Fuga de dados e conta hackeada: o que fazer

Recebeu um aviso de uma empresa, viu o seu e-mail numa lista de dados expostos ou percebeu que alguém entrou numa das suas contas? Respire fundo e vá por ordem. Na maioria dos casos, o que mais ajuda é agir depressa sobre o que ainda controla: as palavras-passe, a autenticação e a atenção às mensagens que vão chegar.

Este guia reúne o que dizem a Comissão Nacional de Proteção de Dados (CNPD), o Centro Nacional de Cibersegurança (CNCS), o sistema Queixa Eletrónica e a ajuda oficial das plataformas. As fontes estão no fim. É informação geral e não substitui o aconselhamento de um profissional.

O que fazer nas primeiras horas

1. Perceba o que aconteceu. Foi uma fuga numa empresa (os dados estavam do lado dela) ou alguém entrou na sua conta (a sua palavra-passe foi descoberta ou roubada)? As duas situações misturam-se muitas vezes, mas os passos seguintes mudam um pouco.
2. Mude a palavra-passe da conta afetada, de preferência a partir de um dispositivo que já usava. Se já não consegue entrar, use o processo oficial de recuperação da plataforma.
3. Mude as palavras-passe iguais ou parecidas noutros serviços. O CNCS aconselha a usar uma palavra-passe diferente para cada serviço e a alterá-la de imediato se suspeitar de comprometimento.
4. Ative a autenticação de múltiplo fator, se o serviço a oferecer. O CNCS recomenda-a sempre que possível.
5. Não clique em links nem em anexos de mensagens inesperadas sobre o caso. Há quem se aproveite das notícias de fugas de dados para tentar burlas.
6. Guarde provas: capturas de ecrã, e-mails de aviso, datas e horas. Vão ser úteis se tiver de apresentar queixa.

Veja o que é visível a seu respeito

Saber o que está exposto ajuda a decidir o que fazer a seguir. A Remove Me analisa gratuitamente, sem conta, o que é visível publicamente sobre si, as fugas conhecidas através do Have I Been Pwned e um registo de corretores de dados. O relatório desbloqueia-se com um código de 6 dígitos enviado para o seu e-mail. A Remove Me ainda não envia pedidos de apagamento em seu nome: mostra-lhe o que existe para que possa agir. Iniciar a minha análise gratuita.

O que é uma fuga de dados?

A CNPD define a violação de dados pessoais como uma violação de segurança que provoca, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais. Ou seja, não é só um ataque informático: um erro, uma configuração mal feita ou o extravio de um ficheiro também contam.

Há uma diferença útil entre dois cenários:

• Fuga de dados: os seus dados estavam numa empresa ou serviço e ficaram expostos. Não fez nada de errado.
• Conta hackeada: alguém conseguiu entrar numa das suas contas, por exemplo porque a palavra-passe foi descoberta, repetida noutro serviço ou obtida por phishing.

Uma fuga pode levar a uma conta hackeada. Se a palavra-passe exposta for a mesma que usa noutros sítios, o risco passa de um serviço para outro. Por isso o CNCS insiste em palavras-passe diferentes em cada serviço.

O que a empresa é obrigada a fazer

Segundo a CNPD, quem trata os dados (o responsável pelo tratamento) tem de notificar a CNPD de uma violação de dados. A menos que seja pouco provável que a violação resulte num risco para os direitos e liberdades das pessoas, a notificação deve ser feita no prazo de 72 horas depois de a organização ter tido conhecimento do caso. A CNPD tem para isso um formulário específico, dirigido às organizações.

A mesma página explica que o responsável também tem de informar os titulares dos dados, se estiverem reunidos os requisitos legais e nas condições do artigo 34.º do RGPD. Mesmo quando não notifica a CNPD, a organização tem de documentar as violações.

