Uma empresa onde te registaste há anos é hackeada. A base de dados deles — incluindo o teu endereço de email, possivelmente a tua palavra-passe e outros dados pessoais — é roubada. E depois?
A maioria das pessoas imagina que os dados roubados desaparecem algures num canto sombrio da internet. A realidade é mais organizada, mais persistente e com mais consequências do que isso.
A Cronologia de uma Violação de Dados
Perceber o que acontece aos teus dados depois de uma violação ajuda-te a responder adequadamente e a tomar melhores decisões antes de as violações ocorrerem.
Fase 1: A violação ocorre (Dia 0)
Um atacante obtém acesso não autorizado à base de dados de uma empresa. Isto pode acontecer através de uma vulnerabilidade não corrigida, um ataque de phishing a um funcionário, credenciais comprometidas ou uma base de dados mal configurada deixada acessível publicamente.
O atacante copia a base de dados. Isto pode acontecer em minutos para bases de dados pequenas, horas ou dias para as grandes. A empresa pode ainda não saber que aconteceu.
Fase 2: Descoberta e divulgação (Dias a meses depois)
A empresa pode descobrir a violação por si própria através de monitorização, ou pode ser notificada por um investigador de segurança, as autoridades ou os próprios atacantes (em cenários de ransomware).
Ao abrigo do RGPD (Europa), as empresas são obrigadas a notificar os utilizadores afetados dentro de 72 horas após a descoberta. De acordo com as várias leis estaduais dos EUA, os prazos de notificação variam. Na prática, muitas violações são divulgadas semanas ou meses após ocorrerem — e algumas nunca são divulgadas.
Fase 3: Os dados chegam ao mercado (Imediatamente a semanas depois)
Isto é o que realmente acontece à base de dados roubada:
Cenário A: Vendida em mercados da dark web O atacante lista a base de dados para venda. Os preços variam enormemente — uma base de dados de um milhão de pares email/palavra-passe de um serviço financeiro pode vender-se por milhares de dólares. Uma base de dados de emails de um site de jogos pode vender-se por algumas centenas.
Cenário B: Usada diretamente para credential stuffing Se a base de dados inclui palavras-passe (mesmo que com hash), os atacantes passam-nas por crackers de palavras-passe e depois tentam as credenciais crackeadas em alvos de alto valor — sites bancários, fornecedores de email, sites de e-commerce. Isto chama-se credential stuffing. Funciona porque a maioria das pessoas reutiliza palavras-passe.
Cenário C: Adicionada a listas de spam Mesmo sem palavras-passe, os endereços de email de violações são valiosos para os spammers. Os endereços são verificados como reais (foram usados uma vez para se registar em algo) e são adicionados a listas de email em massa.
Cenário D: Usada para phishing direcionado Se a violação incluía contexto adicional — que serviço usavas, o teu nome de utilizador, histórico de compras — os atacantes podem criar emails de phishing convincentes que fazem referência a detalhes específicos para parecerem legítimos.
Fase 4: Os dados circulam indefinidamente
Esta é a parte que a maioria das pessoas não entende: os dados violados não expiram nem desaparecem.
Uma vez que uma base de dados é vendida uma vez, é revendida. É combinada com outras bases de dados de violações em "listas combo" — coleções massivas de pares email/palavra-passe de centenas de violações fundidas. Algumas listas combo contêm biliões de registos.
Um endereço de email de uma violação em 2015 ainda circula em listas de spam e listas combo em 2026. Os dados das grandes violações — LinkedIn 2012, Adobe 2013, Yahoo 2013-2016 — ainda são ativamente usados em ataques hoje.
Como Verificar se o teu Email Foi Violado
HaveIBeenPwned (haveibeenpwned.com) é a ferramenta gratuita mais abrangente para verificar se o teu email aparece em bases de dados de violações conhecidas. Foi criada pelo investigador de segurança Troy Hunt e rastreia centenas de grandes violações.
Introduz o teu endereço de email e diz-te:
- Em que violações o teu endereço apareceu
- Que dados foram expostos em cada violação (email, palavra-passe, nome de utilizador, endereço IP, etc.)
- A data de cada violação
Isto é útil para perceber a tua exposição histórica. Não detetará violações que ainda não foram divulgadas publicamente.
Mozilla Monitor (monitor.mozilla.org) usa a mesma base de dados do HaveIBeenPwned e adiciona monitorização contínua — alerta-te quando o teu endereço aparece em novas violações.
O que Fazer Imediatamente Após uma Notificação de Violação
Se receberes uma notificação de que o teu email (e possivelmente a tua palavra-passe) foi exposto numa violação, age nesta ordem:
1. Muda a palavra-passe no serviço violado Mesmo que a empresa diga que as palavras-passe estavam "com hash", muda-a. Os algoritmos de hashing variam em força, e as violações antigas frequentemente usavam hashing fraco (MD5) que pode ser crackeado rapidamente.
2. Verifica se reutilizaste essa palavra-passe noutro lado Se usaste a mesma palavra-passe noutros serviços — especialmente email, banca ou contas sociais — muda-a nesses serviços imediatamente. Os ataques de credential stuffing exploram especificamente a reutilização de palavras-passe.
3. Ativa a autenticação de dois fatores nas contas importantes O 2FA por email é melhor do que nada. Uma aplicação de autenticação (Google Authenticator, Authy) ou uma chave de hardware (YubiKey) é significativamente melhor do que o 2FA por email.
4. Fica alerta para tentativas de phishing As violações que expuseram dados contextuais (que serviço usavas, o teu nome de utilizador, histórico de compras) são seguidas de campanhas de phishing direcionado. Sê extra cético com emails que façam referência a detalhes específicos de conta nas próximas semanas.
