Have I Been Pwned: como usar e o que fazer a seguir

Viu uma notícia sobre uma fuga de dados e quer saber se o seu e-mail também foi apanhado? O Have I Been Pwned (HIBP) responde a essa pergunta em poucos segundos. Este guia explica como usá-lo, como interpretar o resultado e o que fazer depois. A informação vem das páginas do próprio serviço e do Centro Nacional de Cibersegurança (CNCS), listadas no fim.

O que é o Have I Been Pwned

Segundo a sua página «About», o Have I Been Pwned permite verificar se uma conta online do utilizador foi exposta numa fuga de dados. Foi criado por Troy Hunt, que o gere desde 2013, e nasceu na sequência da fuga da Adobe, a maior fuga de contas de clientes na altura. Todos os dados vêm de fugas em que a informação foi vista por quem não devia ter acesso. O serviço é descrito como um recurso gratuito.

O nome tem um truque de linguagem: «pwned» vem de «owned» em leetspeak e costuma significar que alguém foi controlado ou comprometido.

Como verificar o seu e-mail

1. Abra o site oficial, haveibeenpwned.com, escrevendo o endereço no navegador. Evite chegar lá por links recebidos em mensagens.
2. Escreva o seu endereço de e-mail na caixa de pesquisa e confirme.
3. Leia o resultado: se o endereço constar de fugas conhecidas, o site lista cada uma, com o nome do serviço afetado.
4. Repita para os outros endereços de e-mail que usa, incluindo contas antigas.

As perguntas frequentes do serviço indicam que o site não regista explicitamente as pesquisas. Referem apenas o Google Analytics, a monitorização de desempenho e dados de diagnóstico recolhidos se ocorrer um erro.

As fugas sensíveis não aparecem na pesquisa pública

Há fugas que o serviço trata como sensíveis. Segundo as perguntas frequentes, uma fuga sensível só pode ser pesquisada pelo titular verificado do endereço: para a ver, tem de iniciar sessão no painel do serviço e confirmar o seu e-mail. Por isso, um resultado vazio na pesquisa pública não cobre esses casos.

Como ler o resultado

• O seu e-mail aparece numa ou mais fugas. Significa que esse endereço constava de dados expostos em cada serviço indicado. Não prova que a sua conta tenha sido usada por terceiros, mas é um sinal para agir.
• Não aparece nenhuma fuga. Apenas indica que o endereço não consta das fugas que o serviço conhece. Não prova que esteja tudo seguro.

O serviço verifica a legitimidade das fugas antes de as tornar pesquisáveis, e usa fontes como fugas, colagens públicas, registos de programas maliciosos e listas de spam. Também é possível pedir que as fugas deixem de aparecer publicamente no seu endereço, através de uma funcionalidade de exclusão.

O que fazer se o seu e-mail aparece

1. Mude a palavra-passe do serviço afetado. O CNCS aconselha a alterá-las imediatamente se suspeitar de comprometimento.
2. Mude as palavras-passe repetidas. Se usou a mesma noutros serviços, mude-as também. O CNCS recomenda uma palavra-passe diferente para cada serviço.
3. Ative a autenticação de múltiplo fator, se possível, como o CNCS aconselha.
4. Use um gestor de palavras-passe para criar e guardar palavras-passe únicas. Veja como escolher e usar um gestor de palavras-passe.
5. Desconfie de mensagens inesperadas. Depois de uma fuga, podem surgir mensagens que se aproveitam do assunto. Leia o guia sobre phishing.

Note que, segundo as perguntas frequentes, o registo de uma fuga não pode ser alterado depois, mesmo que mude a palavra-passe. É o que se espera: o histórico mostra o que foi exposto, não o estado atual da sua conta. O guia completo está em fuga de dados e conta hackeada: o que fazer.

Veja o que é visível para além das fugas

O Have I Been Pwned só olha para fugas conhecidas. A Remove Me junta essa verificação à análise do que está visível publicamente sobre si e a um registo de corretores de dados. É gratuita e não exige conta: o relatório desbloqueia-se com um código de 6 dígitos enviado para o seu e-mail. Ainda não envia pedidos de apagamento em seu nome. Iniciar a minha análise gratuita.

Verificar uma palavra-passe: o Pwned Passwords

O serviço tem também uma ferramenta para palavras-passe, o Pwned Passwords. Indica se uma palavra-passe aparece num conjunto grande de palavras-passe já expostas. Funciona com um método chamado k-anonimato: o seu navegador calcula uma impressão da palavra-passe e envia só os 5 primeiros caracteres. O serviço devolve uma lista de possíveis correspondências e a comparação final faz-se no seu dispositivo. O serviço nunca recebe a palavra-passe completa.

Se a palavra-passe for encontrada, deixe de a usar e mude-a em todos os sítios onde a aplicou. Se não for encontrada, isso não quer dizer que seja forte: apenas que não consta do conjunto analisado. Para a criar, siga o CNCS: palavras-passe longas, com pelo menos 12 caracteres, e sem termos como o nome ou 1234.

Receber avisos de novas fugas

Em «Notify me», o serviço avisa-o quando o seu e-mail surge em novas fugas. Escreve o endereço e confirma-o numa ligação enviada para a sua caixa de entrada. O registo é descrito como gratuito.

O que este guia não diz

Este guia não indica quantas fugas ou contas o serviço contém, porque esse número muda e não o confirmámos numa fonte datada. Também não conhecemos a política de cada fuga de dados individual: para saber o que aconteceu a um serviço em concreto, consulte o aviso que a própria empresa deve publicar.

Fontes

Consultadas em 31 de outubro de 2026.

• Have I Been Pwned: About
• Have I Been Pwned: FAQs
• Have I Been Pwned: Pwned Passwords
• Have I Been Pwned: Notify me
• CNCS: Boas práticas no uso de palavras-passe