Na prática, isto significa duas coisas para si. Primeiro, a obrigação de notificar recai sobre a organização, não sobre o cidadão. Segundo, nem todas as fugas dão origem a um aviso individual: depende do risco e dos requisitos legais. Se tem dúvidas, pode perguntar diretamente à organização que tratava os seus dados. Veja como exercer os seus direitos no guia sobre o RGPD e os seus direitos.

Conta hackeada: como recuperar e proteger

Cada plataforma tem o seu processo de recuperação. O exemplo do Facebook, descrito na ajuda oficial, mostra a lógica geral:

• Aceda ao endereço de recuperação indicado pela plataforma, num dispositivo que já tenha usado para iniciar sessão.
• Estes são alguns sinais de que pode ter sido alvo de pirataria: foto de perfil alterada, publicações ou mensagens que não escreveu, problemas para iniciar sessão, avisos de início de sessão que não foi o próprio a fazer, e e-mails a indicar que foi alterado o e-mail, o número de telemóvel ou a palavra-passe.
• Se o e-mail da conta tiver sido alterado, a plataforma envia uma mensagem para o endereço anterior com uma ligação especial que permite reverter a alteração.
• Nas definições, a secção dos dispositivos com sessão iniciada permite ver aparelhos ou localizações que não reconhece e terminar essa sessão.

Se a conta pirateada for a do seu e-mail, trate-a como prioridade: é por ela que muitas vezes se recuperam as outras. Depois de recuperar o acesso, mude a palavra-passe e reveja as sessões abertas. Para as outras plataformas, procure na ajuda oficial a página de conta pirateada ou comprometida.

Mudar as palavras-passe da forma certa

O CNCS resume assim as boas práticas:

• Mantenha as palavras-passe apenas sob o seu conhecimento.
• Crie palavras-passe longas (frases-chave), com pelo menos 12 caracteres, e evite termos próximos, como o nome ou a cidade onde nasceu, e termos conhecidos como 1234 ou qwerty.
• Use uma palavra-passe diferente para cada serviço e guarde-as num gestor de palavras-passe.
• Altere-as de imediato se suspeitar de comprometimento.
• Evite guardar as palavras-passe nos navegadores.
• Se possível, ative a autenticação de múltiplo fator.

O CNCS lembra ainda que se vendem na Internet listas de palavras-passe furtadas, e que é fundamental evitar que a descoberta de uma palavra-passe dê acesso a mais do que uma plataforma. Para escolher e usar um gestor, leia o guia sobre como escolher e usar um gestor de palavras-passe.

Verificar se o seu e-mail apareceu numa fuga

Há serviços públicos que reúnem fugas conhecidas e permitem verificar um endereço de e-mail. O Have I Been Pwned é o mais conhecido. As suas perguntas frequentes indicam que o site não regista explicitamente as pesquisas e que as fugas sensíveis só podem ser consultadas pelo titular verificado do endereço. Um resultado sem fugas apenas indica que o endereço não consta das fugas que o serviço conhece. Veja o passo a passo em como usar o Have I Been Pwned.

Atenção às mensagens falsas que se seguem

Depois de uma fuga, podem chegar e-mails, SMS e mensagens que fingem ser da empresa afetada, do banco ou de uma entidade oficial. O CNCS descreve o phishing como um ataque em que o atacante simula uma marca credível ou alguém de confiança para obter informação sensível. Por SMS chama-se smishing, e por telefone vishing. Também pode ocorrer por mensagens instantâneas.

O que o CNCS recomenda:

• Não clicar em anexos nem links de mensagens suspeitas.
• Confirmar a veracidade do endereço de e-mail, do perfil ou do número de origem.
• Não partilhar dados pessoais nem seguir instruções sem verificar o pedido noutra fonte, por exemplo junto do gestor de conta do banco.
• Desconfiar de pedidos urgentes ou autoritários.
• Verificar por outro canal (telefone, e-mail ou pessoalmente) qualquer pedido importante recebido por mensagem, como uma transferência ou a partilha de dados.

