Saber como saber se seus dados vazaram na internet é o primeiro passo para reagir a tempo. Receber um e-mail avisando que sua senha apareceu em um vazamento de dados, ou notar transações estranhas na fatura do cartão, é hoje uma experiência cada vez mais comum entre os brasileiros. Com bancos, redes sociais, aplicativos de delivery e até prefeituras armazenando informações pessoais em servidores online, basta uma falha de segurança em qualquer uma dessas empresas para que nome completo, CPF, e-mail, senha e até dados de cartão de crédito caiam nas mãos de criminosos. A boa notícia é que existem formas gratuitas e confiáveis de descobrir se você foi atingido — e o que fazer a partir daí.

O cenário brasileiro preocupa: segundo levantamento da empresa de cibersegurança Surfshark, o Brasil registrou 84,6 milhões de contas comprometidas em 2024, um salto de cerca de 24 vezes em relação a 2023, o que colocou o país entre as sete posições mais afetadas do ranking mundial de vazamentos de dados. No total, mais de 5,5 bilhões de contas foram expostas globalmente naquele ano, quase oito vezes mais que em 2023, segundo a mesma pesquisa.

Por que vazamentos de dados acontecem

Vazamentos de dados normalmente não acontecem porque a vítima fez algo errado, mas porque uma empresa que armazenava suas informações falhou em protegê-las. Isso pode ocorrer por invasões de hackers a bancos de dados mal configurados ou desatualizados, ataques de ransomware que sequestram e depois divulgam informações, falhas internas de segurança, erros humanos, como deixar um servidor aberto na internet sem senha, ou até venda de dados por funcionários mal-intencionados. Uma vez expostas, essas informações costumam circular em fóruns da dark web e em canais de mensagens, sendo compiladas em grandes bases usadas para golpes de phishing, clonagem de WhatsApp, abertura de contas e empréstimos fraudulentos em nome da vítima.

No Brasil, a Lei Geral de Proteção de Dados (LGPD) obriga as empresas a comunicar à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados sempre que um incidente de segurança representar risco relevante, por meio do canal de Comunicação de Incidente de Segurança. Na prática, porém, nem sempre essa comunicação chega de forma clara ou rápida ao consumidor, o que reforça a importância de verificar por conta própria se seus dados foram expostos.

Como saber se seus dados vazaram na internet

1. Acesse o site Have I Been Pwned (haveibeenpwned.com) e digite seu endereço de e-mail na busca; a ferramenta gratuita cruza o e-mail com bilhões de registros de vazamentos conhecidos e mostra em quais bases de dados ele apareceu.
2. Use a mesma ferramenta para checar suas senhas na seção “Pwned Passwords”, que verifica de forma anonimizada se uma senha específica já foi exposta em vazamentos, sem enviar a senha completa para o servidor.
3. Consulte seu CPF gratuitamente na Serasa, na seção de vazamento de dados, para verificar se seu documento foi encontrado em bases vazadas ou na dark web.
4. Acesse o Registrato do Banco Central (bcb.gov.br/meubc/registrato) com sua conta gov.br para conferir se existem contas bancárias, empréstimos, chaves Pix ou cheques sem fundo abertos em seu nome sem autorização.
5. Verifique o histórico de logins e dispositivos conectados nas configurações de segurança de contas importantes, como e-mail, redes sociais e aplicativos bancários, em busca de acessos que você não reconhece.
6. Ative alertas automáticos de monitoramento, como o serviço de notificação do próprio Have I Been Pwned ou o recurso de monitoramento de dark web de alguns gerenciadores de senha, para ser avisado sempre que seus dados aparecerem em um novo vazamento.
7. Fique atento a comunicados oficiais de empresas e órgãos públicos com os quais você tem relacionamento, além de notícias de veículos confiáveis sobre vazamentos que possam ter afetado serviços que você utiliza.

