A minha palavra-passe foi exposta — o que fazer agora?
Plano de ação em 7 passos: verificar onde foi exposta, alterar contas críticas, ativar 2FA e monitorizar fraude.
Editor de Tecnologia & Cibersegurança
📋 Índice do Artigo
- 1.A tua palavra-passe foi exposta. E agora?
- 2.Passo 1: mudar a palavra-passe IMEDIATAMENTE
- 3.Passo 2: mudar em TODOS os outros sites onde uses a mesma palavra-passe
- 4.Passo 3: ativar 2FA no email principal
- 5.Passo 4: verificar atividade suspeita
- 6.Passo 5: monitorizar a sua identidade
- 7.Passo 6: prevenção a longo prazo
- 8.Perguntas Frequentes (FAQ)
A tua palavra-passe foi exposta. E agora?
Recebeste um email do Google ou da Apple a avisar que uma palavra-passe tua apareceu numa fuga de dados? Ou descobriste isso no nosso verificador de fugas de dados? Não entres em pânico — mas age rapidamente. Este guia explica os 6 passos críticos nas próximas 24 horas.
Segundo o relatório anual do CNCS, mais de 2,3 milhões de contas portuguesas apareceram em fugas de dados durante 2025. A maioria das vítimas nem sabe — e essa é a maior vulnerabilidade.
Passo 1: mudar a palavra-passe IMEDIATAMENTE
Vá ao site afetado e mude a palavra-passe para uma nova, única e forte. Não reutilize a anterior nem variações óbvias (ex: 'password123' → 'password124' — quebrável em segundos).
Use o nosso gerador de palavras-passe para criar uma password aleatória de 20+ caracteres e guarde-a num gestor de passwords.
Passo 2: mudar em TODOS os outros sites onde uses a mesma palavra-passe
Esta é a parte crítica. Se reutilizou a palavra-passe exposta em outros sites (email, banco, redes sociais, Amazon), todos esses sites estão agora em risco. Atacantes automatizam credential stuffing: tentam a palavra-passe exposta em centenas de sites populares.
Faça uma lista mental dos sites onde tipicamente usa essa password. Mude-a em todos. Se não consegue lembrar-se, é exatamente esse o problema — use o gestor de passwords daqui em diante.
Passo 3: ativar 2FA no email principal
O email é o centro do seu universo digital — se for comprometido, atacantes podem repor passwords de quase tudo o resto. Ative a autenticação de dois factores (2FA) no seu Gmail, Outlook ou ProtonMail imediatamente.
Use uma app como Authy ou Google Authenticator (mais seguras que SMS). Para máxima segurança, considere uma chave física YubiKey.
Passo 4: verificar atividade suspeita
Verifique o histórico de login do site afetado (se disponível). Procure por: acessos de países desconhecidos, dispositivos não reconhecidos, alterações de palavra-passe que não fez, novos endereços de email associados à conta.
Para email Google: myaccount.google.com/device-activity. Para outros serviços, procure 'security log' ou 'activity history' nas definições.
Passo 5: monitorizar a sua identidade
Se a fuga incluiu dados pessoais (NIF, IBAN, morada, telefone), considere ativar um serviço de monitorização de identidade. Estes serviços vigiam a dark web e alertam-no se os seus dados aparecem em fóruns de cibercriminosos.
Em Portugal, considere também: subscrever alertas do Banco de Portugal sobre o seu NIF, verificar mensalmente o seu mapa de responsabilidades de crédito, e estar atento a tentativas de phishing direcionadas (vão tentar usar os dados expostos para enganar-te).
Passo 6: prevenção a longo prazo
Uma exposição é uma chamada de atenção. Para evitar a próxima, adote três hábitos: (1) password única por site via gestor de passwords; (2) 2FA em todas as contas importantes; (3) verificação mensal no nosso verificador de fugas e configure alertas automáticos no Google ('Alerta de palavra-passe comprometida').
E lembra-te: ter palavras-passe expostas não é vergonha. As empresas é que são hackeadas (LinkedIn, Adobe, MySpace, Dropbox, etc) — os utilizadores são apenas vítimas colaterais. A única vergonha é não agir depois.
Perguntas Frequentes (FAQ)
Como sei se a minha palavra-passe foi exposta?
Use o nosso verificador gratuito em /verificar-email — funciona com Have I Been Pwned. Também recebe alerta automaticamente se usa Chrome (Password Checkup) ou iCloud Keychain (Compromised Passwords).
Devo fechar a conta afetada?
Não obrigatoriamente. Mudar a palavra-passe + ativar 2FA chega em 95% dos casos. Feche apenas se: não usa o serviço há muito tempo, ou se o serviço foi comprovadamente comprometido em fundo (não apenas password).
Quantas vezes devo verificar?
Mensalmente para utilizadores normais. Semanalmente para profissionais que gerem credenciais sensíveis (advogados, jornalistas, executivos).
Hackers vão usar a minha password imediatamente?
Tipicamente sim, via credential stuffing automatizado. Por isso a urgência: agir nas primeiras 24h reduz drasticamente o dano potencial.