O CNCS cita como exemplo as mensagens do tipo «Olá, pai… Olá, mãe», em que alguém se faz passar por um filho e pede dinheiro, um dos casos mais denunciados em 2022 ao Gabinete Cibercrime do Ministério Público. Mais detalhes no guia sobre phishing: como reconhecer e denunciar.

Se houve burla ou uso indevido dos seus dados

Se perdeu dinheiro, foi enganado ou alguém usou os seus dados, apresente queixa. O Sistema Queixa Eletrónica, do Ministério da Administração Interna, permite apresentar à GNR ou à PSP queixas e denúncias por via eletrónica de determinados crimes. Na lista de tipos de queixa constam «Burla» e «Uso de documento de identificação ou de viagem alheio». Estas são as formas de autenticação indicadas no portal: Cartão de Cidadão, Chave Móvel Digital, via CTT e identificação presencial.

O portal avisa que não serve para emergências nem para situações que exigem resposta imediata: nesses casos, ligue para o 112. Para crimes fora do sistema, dirija-se ou contacte a autoridade policial mais próxima. Veja o passo a passo em como apresentar queixa eletrónica por burla e, se os seus documentos foram usados por outra pessoa, no guia sobre roubo de identidade.

Se se trata de dinheiro, contacte também o seu banco o mais depressa possível, pelo canal oficial que já conhece, e não por números ou links recebidos numa mensagem.

Queixa à CNPD sobre os seus dados pessoais

Se considera que uma organização tratou mal os seus dados pessoais, a CNPD tem um formulário de participação para o público. A CNPD indica que pode comunicar a informação a autoridades públicas competentes e, nalguns casos, à entidade participada. O formulário não usa JavaScript e só exige que preencha os campos obrigatórios, assinalados com asterisco. Para um guia dedicado, veja como apresentar queixa à CNPD.

Reduzir o que fica exposto

Uma fuga futura expõe menos se houver menos dados espalhados. Algumas medidas realistas:

• Feche as contas que já não usa. Cada conta esquecida é um sítio onde os seus dados podem vazar. Pode começar por eliminar a conta do Instagram ou apagar a conta do Facebook se já não as utiliza.
• Use um e-mail diferente para serviços menos importantes.
• Partilhe menos nas redes sociais. O CNCS avisa que publicar dados sensíveis pode dar informação a quem prepara um phishing dirigido a uma pessoa específica.
• Peça o apagamento de dados a organizações que já não precisam deles, ao abrigo do RGPD.

Cinco tipos de mensagens fraudulentas a conhecer

O CNCS identifica pelo menos cinco tipos principais de mensagens fraudulentas nas aplicações de mensagens e redes sociais. Depois de uma fuga, vários podem chegar-lhe:

1. Mensagens que se fazem passar por uma pessoa conhecida ou por uma organização para o levar a fazer transferências bancárias.
2. Mensagens que se fazem passar por uma organização para recolher informação sensível, como palavras-passe ou números de cartões de crédito.
3. Mensagens que o levam a instalar programas maliciosos que comprometem a segurança do dispositivo.
4. Mensagens de desinformação.
5. Mensagens com conteúdos nocivos, que procuram perseguir, perturbar ou extorquir a vítima.

O CNCS aconselha a desconfiar de mensagens de números desconhecidos, mesmo quando dizem ser de pessoas ou organizações conhecidas, a instalar aplicações apenas de sítios oficiais de venda de aplicações e a configurar a privacidade das aplicações de mensagens para as opções mais restritivas. Se detetar uma mensagem fraudulenta, o CNCS pede que denuncie o caso às autoridades competentes.

Porque é que o phishing continua a ser tão comum

A página do CNCS sobre phishing, smishing e vishing refere que estes foram os tipos de incidentes mais registados pelo CERT.PT: em 2019 corresponderam a 31% dos incidentes registados e, em 2020, a 43%, com uma subida de 160% em termos absolutos nesse ano. Numa análise ao segundo trimestre de 2020, o CNCS observou que, em 90% dos casos, o argumento mais usado era o da autoridade ou credibilidade de quem envia, por exemplo um banco, e que 79% das mensagens incentivavam o início de sessão numa conta. São dados de anos passados, citados aqui apenas para mostrar o padrão: a mensagem finge ser uma entidade de confiança e pede-lhe que entre numa conta.

