Seu Email Vazou? O Que Fazer e Como Usar Email Temporário

Se o seu endereço de e-mail apareceu em um vazamento de dados, você deve agir imediatamente: descubra quais informações foram expostas, troque a senha do serviço atingido (e de qualquer outra conta que use a mesma senha) e ative a autenticação de dois fatores (2FA). Logo depois, revise os dispositivos conectados à sua conta principal para encerrar sessões suspeitas e fique atento a tentativas de golpe por phishing. Para evitar que seu endereço principal volte a cair em listas públicas de invasores, passe a usar um email temporário sempre que fizer cadastros rápidos ou acessar sites que não exigem sua identidade real.

Receber um alerta de segurança informando que suas credenciais estão circulando na internet dá um frio na barriga, mas não significa necessariamente que sua conta já foi invadida. Na maioria das vezes, os dados vêm de empresas terceiras — como lojas virtuais antigas, fóruns ou aplicativos que você não usa há anos — que sofreram ataques cibernéticos. Abaixo, organizamos um roteiro prático de resposta a incidentes para você retomar o controle da sua segurança digital hoje mesmo.

Passo 1: Descubra Exatamente Quais Dados Foram Expostos

Nem todo incidente de segurança tem o mesmo peso. Às vezes, apenas uma lista de endereços de e-mail de uma newsletter é copiada; em outros casos mais graves, bancos de dados inteiros contendo senhas, números de telefone, endereços físicos e documentos (como o CPF no Brasil ou o NIF em Portugal) acabam expostos.

Para entender o tamanho do problema, comece verificando a origem do alerta:

• Serviços de verificação de vazamentos: Acesse o Have I Been Pwned, uma plataforma amplamente reconhecida pela comunidade global de segurança. Basta digitar seu endereço de e-mail para ver em quais incidentes públicos ele foi encontrado e quais categorias de dados (como Passwords, Phone numbers ou IP addresses) estavam no pacote.
• Painéis de segurança do seu navegador ou celular: Gerenciadores de senhas integrados (como os do Google, Apple e Mozilla Firefox) cruzam suas senhas salvas com listas de vazamentos conhecidos e mostram exatamente quais contas estão comprometidas.
• Comunicados oficiais das empresas: Pela legislação de proteção de dados — como a Lei Geral de Proteção de Dados (LGPD), fiscalizada pela Autoridade Nacional de Proteção de Dados (ANPD) no Brasil, e o RGPD na União Europeia —, empresas têm o dever legal de notificar os usuários quando um incidente de segurança pode gerar risco ou dano relevante.

Matriz de Gravidade do Vazamento: O Que Priorizar

Depois de identificar o que vazou, use a tabela abaixo para saber onde concentrar seus esforços nos primeiros minutos:

Passo 2: Troque as Senhas e Elimine a Reutilização de Credenciais

O maior perigo de um vazamento de dados não costuma ser a perda da conta no site que sofreu o ataque — afinal, pouca gente se importa se alguém invadir um cadastro antigo em um site de receitas culinárias. O perigo real chama-se preenchimento de credenciais (credential stuffing).

Quando uma lista com milhões de e-mails e senhas cai na rede, invasores usam programas automatizados (robôs) que testam exatamente aquela mesma combinação de e-mail e senha em dezenas de outros serviços: no seu webmail principal, em redes sociais, plataformas de streaming, lojas online e aplicativos financeiros. Se você repete a mesma senha, um vazamento em um fórum pequeno entrega a chave da sua vida digital inteira.

1. Comece pelo seu e-mail principal: Sua caixa de entrada (Gmail, Outlook, Yahoo, Proton, etc.) é a peça central da sua identidade online. Quem tem acesso ao seu e-mail consegue clicar em “Esqueci minha senha” em praticamente qualquer outro serviço e assumir o controle das suas contas. Garanta que seu e-mail principal tenha uma senha exclusiva, longa e que nunca tenha sido usada em nenhum outro site.
2. Altere a senha no site onde ocorreu o vazamento: Se você ainda não precisa mais daquela conta, aproveite para solicitar a exclusão definitiva do perfil e dos seus dados pessoais, direito garantido pela LGPD.
3. Atualize todas as contas “irmãs”: Troque a senha de todos os sites onde você usava a mesma senha vazada ou variações óbvias (como trocar apenas o número no final ou adicionar um ponto de exclamação).
4. Adote um gerenciador de senhas: A memória humana não foi feita para decorar dezenas de códigos aleatórios. Utilize um gerenciador de senhas confiável para gerar e guardar senhas longas (de 14 a 20 caracteres aleatórios) e exclusivas para cada serviço.

Passo 3: Ative a Autenticação de Dois Fatores (2FA)

Mesmo que um invasor descubra sua senha, a autenticação de dois fatores (2FA) funciona como uma tranca extra na porta: além da senha, o sistema exige um segundo código temporário que só você possui no momento do login.

Ao configurar o 2FA nas suas contas mais importantes (e-mail, bancos, redes sociais e armazenamento em nuvem), escolha o método com cuidado:

• Aplicativos Autenticadores (Recomendado): Apps que geram códigos temporários no celular (como Google Authenticator, Microsoft Authenticator, Ente Auth ou Aegis) funcionam mesmo sem sinal de operadora e geram códigos diretamente no seu aparelho, sendo muito mais seguros.
• Chaves de Segurança Físicas e Passkeys (Chaves de Acesso): São o padrão mais moderno de proteção, pois vinculam o login ao leitor biométrico do seu dispositivo ou a uma chave física USB/NFC, impedindo inclusive que você digite seu código em um site falso.
• Códigos por SMS (Use apenas se for a única opção): Embora seja melhor ter SMS do que não ter 2FA nenhum, mensagens de texto podem ser interceptadas caso seu número de telefone também tenha vazado e criminosos apliquem o golpe da clonagem de chip (SIM swap).