Sinais de que seus dados podem ter vazado

• Recebimento de e-mails, SMS ou ligações de phishing personalizados, citando seu nome completo, CPF ou dados de compras que você realmente fez.
• Notificações de login ou tentativas de acesso em locais ou dispositivos que você não reconhece.
• Compras, empréstimos ou negativações no CPF que você não realizou, identificados em extratos ou no Registrato do Banco Central.
• Contas em redes sociais ou aplicativos de mensagens clonadas ou acessadas por terceiros sem seu consentimento.
• Aumento repentino de golpes direcionados, como falsas centrais de atendimento de bancos que já sabem seus dados pessoais de antemão.
• Alertas automáticos de serviços como Have I Been Pwned, seu navegador ou gerenciadores de senha informando que seu e-mail ou senha apareceu em um novo vazamento.

O que fazer se seus dados vazaram

• Troque imediatamente a senha da conta afetada e de qualquer outro serviço em que você usava a mesma senha ou uma senha parecida.
• Ative a autenticação em duas etapas (2FA) em e-mail, redes sociais, aplicativos bancários e demais contas importantes, preferindo aplicativos autenticadores a SMS sempre que possível.
• Use um gerenciador de senhas para criar senhas longas e únicas para cada serviço, eliminando o risco de um único vazamento comprometer várias contas ao mesmo tempo.
• Monitore seu CPF regularmente na Serasa, no SPC ou no Registrato do Banco Central, e considere bloquear preventivamente a consulta ao seu CPF quando não estiver solicitando crédito.
• Registre um boletim de ocorrência caso identifique fraudes financeiras, abertura de contas ou empréstimos em seu nome, documento importante para contestar cobranças indevidas.
• Desconfie de contatos não solicitados que peçam confirmação de dados, senhas ou códigos de verificação, mesmo que a pessoa já saiba informações corretas sobre você — esse é justamente o tipo de golpe que se aproveita de dados vazados.
• Caso o vazamento tenha partido de uma empresa brasileira e você tenha sofrido prejuízo, você pode registrar reclamação junto à ANPD (Autoridade Nacional de Proteção de Dados) ou aos órgãos de defesa do consumidor, e avaliar com um advogado a possibilidade de indenização com base na LGPD.

Perguntas frequentes

O Have I Been Pwned é seguro e confiável?
Sim. É um serviço gratuito e amplamente reconhecido na área de segurança digital. Segundo o próprio site, ele não armazena senhas completas junto a dados pessoais e realiza as verificações de senha de forma anonimizada, sem enviar a senha real para o servidor.

Meus dados não apareceram em nenhuma busca. Isso significa que estou seguro?
Não necessariamente. Nem todo vazamento é descoberto ou torna-se público, e algumas bases de dados nunca chegam a ser catalogadas por ferramentas como o Have I Been Pwned. Por isso, manter boas práticas de segurança, como senhas únicas, autenticação em duas etapas e monitoramento periódico do CPF, é recomendado mesmo sem confirmação de vazamento.

Posso ser indenizado se meus dados vazaram por falha de uma empresa?
Depende do caso. Especialistas em direito digital apontam que a LGPD prevê responsabilidade das empresas por incidentes de segurança que causem dano ao titular dos dados, e é possível buscar reparação por meio de reclamação à ANPD, aos órgãos de defesa do consumidor ou judicialmente, especialmente quando o vazamento resulta em prejuízo financeiro comprovado.

Este artigo foi elaborado com base em informações do site oficial Have I Been Pwned, em levantamento da empresa de cibersegurança Surfshark divulgado pelo ConvergênciaDigital, pelo TI Inside e pelo UAI, em reportagem do Olhar Digital sobre verificação de CPF vazado, em conteúdo oficial da Autoridade Nacional de Proteção de Dados (ANPD) sobre direitos dos titulares de dados e comunicação de incidentes de segurança, e em análise jurídica do Migalhas sobre indenização por vazamento de dados segundo a LGPD.