De onde vêm as senhas vazadas
Um site guarda informação suficiente para reconhecer sua senha quando você faz login. Sites bem construídos guardam um hash lento com salt, não a senha em si. Mesmo assim, vazamentos expõem bancos de dados de senhas, e implementações ruins, algoritmos antigos ou senhas fracas permitem que invasores recuperem muitos dos valores originais. Esses valores são reunidos em listas de quebra de senha e testados em outros lugares.
Por isso, uma correspondência diz algo sobre a senha, não sobre a saúde do aparelho que você tem na mão. Ela não prova que um malware leu o que você digitou, nem que a conta que você está verificando foi o site que vazou. A senha pode ter vindo de outro serviço, anos atrás.
Como a verificação funciona sem revelar a senha
O verificador da Sealby calcula um hash SHA-1 da senha completa dentro do seu navegador. O SHA-1 é usado aqui só como o formato de busca exigido pelo banco de dados do Pwned Passwords, não para guardar ou proteger sua senha. A página envia apenas os cinco primeiros caracteres hexadecimais desse hash. Ela nunca envia a senha, nem o hash completo.
O serviço devolve centenas de finais de hash que compartilham esse prefixo, com um preenchimento extra para o tamanho da resposta não revelar nada. Seu navegador compara o final real localmente e ignora as entradas de preenchimento. Isso se chama k-anonimato: o servidor vê uma multidão de senhas possíveis, enquanto seu aparelho sabe qual hash completo procurar.
O que uma correspondência realmente significa
Uma correspondência significa que o hash exato da senha está presente em dados conhecidos de senhas comprometidas. Invasores podem colocar essa senha no topo de uma lista de tentativas. Isso não diz quem a usou, qual vazamento a expôs, nem se uma conta específica já foi invadida.
O perigo se concentra onde você a reutilizou. Ferramentas automatizadas de credential stuffing testam um par de e-mail e senha vazado em serviços de e-mail, lojas, redes sociais e bancos. Um único vazamento antigo se transforma em várias contas invadidas, porque a senha viajou junto.
Corrija nesta ordem
1. Acabe com a reutilização. Troque a senha em todos os lugares onde ela aparece. Comece pelo e-mail e por qualquer conta que possa redefinir outras, depois bancos, trabalho, redes sociais e lojas. Aproveite e encerre sessões que você não reconhece.
2. Torne cada senha nova única. Um gerenciador de senhas pode gerar e lembrar senhas aleatórias para você. Para segredos que você precisa digitar ou memorizar, use várias palavras escolhidas ao acaso pelo gerador de frases-passe. Não crie uma única senha forte e a reutilize.
3. Adicione uma segunda barreira. Ative a 2FA, de preferência com um app autenticador ou uma chave de segurança física em vez de SMS, quando o serviço permitir escolher. Uma chave de acesso é ainda melhor quando houver suporte, porque é exclusiva do site e resiste a phishing.
O que um resultado limpo não prova
Nenhum conjunto de dados de vazamentos contém todas as senhas roubadas. Um site pode nem saber que sofreu um vazamento, um invasor pode manter os dados em segredo, e uma senha fraca pode ser adivinhada sem nunca aparecer em um vazamento. “Não encontrada” é um sinal útil, não um certificado de que a senha é forte.
Avalie o conjunto todo: única em cada site, longa ou gerada aleatoriamente, guardada com segurança e protegida por 2FA ou chaves de acesso. Para entender por que o comprimento e os algoritmos de armazenamento mudam o tempo de adivinhação, leia como funcionam os ataques de força bruta.