Recebi um e-mail dizendo que uma das minhas contas antigas pode ter sido incluída em alguma violação de alguns anos atrás. Nem tenho certeza em quais sites eu usei essa senha antigamente. Existe alguma forma de verificar se minhas senhas reais estão circulando por aí, ou é só mudar tudo mesmo?
Use um serviço como Have I Been Pwned para verificar se seu email ou nome de usuário aparece em brechas conhecidas. Acesse o site, digite seu endereço de email, e ele vai te mostrar em quais brechas sua conta apareceu. Isso não expõe sua senha real para você - apenas te diz se aquele email fez parte de uma brecha que foi documentada. Se seu email aparecer, você sabe que algo aconteceu com aquela conta.
A parte complicada é que as senhas em si geralmente não estão flutuando por aí em bases de dados públicas e pesquisáveis. O que fica exposto em brechas costuma ser senhas com hash, que são versões embaralhadas mais difíceis (mas não impossíveis) de quebrar. Então você não vai encontrar sua senha em texto simples lá fora na maioria dos casos. Dito isso, se foi uma brecha bem antiga e o hash era fraco, existe a possibilidade de alguém ter conseguido quebrá-lo até agora - mas isso não é algo que você possa facilmente verificar por conta própria.
A melhor ação é trocar a senha daquela conta agora mesmo, e se você reutilizou aquela mesma senha em outro lugar, mude-a nesses sites também. É aqui que um gerenciador de senhas realmente se torna útil se você não tem um - permite que você gere e rastreie diferentes senhas fortes para tudo sem seu cérebro derreter tentando lembrar delas todas. E daqui em diante, usar senhas únicas por site significa que uma brecha não abre todas as contas que você possui.
Os serviços de notificação de violação cobrem endereços de email em bancos de dados vazados, mas aqui está a questão - na verdade eles não conseguem te dizer se sua senha específica está lá fora, só que sua conta foi comprometida. O que importa mais é se você reutilizou essa senha em outro lugar qualquer, porque os atacantes vão testar as credenciais vazadas em múltiplos sites.
Tive um email antigo que caiu em uma violação anos atrás e realmente encontrei ele nesses sites de verificação, mas o que realmente ajudou foi passar pelo meu gerenciador de senhas e ver quais contas tinham compartilhado essa mesma senha. Mudei essas primeiro, depois fui pelos outros. Se você não se lembra quais sites usavam essa senha, honestamente pode valer a pena fazer uma mudança completa em qualquer coisa importante - contas que têm informações de pagamento, acesso de recuperação de email, esse tipo de coisa. As senhas em plaintext propriamente ditas quase nunca vazam de forma útil para os atacantes de qualquer forma; o que é roubado geralmente são hashes, então mesmo que sua senha esteja "lá fora", quebrá-la exige esforço real.
A coisa que ninguém realmente conta é que mesmo se seu email aparecer em um vazamento, sua senha de verdade quase nunca está lá legível. A maioria dos sites faz hash das senhas, o que significa que elas são embaralhadas de um jeito super difícil de reverter. Então quando você recebe aquela notificação, normalmente significa que seu email e nome de usuário vazaram, não a senha em si - a menos que o site tenha sido realmente negligente com segurança.
dito isso, você ainda precisa levar isso a sério porque hackers vão tentar seu email + senhas comuns ou as de outros vazamentos contra suas outras contas. Descobri no ano passado que um fórum antigo que havia usado anos atrás foi invadido, e mesmo que as senhas de verdade não tivessem sido expostas, alguém tentou fazer login no meu email com credenciais vazadas de outro site. Consegui pegar porque ativei alertas de login, mas foi um aviso.
Aqui está o que realmente importa: se você usou essa senha em qualquer outro lugar, mude-a nessas contas primeiro, começando com email e coisas de banco. Depois disso, sim, use Have I Been Pwned como as respostas anteriores mencionaram - mas foque no lado email/nome de usuário, não em tentar verificar se a senha em si está por aí. Daqui pra frente, é só usar um gerenciador de senhas pra você não reutilizar nada, e aí você não vai ficar acordado à noite se perguntando quais sites tiveram o quê. Leva uns vinte minutos pra configurar e te salva dessa dor de cabeça exatamente assim lá na frente.
Depois que você checou esses bancos de dados de vazamentos e descobriu quais contas foram afetadas, o lance prático é mudar sua senha naquele site primeiro, e depois em qualquer outro lugar onde você reutilizou a mesma senha - o que provavelmente é por isso que você tá estressado com isso. A boa notícia é que mesmo que o vazamento tenha incluído hashes de senha, eles não ficam simplesmente legíveis em algum arquivo txt; o risco real é se alguém passa eles por uma ferramenta de cracking, mas isso leva tempo e esforço em vazamentos antigos. O que importa mais é se você reutilizou aquela senha em coisas importantes como email ou banco, porque essas são alvo primeiro.
Entrarpara responder.
