Como Saber se Sua Senha Vazou: 5 Verificações Gratuitas

O Have I Been Pwned, maior catálogo público de vazamentos do mundo, já passa de 17,6 bilhões de contas expostas, coletadas de 1.018 sites violados (Have I Been Pwned, 2026). É mais que o dobro da população do planeta. Estatisticamente, alguma conta sua já apareceu em uma dessas listas.

A dúvida que trava todo mundo é a mesma: como saber se minha senha vazou, de graça e sem correr risco? Este guia responde com 5 verificações gratuitas, do e-mail ao CPF. Você também vai entender por que digitar sua senha no verificador é seguro e o que fazer se o resultado vier vermelho. Trabalho com TI, repito esse roteiro de tempos em tempos e vou mostrar o caminho, na ordem certa.

Resumo rápido: Sua senha provavelmente já apareceu em algum vazamento: o Have I Been Pwned indexa mais de 17,6 bilhões de contas expostas (HIBP, 2026). Verificar é grátis e leva minutos: HIBP, Google Password Checkup, Mozilla Monitor, app Senhas da Apple e consulta de CPF na Serasa. Se vazou: troque a senha, elimine as repetidas e ative a 2FA.

O que significa ter a senha vazada?

Ter a senha vazada significa que a combinação de e-mail e senha que você usa em algum serviço foi exposta em uma violação de dados. Ela passa a circular em listas vendidas ou publicadas por criminosos. O Have I Been Pwned já catalogou bilhões de contas nessa situação (HIBP, 2026).

O vazamento quase nunca nasce de um erro seu. As duas origens mais comuns são a invasão de serviços, quando invasores copiam o banco de credenciais de um site mal protegido, e os infostealers. Esses programas maliciosos raspam as senhas salvas em um navegador infectado. Nos dois casos, sua senha sai de casa sem você perceber. Há ainda uma terceira via, essa sim dependente de um clique: o phishing é uma das formas mais comuns de roubo de senha, quando você mesmo digita a combinação em uma página falsa.

O estrago cresce por causa de um hábito: 78% das pessoas reutilizam a mesma senha em mais de um serviço (Bitwarden, 2025). Os golpistas automatizam o teste da combinação vazada em centenas de outros sites, o chamado credential stuffing. Esse ataque já representa 19% das tentativas de login na mediana diária da web (Verizon DBIR, 2025).

O mesmo relatório mostra que credenciais roubadas abriram 22% das invasões analisadas e aparecem em 88% dos ataques básicos a aplicações web. E o problema não é novo por aqui. Já em 2021, a Axur detectou 181,5 milhões de credenciais brasileiras expostas em um único trimestre, alta de 220% sobre o anterior (Axur, via CISO Advisor, 2021).

É por isso que senha, sozinha, não segura mais nada. A autenticação de dois fatores existe exatamente para o dia em que a sua vazar. Mas antes de reforçar a porta, vale descobrir se a chave já circula por aí.

Como saber se minha senha vazou? As 5 verificações gratuitas

Você descobre se sua senha vazou em cerca de dez minutos, sem pagar nada. São cinco verificações gratuitas: Have I Been Pwned, Google Password Checkup, Mozilla Monitor, o app Senhas da Apple e a consulta de CPF da Serasa. Vamos passo a passo, na ordem que eu mesmo sigo.

Passo 1: Have I Been Pwned (e-mail e senhas)

Acesse haveibeenpwned.com, digite seu e-mail e pressione o botão. Em segundos, o site lista cada vazamento conhecido em que o endereço apareceu, com data e tipo de dado exposto. Há também a aba “Passwords”, que verifica uma senha específica contra a mesma base.

Antes de escrever este guia, rodei meu e-mail principal ali. Resultado honesto: ele aparece em sete vazamentos, alguns de serviços em que eu nem lembrava de ter cadastro. Nenhum pânico; é o retrato comum de quem usa internet há vinte anos. O que importa é a resposta, e chegamos a ela daqui a pouco.

Passo 2: Google Password Checkup

Entre em passwords.google.com e toque em “Verificar senhas”. A ferramenta compara todas as senhas salvas na sua conta Google com listas de vazamentos conhecidos. Ela também aponta senhas fracas e repetidas, com atalho para trocar cada uma. No Chrome e no Android, o alerta aparece sozinho quando você digita uma senha comprometida.

