, mas se a senha específica salva no seu navegador também está numa base conhecida de credenciais comprometidas.
O que fazer depois de descobrir um vazamento (a parte que os artigos costumam pular)
- Troque a senha imediatamente no serviço afetado, e em qualquer outro lugar onde você tenha reutilizado a mesma senha — o que, sejamos honestos, é quase todo mundo em algum grau.
- Ative a autenticação em duas etapas onde ainda não estiver ativa, priorizando e-mail principal, banco e redes sociais.
- Considere um gerenciador de senhas se ainda não usa um — a causa raiz da maioria dos vazamentos que viram problema real é reutilização de senha, e isso só se resolve na prática com senhas únicas geradas automaticamente, coisa que ninguém memoriza sozinho.
- Monitore extratos e faturas nas semanas seguintes, principalmente se o vazamento envolveu algum serviço de pagamento ou e-commerce.
Se quiser entender melhor como identificar se você já foi vítima de um vazamento específico, mesmo sem usar essas ferramentas automatizadas, temos um guia dedicado sobre como descobrir se você foi vítima de vazamento de dados. E já que boa parte dos golpes que exploram dados vazados chega por e-mail ou mensagem, vale complementar com nossas dicas de como evitar golpes de phishing.
Perguntas frequentes
Essas ferramentas de checagem de vazamento são realmente gratuitas?
As principais mencionadas aqui — Have I Been Pwned, Firefox Monitor, Google Password Checkup e Microsoft Edge Password Monitor — são gratuitas. Algumas empresas de segurança vendem versões pagas com monitoramento mais amplo, incluindo dark web, mas as opções gratuitas já cobrem a maior parte do risco comum.
Com que frequência devo checar se meus dados vazaram?
Configurando um alerta automático (Firefox Monitor ou similar), você não precisa checar manualmente — mas pra quem prefere checagem ativa, uma vez a cada dois ou três meses já cobre bem a maioria dos cenários.
É seguro digitar meu e-mail nesses sites?
Sim, no caso das ferramentas citadas aqui, que são de fontes confiáveis e reconhecidas no setor de segurança. O cuidado deveria ser o oposto: desconfiar de sites desconhecidos que prometem o mesmo serviço mas pedem senha ou outros dados sensíveis pra “verificar”.
Meu e-mail apareceu em um vazamento antigo, ainda preciso me preocupar?
Se a senha daquele vazamento já foi trocada e não é reutilizada em outro lugar, o risco imediato é baixo. O problema recorrente é justamente reutilização — muita gente ainda usa, hoje, uma senha que vazou anos atrás em algum outro serviço.
Um ponto que costuma gerar confusão: essas ferramentas checam vazamentos já conhecidos e catalogados, não monitoram em tempo real tudo que acontece na internet. Se uma empresa sofrer uma invasão hoje e os dados só circularem em grupos fechados por meses antes de virar público, nenhuma dessas ferramentas vai detectar isso imediatamente — o alerta só chega quando a base entra no radar de quem mantém esses serviços. Por isso boas práticas básicas (senha única por serviço, autenticação em duas etapas) continuam sendo a defesa mais confiável, não o monitoramento em si.
