Um resumo direto do que fazer quando uma senha aparece em uma base como o SambaTu, o
rockyou.txt ou qualquer outro vazamento conhecido.
Antes de tudo: seu dispositivo está limpo?
Se o seu computador ou celular ainda estiver infectado por malware (como um
keylogger ou infostealer), trocar senha, ativar 2FA e encerrar sessões pode ser
inútil: o invasor volta a capturar tudo de novo. Antes de seguir os passos
abaixo, faça um scan completo com antivírus no dispositivo.
-
Troque a senha agora
Comece pelos serviços mais críticos: e-mail principal, banco, trabalho e redes sociais.
-
Encerre sessões ativas em outros dispositivos
Depois de trocar a senha, procure a opção "sair de todos os dispositivos"
ou "gerenciar sessões" nas configurações de segurança da conta. Trocar a senha
nem sempre desconecta quem já está logado: essa opção invalida o cookie de sessão salvo em
qualquer navegador ou aparelho, o que é essencial se o invasor tiver roubado apenas a sessão
(sem saber a senha), por exemplo através de um malware infostealer.
-
Revise apps e permissões conectadas
Aproveite e confira, nas mesmas configurações de segurança, quais aplicativos
de terceiros têm acesso à conta (login via Google/Facebook, integrações etc.) e revogue o que
você não reconhece.
-
Não reutilize senhas
Cada serviço deve ter a sua própria senha, única e diferente das demais.
-
Use um gerenciador de senhas
iSenhas,
Bitwarden, 1Password, Proton Pass, Dashlane, KeePass, NordPass, entre outros,
geram e guardam senhas longas e aleatórias sem precisar decorá-las. Escolha o que preferir.
Vídeo: gerenciadores de senha
-
Ative 2FA / MFA com um app autenticador
Google Authenticator, Microsoft Authenticator, Authy ou uma chave física
(YubiKey), entre outros, sempre que o serviço oferecer essa opção.
Vídeo: autenticação em duas etapas (2FA)
-
Evite 2FA por SMS
Um código enviado por mensagem de texto pode ser interceptado num golpe de
SIM swap, quando criminosos transferem seu número para um chip deles. Use app
autenticador ou chave física sempre que possível.
-
Prefira passkeys
Quando disponíveis, elas eliminam a senha (e o SMS) do processo de login por
completo, sendo resistentes a phishing.
-
Revise seus dados de recuperação
Confira se o e-mail e o telefone de recuperação cadastrados nas suas contas
ainda são seus e estão atualizados.
-
Monitore seus e-mails
Plataformas como
Have I Been Pwned
e o Digital Footprint (Malwarebytes)
avisam se eles apareceram em outros vazamentos além do SambaTu.
-
Acompanhe contas bancárias e faturas
Revise extratos e faturas por um tempo após o vazamento e contate seu banco
em caso de movimentação que você não reconheça.
-
Desconfie de contatos e anúncios inesperados
Dados vazados alimentam campanhas de phishing por e-mail, SMS, WhatsApp e
ligações, mas também aparecem como anúncios patrocinados no Google, Instagram,
Facebook e outras redes, clonando sites oficiais de bancos e serviços. Evite clicar em links de
anúncios e prefira digitar o endereço diretamente no navegador.