O seu e-mail apareceu numa fuga de dados: o que fazer e por que ordem

Atualizado em 23 de setembro de 2026

Quase toda a gente já viu o seu endereço numa fuga de dados. Não é uma catástrofe se reagir pela ordem certa: eis os passos a seguir.

O que significa uma fuga de dados

Uma fuga de dados acontece quando a base de dados de um site é pirateada ou está mal protegida. O que foi exposto depende do site:

Dado exposto	Risco principal
Só o endereço de e-mail	Spam e phishing direcionado
Endereço mais nome, telefone, morada	Burlas credíveis que citam os seus dados reais
Endereço e palavra-passe	Acesso às suas contas, sobretudo se a palavra-passe for reutilizada
Dados de pagamento	Pagamentos fraudulentos

O endereço de e-mail sozinho não é um segredo: circula de qualquer forma. O verdadeiro perigo vem da palavra-passe e das burlas que se seguem.

Passo 1: verificar o que foi exposto

O serviço Have I Been Pwned (haveibeenpwned.com), mantido por um investigador de segurança, reúne as fugas públicas: introduza o seu endereço para ver em que bases aparece e que dados estavam incluídos. Desconfie, em contrapartida, de e-mails que o «avisam» de uma fuga e lhe pedem para clicar: é um cenário clássico de phishing.

Passo 2: mudar as palavras-passe, pela ordem certa

Primeiro o e-mail: quem controla a sua caixa pode repor todas as outras contas.
A conta no site que sofreu a fuga.
Todas as contas que usavam a mesma palavra-passe: é aí que acontece a maioria das intrusões, com robôs a experimentar pares endereço-palavra-passe em todo o lado.
Banco, lojas com cartão guardado, redes sociais.

Uma palavra-passe diferente por site, gerada e memorizada por um gestor de palavras-passe, torna a próxima fuga quase inofensiva.

Passo 3: ativar a verificação em dois passos

No e-mail e nas contas importantes, ative a verificação em dois passos: aplicação de autenticação, chave de segurança ou chave de acesso (passkey). Mesmo com a sua palavra-passe, um atacante não conseguirá entrar. O SMS protege menos, mas é muito melhor do que nada.

Passo 4: contar com phishing direcionado

Depois de uma fuga, os burlões enviam mensagens que referem o site pirateado, o seu nome e por vezes uma encomenda real. Durante vários meses:

não clique em nenhuma ligação recebida sobre a fuga; vá diretamente ao site;
nenhum serviço sério lhe pede a palavra-passe ou um código por e-mail, SMS ou telefone;
verifique o remetente e o destino real das ligações, como explicamos no nosso guia sobre phishing.

Passo 5: vigiar e reduzir a exposição futura

Consulte os movimentos bancários se houve fuga de dados de pagamento, e cancele o cartão à menor dúvida.
Verifique as regras de reencaminhamento do seu e-mail: por vezes um atacante cria uma para receber cópia das suas mensagens.
Reduza a sua exposição: use um endereço temporário para registos pontuais e um alias por site para contas duradouras. Quando houver uma fuga, só esse endereço será afetado.

Obter um endereço descartável

Perguntas frequentes

Devo mudar de endereço de e-mail depois de uma fuga?

Raramente. Mudar as palavras-passe e ativar a verificação em dois passos costuma bastar. Se o endereço passar a receber muito spam, filtros ou um alias para contas novas resolvem o problema sem mudar tudo.

Um atacante pode usar o meu endereço para enviar e-mails?

Pode falsificar o remetente de uma mensagem sem aceder à sua caixa, mas as proteções SPF, DKIM e DMARC dos fornecedores bloqueiam boa parte dessas falsificações. Se tiver a sua palavra-passe, pode de facto escrever a partir da sua conta: mude-a de imediato.

Como sei se outra pessoa usou a minha conta?

A maioria dos serviços de e-mail mostra o histórico de sessões e dispositivos. Termine todas as sessões que não reconheça e depois mude a palavra-passe.