Passo 3: Mozilla Monitor

O Mozilla Monitor trabalha no modo vigia: você cadastra um e-mail e recebe alerta automático a cada novo vazamento. A conta gratuita monitora até 20 endereços, o suficiente para a família inteira. Detalhe que muitos guias erram: o serviço se chamava Firefox Monitor, nome aposentado. O plano pago Monitor Plus foi encerrado em dezembro de 2025. A versão gratuita continua de pé, e é a que interessa aqui.

Passo 4: app Senhas no iPhone e no Mac

Tem aparelho da Apple? Abra o app Senhas e toque na seção “Segurança” (em versões antigas: Ajustes, depois Senhas, em “Recomendações de Segurança”). O sistema mostra quais senhas salvas apareceram em vazamentos conhecidos, quais são fáceis de adivinhar e quais se repetem. A checagem usa técnica de privacidade parecida com a do HIBP: a Apple não vê suas senhas.

Passo 5: CPF e dados pessoais na Serasa

Senha é só parte do problema: CPF, e-mail e telefone também vazam. A Serasa oferece uma consulta gratuita de vazamento de dados que mostra se o seu CPF apareceu em incidentes conhecidos. Use apenas essa consulta de exposição, sempre digitando o endereço direto no navegador. Golpistas adoram explorar o medo de vazamento com links falsos por SMS e e-mail.

A tabela resume as cinco verificações:

Ferramenta	O que verifica	Grátis?	Observação
Have I Been Pwned	E-mail em vazamentos + senhas expostas	Sim	Maior base pública: mais de 17,6 bilhões de contas
Google Password Checkup	Senhas salvas na conta Google	Sim	Avisa também sobre senhas fracas e repetidas
Mozilla Monitor	E-mail em novos vazamentos, com alertas	Sim	Até 20 e-mails; é o antigo Firefox Monitor
App Senhas (Apple)	Senhas salvas no iPhone/Mac	Sim	Verificação local, na seção “Segurança” do app
Serasa	CPF, e-mail e telefone expostos	Sim	Use somente a consulta de vazamento de dados

É seguro digitar minha senha no Have I Been Pwned?

Sim, é seguro. O Have I Been Pwned nunca recebe a senha que você digita. A verificação usa uma técnica chamada k-anonymity: só um fragmento anônimo sai do seu navegador. Nem o site, nem alguém espionando a conexão consegue reconstruir a senha a partir desse fragmento.

O truque começa com uma função de hash, o moedor matemático que transforma qualquer texto em um código de tamanho fixo. Não há caminho de volta. Quando você digita a senha no HIBP, o navegador calcula o hash SHA-1 dela ali mesmo, na sua máquina. A senha em si não viaja para lugar nenhum.

Do código de 40 caracteres que resulta, apenas os 5 primeiros são enviados ao servidor. O HIBP devolve a lista de todos os hashes vazados que começam com aquele fragmento, na casa das centenas. A comparação final acontece no seu navegador, longe dos olhos do site. É isso que o nome k-anonymity descreve: você se esconde no meio da multidão.

Uma analogia ajuda. É como pedir ao bibliotecário “todos os livros cujo código começa com 21BD1”: ele entrega a pilha sem saber qual livro você quer. O modelo foi criado em parceria com a Cloudflare em 2018, e o funcionamento é público, aberto a auditoria.

Senha vazada: o plano de resposta em 4 etapas

Se uma senha vazou, o plano de resposta tem quatro etapas, nesta ordem. Primeiro, trocar a senha do serviço afetado e eliminar as cópias dela em outros sites. Depois, ativar 2FA em todas as contas importantes e adotar um gerenciador de senhas. As duas primeiras fecham a porta; as duas últimas impedem a próxima invasão. E se alguém já entrou, trocar a senha não basta: o roteiro completo está no guia sobre conta invadida.

A caça às repetidas é o passo que mais gente pula, e é o mais urgente. Lembra do credential stuffing? Na pesquisa global da Bitwarden, 32% dos entrevistados admitem repetir a mesma senha em 5 a 10 sites (Bitwarden, 2025). Para os robôs dos criminosos, cada repetição é uma porta destrancada com a chave que eles já têm.

Na hora de criar a substituta, tamanho e variedade vencem qualquer truque. Uma senha de 8 caracteres só com números cai em 15 minutos; com letras, números e símbolos, a estimativa sobe para 164 anos (Hive Systems, 2025). O gráfico mostra o abismo:

No horizonte, as passkeys prometem aposentar esse problema: 74% dos consumidores já ouviram falar delas, e 53% as consideram mais seguras que senhas (FIDO Alliance, 2025). Até lá, a dupla que funciona é senha única forte mais segunda camada de verificação. O gerenciador cuida da primeira parte; a 2FA, da segunda.