Isto explica porque uma fuga de dados é tão útil para quem faz burlas: com o seu nome e o seu e-mail, a mensagem parece mais credível. Daí a regra de ouro do CNCS: não partilhar dados pessoais nem seguir instruções sem verificar o pedido noutras fontes.

Uma lista de verificação para as semanas seguintes

Uma fuga ou uma conta pirateada não acaba no dia em que muda a palavra-passe. Nas semanas seguintes, vale a pena:

• Ver se o e-mail ou o número de telemóvel associado às contas continua a ser o seu. A ajuda do Facebook refere, como sinal de pirataria, e-mails a avisar que um e-mail ou número foi adicionado ou removido, ou que a palavra-passe foi alterada sem a sua intervenção.
• Rever os dispositivos com sessão iniciada em cada conta importante e terminar os que não reconhece.
• Prestar atenção a publicações, comentários ou mensagens que não escreveu nas redes sociais.
• Consultar os movimentos da conta bancária e do cartão e contactar o banco por um canal que já conhece se algo não bater certo.
• Manter as provas que guardou (capturas de ecrã, avisos, datas), caso precise de apresentar queixa mais tarde.
• Repetir a verificação do e-mail em serviços como o Have I Been Pwned de vez em quando, porque podem surgir novas fugas.

Se estiver a ajudar outra pessoa

Pais, filhos ou amigos recorrem muitas vezes a quem percebe mais de tecnologia. A ajuda do Facebook sugere, nesse caso, que a própria pessoa experimente os passos de recuperação num dispositivo que já usou antes para iniciar sessão. Pode acompanhá-la e explicar cada passo, mas evite que lhe comunique palavras-passe: o CNCS aconselha a manter as palavras-passe apenas sob o conhecimento de quem as usa. Ajude-a a ativar a autenticação de múltiplo fator e a instalar um gestor de palavras-passe, e mostre-lhe os sinais de mensagens fraudulentas.

Perguntas a fazer à organização que sofreu a fuga

Se recebeu um aviso, não tem de se limitar a ler. Pode escrever à organização, pelos contactos oficiais que encontra no seu site, e perguntar:

• Que dados meus foram afetados (por exemplo, nome, e-mail, morada, dados de pagamento)?
• Quando ocorreu a fuga e quando foi detetada?
• Que medidas já tomaram para a conter?
• O que devo fazer eu, em concreto, para me proteger?
• A quem posso recorrer se tiver dúvidas?

Guarde a resposta. Se a organização não responder ou a resposta não o satisfizer, pode recorrer à CNPD pelo formulário de participação. Veja o artigo sobre como apresentar queixa à CNPD.

O que as fontes não dizem

As fontes oficiais lidas não indicam quantas fugas de dados ocorrem em Portugal nem quanto tempo demora a recuperar uma conta, e este guia também não o faz. Não é possível saber, só a partir de um aviso, se os seus dados foram de facto usados. Por isso, vale a pena manter a atenção nas semanas seguintes: movimentos bancários, mensagens estranhas, pedidos de redefinição de palavra-passe que não pediu.

Fontes

Consultadas em 31 de outubro de 2026.

• CNPD: Violação de dados ou data breach
• CNPD: Participações (formulário geral)
• CNCS: Boas práticas no uso de palavras-passe
• CNCS: Boas práticas contra o phishing, o smishing e o vishing
• CNCS: Boas práticas contra mensagens instantâneas fraudulentas
• Queixa Eletrónica (Ministério da Administração Interna)
• Facebook: Recuperar a conta caso tenha sido pirateada
• Have I Been Pwned: perguntas frequentes