Meu e-mail vazou no 'Leak dos BR': o plano de emergência que apliquei no Have I Been Pwned

No começo da semana, a timeline do X, mais uma vez, pegou fogo com notícias sobre uma nova atualização do famigerado "Leak dos BR". Dessa vez, diziam que a base agregada não continha apenas CPFs e endereços antigos, mas também combinações de e-mail e senha mais recentes. Como editor de tecnologia, minha caixa de entrada e minhas redes sociais viraram um campo de perguntas: "e agora, o que eu faço?".

Poderia ter ignorado, afinal, vazamentos viraram rotina. Mas a ideia de ter minha conta de e-mail principal — a que reseta todas as outras, inclusive a do banco — exposta em uma lista pública me deu um frio na barriga. Decidi não esperar pelo golpe para agir. Peguei um café, sentei na frente do monitor e coloquei em prática um plano de contenção que venho aperfeiçoando desde que comecei a usar o Have I Been Pwned (HIBP) como minha ferramenta padrão de diagnóstico.

Não é paranoia; é gestão de risco. A seguir, detalho o diagnóstico frio e os passos práticos que tomei para mitigar o estrago, focando no que realmente importa: o dinheiro e a identidade digital.

O susto inicial e a confirmação técnica

O primeiro passo foi parar de ler especulações em grupos de WhatsApp e ir para a fonte. Há anos utilizo o Have I Been Pwned como referência. Ele não é um app novato que instalei ontem; faz parte do meu kit de ferramentas de segurança diária há tempos. Digitei meu e-mail pessoal e profissional na barra de busca.

O resultado vermelho apareceu quase instantaneamente. Meu e-mail estava presente em oito violações de dados diferentes. A mais recente, de 2025, vinha de um serviço de delivery que eu mal lembrava de ter usado. Mas o problema não era aquele cadastro específico; era a reutilização de senha. Se eu usava a mesma senha do delivery na minha conta principal, a porta estava escancarada.

O HIBP tem uma funcionalidade que很多人 ignoram: a verificação de senhas. Ele usa um protocolo seguro (k-Anonymity) para verificar se a senha que você usa já foi vazada, sem enviar a senha em si para o servidor. Copiei e colei minha senha antiga de "uso geral" lá. Bingo. Ela estava em uma lista de hackers, comprometida há três anos. Eu estava vivendo com a fechadura da porta quebrada e achando que estava seguro porque o alarme nunca disparou.

Por que comecei trocando a senha do e-mail, não a do banco?

Existe um erro de lógica comum quando a gente descobre um vazamento: correr para o app do banco e trocar a senha da conta corrente. O problema é que, se um criminoso tem acesso ao seu e-mail, ele não precisa da senha do banco. Ele apenas clica em "esqueci minha senha", recebe o link de redefinição na sua caixa de entrada e assume o controle da conta.

O e-mail é a chave-mestra. Perdê-lo significa perder acesso a Spotify, Amazon, rede social e, o mais perigoso, a recuperação de contas bancárias.

Meu primeiro movimento foi logar na minha conta Google (no meu caso) e forçar uma alteração de senha imediata. Mas não apenas qualquer senha. Eu criei uma frase de acesso com 25 caracteres, misturando letras, números e símbolos que não fazem sentido gramatical. O gerenciador de senhas que uso salvou isso automaticamente.

Feito isso, fui nas configurações de segurança da conta e revoguei o acesso de todos os aplicativos e sites "menos seguros" ou que eu não reconhecia na lista de dispositivos conectados. Vi uma sessão ativa em Windows, em uma cidade que eu nunca visitei (provavelmente um bot ou um IP proxy). Cliquei em "remover" sem pensar duas vezes. Esse passo de higiene de sessão é tão importante quanto trocar a senha, pois remove o invasor que já pode estar dentro da sala.

O fim do SMS como salvaguarda

Com o e-mail blindado, a atenção virou para a autenticação de dois fatores (2FA). A verdade dura é: o SMS morreu como método seguro de segundo fator no Brasil. Com a facilidade de clonagem de chip e ataques de troca de SIM (SIM swapping), receber um código por mensagem de texto é como deixar a chave embaixo do tapete.

Fui aos meus serviços críticos e desativei o SMS 2FA onde era possível. Meu foco principal aqui era o banco e o e-mail. Substituí o SMS por um aplicativo autenticador (Authy ou Google Authenticator). O processo é um chato inicialmente — você tem que escanear o QR code, salvar os códigos de recuperação em um lugar seguro (anotei num caderno físico que fica trancado) —, mas o salto de segurança é brutal.

