Base de dados: github.com/HideMeBr/SambaTu
Esta ferramenta compara a senha digitada com o
SambaTu,
uma lista pública de senhas brasileiras comumente usadas, o equivalente nacional do
conhecido rockyou.txt, ordenada das mais usadas para as
menos usadas.
A verificação acontece inteiramente no seu navegador: o arquivo é baixado uma única vez, mantido em memória durante a sessão, e a senha digitada nunca é enviada para nenhum servidor, nem mesmo para este site. Por isso a senha também não é colocada em parâmetros de URL, o que evitaria que ela ficasse salva no histórico do navegador.
O SambaTu segue a mesma lógica de listas mundialmente conhecidas no meio de segurança da informação e pentest, usadas tanto para auditar a força de senhas quanto, infelizmente, para tentar quebrá-las em ataques de força bruta e dicionário.
Um resumo direto do que fazer quando uma senha aparece em uma base como o SambaTu, o rockyou.txt ou qualquer outro vazamento conhecido.
Se o seu computador ou celular ainda estiver infectado por malware (como um keylogger ou infostealer), trocar senha, ativar 2FA e encerrar sessões pode ser inútil: o invasor volta a capturar tudo de novo. Antes de seguir os passos abaixo, faça um scan completo com antivírus no dispositivo.
Comece pelos serviços mais críticos: e-mail principal, banco, trabalho e redes sociais.
Depois de trocar a senha, procure a opção "sair de todos os dispositivos" ou "gerenciar sessões" nas configurações de segurança da conta. Trocar a senha nem sempre desconecta quem já está logado: essa opção invalida o cookie de sessão salvo em qualquer navegador ou aparelho, o que é essencial se o invasor tiver roubado apenas a sessão (sem saber a senha), por exemplo através de um malware infostealer.
Aproveite e confira, nas mesmas configurações de segurança, quais aplicativos de terceiros têm acesso à conta (login via Google/Facebook, integrações etc.) e revogue o que você não reconhece.
Cada serviço deve ter a sua própria senha, única e diferente das demais.
iSenhas, Bitwarden, 1Password, Proton Pass, Dashlane, KeePass, NordPass, entre outros, geram e guardam senhas longas e aleatórias sem precisar decorá-las. Escolha o que preferir.
Vídeo: gerenciadores de senhaGoogle Authenticator, Microsoft Authenticator, Authy ou uma chave física (YubiKey), entre outros, sempre que o serviço oferecer essa opção.
Vídeo: autenticação em duas etapas (2FA)Um código enviado por mensagem de texto pode ser interceptado num golpe de SIM swap, quando criminosos transferem seu número para um chip deles. Use app autenticador ou chave física sempre que possível.
Quando disponíveis, elas eliminam a senha (e o SMS) do processo de login por completo, sendo resistentes a phishing.
Confira se o e-mail e o telefone de recuperação cadastrados nas suas contas ainda são seus e estão atualizados.
Plataformas como Have I Been Pwned e o Digital Footprint (Malwarebytes) avisam se eles apareceram em outros vazamentos além do SambaTu.
Revise extratos e faturas por um tempo após o vazamento e contate seu banco em caso de movimentação que você não reconheça.
Dados vazados alimentam campanhas de phishing por e-mail, SMS, WhatsApp e ligações, mas também aparecem como anúncios patrocinados no Google, Instagram, Facebook e outras redes, clonando sites oficiais de bancos e serviços. Evite clicar em links de anúncios e prefira digitar o endereço diretamente no navegador.