De onde vêm as palavras-passe expostas
Um site guarda informação suficiente para reconhecer a sua palavra-passe quando inicia sessão. Os sites bons guardam um hash lento com sal, não a palavra-passe em si. Mesmo assim, as fugas expõem bases de dados de palavras-passe, e implementações mal feitas, algoritmos antigos ou palavras-passe fracas permitem que os atacantes recuperem muitos dos valores originais. Esses valores são reunidos em listas de decifração e experimentados noutros sites.
Uma correspondência diz, portanto, algo sobre a palavra-passe, não sobre o estado do dispositivo que tem nas mãos. Não prova que existe malware a ler o seu teclado, nem que a conta que está a verificar foi o site atacado. Pode ter vindo de um serviço diferente, anos antes.
Como a verificação funciona sem revelar a palavra-passe
O verificador da Sealby calcula uma impressão digital SHA-1 da palavra-passe completa dentro do seu navegador. O SHA-1 é usado aqui apenas como o formato de pesquisa exigido pela base de dados Pwned Passwords, não para guardar ou proteger a sua palavra-passe. A página envia os primeiros cinco caracteres hexadecimais dessa impressão digital — nunca a palavra-passe, nem a impressão digital completa.
O serviço devolve centenas de finais de impressão digital que partilham esse prefixo, com dados extra adicionados para o tamanho da resposta não revelar nada. O seu navegador compara localmente o final verdadeiro e ignora as entradas de preenchimento. Isto chama-se k-anonimato: o servidor vê uma multidão de palavras-passe possíveis, enquanto o seu dispositivo sabe qual a impressão digital completa a procurar.
O que uma correspondência realmente significa
Uma correspondência significa que a impressão digital exata dessa palavra-passe está presente em dados conhecidos de palavras-passe comprometidas. Os atacantes podem colocar essa palavra-passe perto do início de uma lista de tentativas. Não diz quem a usou, qual a fuga que a expôs, nem se uma conta específica já foi acedida.
O perigo concentra-se onde a reutilizou. Ferramentas automáticas de credential stuffing experimentam um par de e-mail e palavra-passe exposto em serviços de correio, lojas, redes sociais e serviços financeiros. Uma fuga antiga transforma-se em várias contas invadidas, porque a palavra-passe viajou.
Corrija-o por esta ordem
1. Elimine a reutilização. Mude a palavra-passe em todos os locais onde aparece. Comece pelo e-mail e por qualquer conta que possa redefinir outras, depois serviços financeiros, trabalho, contas sociais e lojas. Aproveite para terminar sessões desconhecidas.
2. Torne cada nova palavra-passe única. Um gestor de palavras-passe pode gerar e memorizar palavras-passe aleatórias. Para segredos que tem de escrever ou memorizar, use várias palavras escolhidas ao acaso no gerador de frases-passe. Não crie uma única palavra-passe forte e a reutilize.
3. Adicione uma segunda barreira. Ative a autenticação de dois fatores, de preferência com uma aplicação autenticadora ou chave física em vez de SMS quando o serviço lhe der escolha. Uma chave de acesso é ainda melhor quando suportada, porque é exclusiva do site e resiste a phishing.
O que um resultado limpo não prova
Nenhuma base de dados de fugas contém todas as palavras-passe roubadas. Um site pode não saber que foi atacado, um atacante pode manter os dados privados, e uma palavra-passe fraca pode ser adivinhada sem nunca aparecer numa fuga. «Não encontrada» é um sinal útil, não um certificado de robustez.
Avalie a configuração completa: única por site, longa ou gerada aleatoriamente, guardada em segurança e apoiada por autenticação de dois fatores ou chaves de acesso. Para perceber por que o comprimento e os algoritmos de armazenamento mudam o tempo de adivinhação, leia como funcionam os ataques de força bruta.