5. Monitoriza as tuas contas financeiras Se a violação incluiu dados de pagamento, monitoriza os extratos do teu cartão para detetar cobranças não autorizadas. Comunica cobranças não autorizadas ao teu banco imediatamente.
Como o Email Temporário Limita os Danos de uma Violação
Usar um endereço de email temporário ou descartável para registos não essenciais limita diretamente a tua exposição a violações.
Quando usas um endereço temporário para um serviço que posteriormente sofre uma violação:
- A base de dados violada contém
xk7p2m@instanttempemail.com— um endereço expirado e aleatório sem qualquer ligação à tua identidade - O teu endereço de email real não está na base de dados
- Não recebes emails de phishing no teu endereço real porque os dados da violação não o incluem
- Os ataques de credential stuffing que usam esse endereço não levam a lado nenhum porque o endereço está morto
Este é um dos benefícios de privacidade mais concretos e práticos do email descartável — limita o raio de impacto de qualquer violação individual apenas a esse serviço, sem transbordamento para a tua identidade real ou outras contas.
O endereço temporário ainda pode ser usado em campanhas de phishing, mas como a caixa está expirada, os emails de phishing não chegam a lado nenhum e nunca os vês.
O Problema da Reutilização de Palavras-passe
As violações de dados são mais perigosas quando expõem palavras-passe que são reutilizadas em múltiplos serviços. Perceber isto ajuda a explicar porque tanto a higiene de violações como a higiene de email importam juntas.
Um ataque típico de credential stuffing funciona assim:
- O atacante compra uma lista combo com 500 milhões de pares email/palavra-passe de várias violações
- Escreve um script que tenta cada par contra um serviço alvo (Gmail, PayPal, Amazon)
- Uma pequena percentagem — mesmo 0,1% — iniciará sessão com sucesso porque esses utilizadores reutilizaram a palavra-passe
- Essas contas estão agora comprometidas
A defesa é simples mas requer disciplina:
Usa um gestor de palavras-passe. 1Password, Bitwarden (código aberto, gratuito) ou Dashlane geram e armazenam palavras-passe aleatórias únicas para cada serviço. Nunca reutilizas uma palavra-passe porque nunca precisas de memorizar palavras-passe.
Usa palavras-passe únicas para cada serviço. Com um gestor de palavras-passe, isto é sem esforço. Sem um, é genuinamente difícil — por isso a maioria das pessoas não o faz, e por isso o credential stuffing funciona.
Combinar palavras-passe únicas com emails descartáveis para serviços de baixo valor significa que uma violação em qualquer serviço não expõe nada útil para atacar outros serviços.
Porque Algumas Empresas Não Divulgam as Violações
Nem todas as violações se tornam do conhecimento público. As empresas podem:
- Não saber que foram violadas (os atacantes são frequentemente furtivos)
- Corrigir silenciosamente a vulnerabilidade e esperar que ninguém repare
- Subestimar o âmbito do que foi acedido
- Estar em jurisdições com requisitos de divulgação fracos ou inexistentes
- Atrasar a divulgação enquanto investigam, às vezes durante meses
Isto significa que o teu email pode aparecer em bases de dados de violações que o HaveIBeenPwned não conhece. O problema das violações não divulgadas é porque usar endereços descartáveis para serviços de baixa confiança é valioso mesmo que nunca tenhas recebido uma notificação de violação — podes ter sido violado sem o saber.
Perguntas Frequentes
Se o meu email esteve numa violação mas a minha palavra-passe não, estou seguro? Mais seguro, mas não seguro. As violações apenas de email alimentam listas de spam e tornam-te um alvo para phishing. Também são combinadas com outros dados de violações para criar perfis mais ricos de potenciais alvos. Não mudes nada, mas fica mais alerta para emails suspeitos.
Posso fazer remover os meus dados das bases de dados de violações? Das bases de dados de violações usadas por serviços como o HaveIBeenPwned — não, e não quererias. Essas bases de dados são o que te permite verificar a tua exposição. Das listas de spam e listas combo que circulam entre atacantes — não. Uma vez que os dados estão nessas listas, não há mecanismo de remoção.
Vale a pena pagar por serviços de proteção contra roubo de identidade? Variam em valor. A funcionalidade principal — monitorizar os teus dados pessoais em bases de dados de violações — está disponível gratuitamente através do HaveIBeenPwned e do Mozilla Monitor. Os serviços pagos adicionam seguros, monitorização de crédito e serviços de recuperação assistida, que têm valor se já foste afetado por roubo de identidade. Para monitorização de violações apenas, as ferramentas gratuitas são suficientes.
Como sabem os atacantes que pares email/palavra-passe tentar onde? As listas combo frequentemente incluem metadados sobre de onde vieram as credenciais. Os atacantes também usam probabilidade — se têm o teu email e uma palavra-passe, tentam primeiro os alvos de alto valor mais comuns: Gmail, Outlook, PayPal, Amazon, os principais bancos. Automatizam este processo em milhões de credenciais.
A minha palavra-passe foi exposta mas estava com hash. Devo mudá-la mesmo assim? Sim. A força do hashing varia. Os hashes MD5 e SHA1 (usados por muitos serviços mais antigos) podem ser crackeados em minutos usando ferramentas baseadas em GPU e tabelas rainbow. Mesmo palavras-passe com hash bcrypt podem ser crackeadas dado tempo suficiente e poder de computação se a palavra-passe era fraca. Muda-a independentemente.