Dá para confiar nas manchetes de “bilhões de senhas vazadas”?

Nem sempre. Manchetes de megavazamento costumam somar listas antigas e vender o total como novidade. O caso mais ruidoso de 2025 foi o suposto “maior vazamento da história”, com 16 bilhões de senhas. Era, em grande parte, material reciclado de infostealers, como demonstrou Troy Hunt (2025), criador do HIBP.

O padrão se repete. Em 2024, o arquivo RockYou2024 circulou como o maior compilado já visto, com 9,95 bilhões de senhas únicas (Cybernews, 2024). Só que compilado é isso: uma colagem de vazamentos antigos, não uma invasão nova. Assusta no título, muda pouco na prática.

Hunt analisou amostras do caso de 2025 e encontrou dados duplicados e senhas já catalogadas anos antes. A conclusão dele virou aula de leitura crítica: número gigante não significa incidente novo. Boa parte dos portais reproduziu a manchete sem esse contexto.

E o que uma manchete dessas muda para você? Nada além do checklist que já vimos. Rode as cinco verificações, troque o que aparecer comprometido e mantenha a 2FA ligada. Quem faz isso dorme igual, com vazamento novo ou requentado.

Perguntas frequentes

Como saber se minha senha foi vazada gratuitamente?

As cinco ferramentas deste guia cobrem tudo, de graça. O Have I Been Pwned verifica e-mail e senhas; o Google Password Checkup, as senhas salvas na conta. O Mozilla Monitor alerta até 20 e-mails; o app Senhas cobre iPhone e Mac. A consulta da Serasa fecha com o CPF. Tudo em cerca de dez minutos.

É seguro digitar minha senha no Have I Been Pwned?

Sim. O site usa k-anonymity: sua senha vira um hash no próprio navegador, e só os 5 primeiros caracteres desse código são enviados. A comparação final acontece no seu aparelho. Nem o HIBP, nem alguém espionando a rede consegue reconstruir a senha completa a partir desse fragmento anônimo.

Como saber se meus dados estão na dark web?

Deixe o monitoramento contínuo trabalhar: o Mozilla Monitor vigia vazamentos ligados ao seu e-mail, e a consulta da Serasa avisa sobre CPF e telefone expostos. Para entender o que é a dark web e como seus dados chegam lá, veja o guia dedicado. O volume justifica o hábito: 57,2 bilhões de credenciais foram expostas globalmente em um ano (Axur, 2025).

O Google avisou que minha senha vazou. É golpe?

O alerta do Chrome e do Android é legítimo: o sistema compara suas senhas salvas com listas de vazamentos conhecidos. A regra de ouro é nunca tocar em links de e-mail ou SMS sobre o assunto. Digite passwords.google.com direto no navegador e rode a verificação por conta própria, no caminho oficial.

De quanto em quanto tempo devo verificar minhas senhas?

A cada três a seis meses, ou imediatamente após a notícia de vazamento em um serviço que você usa. Melhor ainda: deixe os alertas automáticos trabalharem por você. O Mozilla Monitor e o aviso de senhas do Google acusam sozinhos quando algo novo aparece, sem depender da sua memória.

O essencial sobre senhas vazadas em 3 pontos

Do que você leu até aqui, três coisas merecem ficar:

• Verificar é grátis, rápido e seguro. HIBP, Google, Mozilla Monitor, app Senhas e Serasa cobrem e-mail, senhas e CPF em dez minutos. E a k-anonymity garante que sua senha nunca sai do navegador;
• Vazou? Troque, limpe e reforce. Senha nova no serviço afetado, fim das repetidas e 2FA ligada. Uma senha longa e variada leva 164 anos para cair, não 15 minutos;
• O risco real é a repetição. 78% das pessoas reutilizam senhas (Bitwarden, 2025), e é isso que transforma um vazamento pequeno em invasão em cadeia.

Daqui, a trilha de Segurança Digital segue. O próximo passo natural é o guia de autenticação de dois fatores que linkamos acima. Ele mostra a ativação, tela por tela, no WhatsApp, no Google, no Instagram e no gov.br. Faça a verificação hoje. Dez minutos agora valem mais que qualquer susto depois.