Como saber se sua senha antiga apareceu na internet
Uma senha antiga pode continuar representando um risco mesmo depois que você deixou de usá-la em determinada conta. Isso acontece porque credenciais obtidas em vazamentos podem permanecer circulando por muito tempo e, em alguns casos, aparecer publicamente meses ou anos depois do incidente original. A Mozilla alerta, inclusive, que credenciais expostas podem levar bastante tempo para surgir em bases de vazamentos conhecidas. Suporte Mozilla
A boa notícia é que existem formas seguras de verificar se um endereço de e-mail ou uma senha salva foi associado a vazamentos conhecidos. O cuidado mais importante é fazer essa consulta apenas em serviços confiáveis e nunca digitar uma senha atual em sites desconhecidos.
O que significa uma senha ter “aparecido na internet”?
Quando um site, aplicativo ou banco de dados sofre uma violação, diferentes tipos de informações podem ser expostos. Dependendo do incidente, isso pode incluir endereço de e-mail, nome, telefone e credenciais de acesso.
Nem todo vazamento contém senhas. Além disso, a forma como uma senha foi armazenada pelo serviço afetado também faz diferença. Por isso, descobrir que seu e-mail participou de um vazamento não significa automaticamente que sua senha ficou disponível em texto legível.
O problema se torna mais sério quando a mesma senha foi utilizada em diferentes serviços. Uma credencial antiga obtida em um vazamento pode ser testada posteriormente em outras contas, prática conhecida como reutilização de credenciais. A própria Mozilla recomenda alterar a senha também nas demais contas em que a mesma combinação tenha sido utilizada. Suporte Mozilla
Verifique primeiro seu endereço de e-mail
Uma das maneiras mais práticas de investigar sua exposição é consultar o endereço de e-mail usado nas contas antigas.
O Mozilla Monitor verifica endereços em bases de vazamentos conhecidos e utiliza informações do Have I Been Pwned. Segundo a documentação da Mozilla, o serviço pode mostrar vazamentos associados ao endereço consultado e orientar sobre as providências necessárias. Suporte Mozilla
Encontrar seu endereço em um vazamento não quer dizer necessariamente que alguém entrou na sua conta. O resultado indica que informações relacionadas ao endereço apareceram em determinado incidente. É preciso verificar quais tipos de dados foram afetados.
E se aparecer um site que você não reconhece?
Isso não significa necessariamente que o resultado esteja errado.
A Mozilla explica que o serviço pode ter mudado de nome, a conta pode ser muito antiga ou os dados podem fazer parte de uma lista formada pela combinação de diferentes vazamentos. Também existem casos envolvendo agregadores de dados. Suporte Mozilla
Portanto, observe a data do incidente e os tipos de informações expostas antes de tirar conclusões.
Use o Check-up de senha do Google para credenciais salvas
Se você utiliza o Gerenciador de Senhas do Google, há outra opção bastante útil.
O Check-up de senha verifica as credenciais armazenadas na sua Conta do Google e informa se existem senhas comprometidas, fracas ou reutilizadas. No computador, o recurso pode ser encontrado no Gerenciador de Senhas do Google, na opção de Check-up. Os nomes e a localização dos menus podem mudar conforme a versão do Chrome, navegador ou sistema utilizado. Google Suporte
Abrir o Gerenciador de Senhas do Google
O Google informa que seu gerenciador também pode enviar notificações quando identificar que alguma das senhas armazenadas foi publicada na internet. Google Suporte
Essa alternativa é especialmente interessante para quem possui muitas credenciais antigas salvas e já não se lembra de todas as contas nas quais utilizou determinada senha.
Como descobrir se uma senha específica foi vazada
Existe uma diferença importante entre pesquisar um endereço de e-mail e investigar uma senha.
O endereço permite descobrir contas associadas a incidentes conhecidos. Já uma consulta específica de senha procura determinar se aquela sequência apareceu em conjuntos de credenciais comprometidas.
O Have I Been Pwned mantém o serviço Pwned Passwords justamente para pesquisa de senhas encontradas em vazamentos conhecidos.
Mesmo assim, adote uma regra simples de segurança: não saia digitando suas senhas atuais em verificadores encontrados por pesquisas aleatórias na internet. Prefira serviços reconhecidos ou as ferramentas de segurança integradas ao gerenciador de senhas que você já utiliza.
Minha senha apareceu em um vazamento. O que fazer?
Se uma senha antiga aparecer como comprometida, o primeiro passo é descobrir se ela ainda está sendo usada em alguma conta.
Caso esteja, substitua-a. Se a mesma senha foi reutilizada em vários serviços, será necessário alterar cada uma dessas contas individualmente. A recomendação do Google é trocar senhas comprometidas o quanto antes. Google Suporte
Depois disso, algumas medidas reduzem consideravelmente o problema:
- crie uma senha diferente para cada conta;
- utilize um gerenciador de senhas confiável para armazenar credenciais;
- ative a verificação em duas etapas sempre que disponível;
- confira dispositivos e sessões conectadas às contas importantes;
- mantenha endereço de e-mail e métodos de recuperação atualizados.
O Gerenciador de Senhas do Google, por exemplo, recomenda senhas fortes e exclusivas justamente porque a reutilização pode fazer com que uma única credencial roubada coloque diversas contas em risco. Google Suporte
E se eu não uso mais essa senha?
Nesse caso, o risco imediato é menor, desde que ela realmente tenha sido substituída em todas as contas onde era utilizada.
Imagine que você usava a mesma senha em uma loja virtual, uma rede social e um fórum. Você alterou a senha da rede social anos atrás, mas esqueceu que continuava usando a antiga no fórum. O vazamento ainda pode ser relevante.
Por isso, ao reconhecer uma senha comprometida, tente lembrar em quais outros serviços ela foi reutilizada.
Não é necessário continuar modificando contas que já possuem senhas novas e exclusivas apenas porque uma credencial antiga apareceu em um vazamento.
Um resultado negativo significa que a senha está segura?
Não necessariamente.
Essa é uma das limitações mais importantes dessas verificações. Uma ferramenta consegue pesquisar apenas os vazamentos aos quais sua base de dados tem acesso. A Mozilla ressalta que alguns incidentes podem não aparecer porque ainda não foram descobertos ou porque os dados não estão disponíveis na base consultada. Suporte Mozilla
Portanto, “não encontrada” significa essencialmente que a informação não foi localizada nos vazamentos conhecidos pesquisados. Não é uma garantia absoluta de que aquela senha nunca tenha sido exposta.
Também não é recomendável continuar utilizando uma senha fraca ou repetida simplesmente porque ela não apareceu em uma consulta.
Vale a pena verificar senhas muito antigas?
Sim, principalmente se você costumava repetir senhas.
Uma credencial de muitos anos atrás pode ajudar a identificar contas esquecidas que ainda utilizam aquela combinação. Além disso, vazamentos antigos podem ser descobertos e incorporados às bases de monitoramento posteriormente.
Para quem possui muitos cadastros, a estratégia mais segura não é tentar descobrir continuamente onde cada senha antiga apareceu. É eliminar gradualmente a reutilização, manter senhas únicas nas contas importantes e utilizar autenticação em duas etapas ou outros métodos adicionais de proteção quando disponíveis.
Assim, mesmo que uma senha antiga apareça posteriormente em um vazamento, ela deixa de funcionar como uma chave capaz de abrir várias de suas contas.
Fontes consultadas
Ajuda da Conta do Google, Mudar senhas comprometidas