Essa mudança é vital. Se você usa o mesmo celular para receber SMS e acessar o app do banco, você tem um ponto único de falha. Ao migrar para o app autenticador, você desacopla o canal de recepção do código do canal de voz/mensagem, dificultando muito a vida de quem tenta interceptar esse código.

O checklist de 15 minutos para o Pix

Blindado o e-mail e a autenticação, restava o maior medo do brasileiro em 2026: o roubo via Pix. O grande perigo do vazamento de dados não é necessariamente alguém conseguir hackear o núcleo do sistema do Pix (que é robusto), mas o engenharia social. Com meu CPF e telefone vazados, alguém pode ligar para o banco se passando por mim, munido de dados "privados" que agora são públicos.

Acessei o aplicativo do meu banco principal. Fui até a área de "Minhas Chaves Pix". A regra é clara: só mantenha ativo o que você usa diariamente.

Eu tinha uma chave de e-mail cadastrada que não usava desde 2022. Apaguei. Mantive apenas a chave aleatória (aquela string de caracteres que o app gera) e o CPF. O celular eu desvinculei temporariamente, pois estava prestes a trocar de chip para um número mais controlado.

Enquanto isso, fiz um teste de "simulação de golpe" na minha cabeça. Se um golpista ligar para o banco e pedir a alteração de limite, o banco pergunta dados pessoais. Muitos desses dados estavam no "Leak dos BR". A defesa extra que configurei foi alertar o banco para que nenhuma alteração de cadastro ou senha seja realizada sem que eu confirme através do app autenticador ou por uma ligação de voz pré-agendada. Alguns bancos já possuem a função "Bloqueio de Operações via Telefone" nas configurações de segurança do aplicativo. Se o seu tiver, ative. Isso impede que um atendente, mesmo que convencido por um golpista, faça mudanças na sua conta.

A auditoria de senhas que todo mundo pula

O Have I Been Pwned também tem um recurso de "domain search" para empresas, mas como usuário individual, o que me salvou foi a função de monitorar contas passivamente. Eu já havia cadastrado meu e-mail para ser notificado se ele aparecesse em novos vazamentos futuros.

Mas a tarefa que tomou a maior parte do tempo foi o "posicionamento de danos". Passei mentalmente pelos 10 sites que visito com mais frequência e que têm meu cartão de crédito salvo: Amazon, Mercado Livre, iFood, Uber, Spotify e três serviços de assinatura de software.

Em cada um deles, segui o mesmo protocolo:

1. Login.
2. Configurações > Segurança.
3. Verificação de dispositivos logados.
4. Troca de senha para uma única e impossível de adivinhar (gerada pelo gerenciador).
5. Ativação de 2FA, se disponível.

No iFood, por exemplo, percebi que eu ainda estava logado em um tablet velho que dei para meu sobrinho em 2024. Desconectei. Na Uber, o histórico de viagens mostrava uma corrida em São Paulo, mas eu estava em Curitiba. Era um erro de sistema antigo, mas me serviu de alerta para limpar aquele histórico e garantir que o cartão ali não fosse recarregado automaticamente por um terceiro. Revoguei o cartão e adicionei novamente apenas quando fechei todas as sessões.

A regra prática é: se o serviço tem o seu cartão salvo, ele é uma porta de saída de dinheiro. A segurança dele precisa ter o mesmo nível da sua conta bancária.

O que aprendi (e o erro que você não pode cometer)

Ao final desses 40 minutos, a sensação não foi de alívio total, mas de controle. Não existe anonimato absoluto em 2026; meus dados pessoais básicos provavelmente estão aí em algum CSV na dark web. Mas o que importa é que o acesso às minhas contas depende de chaves que o vazamento não tem (as minhas novas senhas de 25 caracteres e os códigos do autenticador).

O erro que vejo muita gente cometer é pensar que "já vazou, não tem mais o que fazer". Esse pensamento é perigoso. Um vazamento é uma pista; o golpe acontece quando você usa a mesma chave em todos os lugares e não troca a fechadura.

Da próxima vez que você vir uma manchete sobre "Leak dos BR", não entre em pânico. Sente, abra o Have I Been Pwned, veja onde o seu e-mail aparece e comece a girar as chaves. Comece pelo e-mail, depois passe para o autenticador, e por fim, revise o seu Pix. É um trabalho chato, ele toma uma hora do seu domingo, mas é muito mais barato do que descobrir que fizeram um empréstimo em seu nome ou zeraram sua conta corrente.

Se você quiser se aprofundar em como identificar tentativas de invasão por engenharia social, vale a pena entender como clonadores de dados operam. E, por favor, se você ainda usa SMS para validar seu banco, pare agora mesmo e migre para um app autenticador; o guia que fiz sobre essa troca detalha o passo a passo. A segurança não é um produto, é um processo constante.