Passo 4: Revise Sessões Ativas, Encaminhamentos e Permissões

Se o vazamento aconteceu há algum tempo e só veio a público agora, existe a possibilidade de alguém já ter entrado silenciosamente na sua conta. Em muitos sistemas, apenas trocar a senha não desconecta imediatamente os aparelhos que já estavam logados.

Faça uma varredura completa nas configurações da sua conta de e-mail principal:

• Encerre todas as sessões ativas: Vá até a aba de Segurança da sua conta, procure por “Seus dispositivos” ou “Onde você está conectado” e clique na opção para desconectar todos os aparelhos que não reconhecer — ou desconecte todos de uma vez e faça login novamente apenas no seu celular e computador.
• Verifique regras de encaminhamento automático e filtros: Este é um truque clássico de invasores. Quando conseguem entrar em um webmail, eles criam um filtro oculto que encaminha automaticamente cópias das suas mensagens (especialmente e-mails de bancos ou corretoras) para um endereço externo e manda o aviso para a lixeira. Abra as configurações do seu e-mail e confira as abas Encaminhamento e Filtros/Regras para ter certeza de que não há nenhum endereço desconhecido cadastrado.
• Revogue aplicativos de terceiros conectados: Sabe quando você usa o botão “Entrar com o Google” ou “Entrar com a Microsoft” em sites diversos? Revise a lista de aplicativos com acesso à sua conta e remova ferramentas antigas ou que você não utiliza mais.
• Confira o e-mail e o telefone de recuperação: Certifique-se de que os contatos cadastrados para recuperar sua conta continuam sendo os seus.

Passo 5: Fique Atento a Golpes de Phishing e Engenharia Social

Quando seu e-mail passa a fazer parte de bancos de dados vazados, ele se torna alvo fácil para golpistas. Diferente do spam genérico, os criminosos passam a enviar mensagens personalizadas (conhecidas como spear phishing), citando seu nome completo, os primeiros dígitos do seu documento ou até mesmo uma senha antiga sua para provar que “invadiram seu computador” e tentar extorquir dinheiro.

Saiba como agir diante dessas ameaças:

• Ignore e-mails de chantagem que mostram senhas antigas: É muito comum golpistas enviarem uma mensagem dizendo que instalaram um vírus na sua câmera, exibindo no topo do texto uma senha real sua que vazou há anos. Não se assuste: eles não estão no seu computador; apenas compraram ou baixaram uma planilha antiga de vazamento e usaram um programa para disparar ameaças em massa. Se você já trocou aquela senha, basta deletar a mensagem.
• Aprenda a reconhecer armadilhas visuais: Como o seu endereço agora está confirmado como ativo, você receberá falsos avisos de entregas retidas, faturas vencidas e bloqueios de conta. Veja nosso guia sobre como identificar se um e-mail é falso através de 12 sinais de phishing para não cair em páginas clonadas.
• Limpe sua caixa de entrada: Se o vazamento resultou em uma enxurrada de mensagens promocionais indesejadas, aplique as técnicas do nosso artigo sobre como parar o spam e manter sua caixa de entrada limpa. Você também pode consultar as recomendações oficiais da Cartilha de Segurança para Internet do CERT.br para aprender mais sobre prevenção contra fraudes.

Como Evitar Vazamentos Futuros Usando um Email Temporário

Depois de apagar o incêndio, vale fazer uma pergunta fundamental: por que aquele site tinha o seu e-mail principal? Na maioria dos casos, entregamos nosso endereço verdadeiro em troca de um cupom de desconto, para ler uma notícia, baixar um e-book gratuito, conectar no Wi-Fi do aeroporto ou testar uma ferramenta online que usamos uma única vez.

Você não tem controle sobre a segurança dos servidores das empresas onde se cadastra, mas tem controle total sobre quais informações entrega a elas. A maneira mais eficiente de reduzir sua superfície de ataque online é separar sua vida digital em camadas e usar um email temporário (também conhecido como email descartável) para cadastros que não exigem um vínculo duradouro.

Com o FakeEmail.net, você cria uma barreira simples entre a sua caixa de entrada real e o restante da internet:

• Uso imediato e sem burocracia: Basta abrir o site para receber um endereço aleatório na hora, sem precisar fazer cadastro, criar senha ou informar dados pessoais. Você copia o endereço, cola no formulário do site que pediu seu e-mail e lê o código de confirmação na mesma tela, que atualiza automaticamente.
• Flexibilidade durante a sessão: Você pode personalizar o nome de usuário através do botão “Alterar”, manter até 10 endereços diferentes na mesma sessão do navegador, excluir o endereço quando terminar com o botão “Delete” ou abrir a mesma caixa de entrada no celular lendo um código QR (válido por uma hora).
• Proteção contra vazamentos: Como o serviço é apenas para recebimento (receive-only) e não está vinculado aos seus dados pessoais, se o site onde você se cadastrou sofrer um vazamento de dados no futuro, o único endereço exposto será uma caixa descartável — seu e-mail verdadeiro, seu nome e sua senha principal permanecerão completamente fora da lista dos invasores.