Seu e-mail está num vazamento: o que fazer e o que a separação muda

Uma empresa em que você se registrou um dia foi violada, ou um serviço de monitoramento sinalizou seu e-mail em dados vazados. A primeira coisa útil a saber é que "seu e-mail estava num vazamento" não é uma descrição completa. Alguns vazamentos expõem só um e-mail e uma data de cadastro. Outros incluem um hash de senha, nome completo, número de telefone ou endereço físico. A resposta certa depende de quais campos vazaram, não só do evento.

Primeiro estabeleça o que foi exposto

Comece pelo próprio aviso de vazamento. Empresas afetadas costumam dizer quais categorias de dados foram levadas. Se nenhum aviso chegou, o serviço de monitoramento ou a página de status do serviço podem mostrar os campos vazados.

Há dois campos que vale tratar de forma diferente.

• Seu endereço de e-mail é um identificador duradouro. Números de telefone mudam e cartões são reemitidos, mas a maioria das pessoas mantém o mesmo e-mail por anos. Um endereço vazado de um serviço que você abandonou ainda é um caminho que funciona até você, e ainda identifica suas contas em outros lugares.
• A senha e quaisquer campos pessoais decidem a urgência. Dados de senha vazados importam mais quando podem ser recuperados — porque o site os armazenou de forma fraca ou porque a senha já era pública de um vazamento anterior — e quando você a reutilizou. Nomes, telefones ou dados de pagamento vazados sobem a aposta além do campo de e-mail.

Não presuma que a exposição inclui dados de senha só porque um banco de dados vazou, e não presuma que não inclui. Verifique o que foi realmente relatado.

Proteja as contas afetadas

Se dados de senha foram expostos — ou você não consegue descartar a possibilidade — percorra esta lista. Se a exposição não incluiu senhas, os itens sobre MFA e regras de e-mail ainda valem.

1. Se você suspeita que sua própria conta de e-mail foi comprometida, proteja-a primeiro; caso contrário, comece pelo serviço violado, para que a senha vazada deixe de valer.
2. Troque a senha em todo lugar onde você a reutilizou. Um par de endereço e senha exposto é testado automaticamente em outros sites, e é por isso que a reutilização transforma um vazamento pequeno num grande.
3. Ative a autenticação multifator na sua conta de e-mail, depois em bancos, armazenamento em nuvem e onde mais ela for oferecida.
4. Verifique na sua conta de e-mail regras de encaminhamento, filtros ou dispositivos novos que você não criou. Um invasor que alcançou a caixa pode deixar um para trás e continuar recebendo seus e-mails depois da troca de senha.

Se o vazamento expôs dados de pagamento ou informação de identidade suficiente, trate isso como um problema separado: acompanhe o cartão e siga os passos de recuperação que o serviço violado indicar.

Fique atento a seguidas direcionadas

Um conjunto de dados vazado conta a quem o detém algo verdadeiro sobre você: você usou aquele serviço, possivelmente sob qual nome e com quais hábitos de senha. Isso torna os e-mails seguintes bem mais convincentes que spam genérico. Uma mensagem dizendo "Sua conta em X precisa de uma senha nova" soa crível justamente porque você tinha uma.

Dois hábitos resolvem a maior parte disso:

• Trate qualquer mensagem que mencione o serviço violado como não verificada, especialmente as que pedem para entrar na conta, confirmar pagamento ou abrir anexo. Acesse o serviço pelo aplicativo oficial ou por um URL salvo, não por um link no e-mail.
• Espere que os e-mails continuem chegando. Dados de vazamentos circulam por anos, então mantenha a cautela com mensagens que mencionam o serviço violado muito depois do anúncio — uma mensagem posterior sozinha não diz se houve outro vazamento.

O que um endereço separado teria mudado

Imagine que o site violado é um fórum ou uma ferramenta gratuita em que você se cadastrou uma vez, e você tinha usado uma caixa temporária que expirou meses atrás. O registro vazado agora contém um endereço que não recebe mais e-mails. No TempMail.Best a caixa é apagada na expiração, e e-mails posteriores para aquele endereço simplesmente deixam de estar disponíveis para qualquer pessoa.

Se você usou aquele endereço só para este serviço, o mesmo endereço não consegue identificar suas outras contas neste vazamento, e a senha que o acompanha — se você inventou uma só para aquele site — não destrava nada mais valioso.

Isso não teria removido a exposição de graça. Se você preencheu nome real, telefone ou dados de cartão, esses campos vazaram independentemente do endereço usado. Um endereço temporário tira um identificador do registro; não encolhe o resto. E o site ainda pode ter registrado seu endereço de IP e características do dispositivo — quais sinais um endereço temporário não esconde é assunto de um artigo separado.

O que ela não consegue desfazer

A separação de endereços é uma decisão tomada antes do cadastro, não uma correção depois do fato.

• Ela não consegue recolher dados já vazados. Uma vez que seu endereço real ou seus campos pessoais estão em circulação, a limpeza é a rotina de senha, MFA e vigilância acima.
• Ela não resgata credenciais fracas. Se a senha vazada é uma que você reutiliza em tudo, nenhum tipo de caixa impede as tomadas de conta que se seguem.
• Ela não esconde a visita em si. Os sites veem seu endereço de rede, cookies e impressão digital do navegador durante o cadastro, qualquer que seja o e-mail digitado.
• Ela não remove o que você enviou. Tudo nos campos do formulário continua sendo registro do site.

Usada com antecedência, uma configuração em camadas — um endereço duradouro para contas que importam, um alias gerenciado para serviços contínuos e uma caixa descartável para interações pontuais — simplesmente mantém mais identificadores seus fora do próximo vazamento. O plano de e-mail em três camadas mostra como distribuir endereços antes de se registrar, e a comparação caixa temporária vs. alias explica qual opção do meio mantém recibos e recuperação funcionando.

Para a camada descartável, o TempMail.Best cria uma caixa somente para recebimento, sem cadastro, com duração de 10 minutos ou 1 hora. Receber e-mail não estende o prazo, cada caixa guarda só as 20 mensagens mais recentes e seus logs de processamento de e-mail não registram endereços de destinatários, assuntos ou corpos. Quando a caixa some, o endereço deixa de ser um caminho de volta até você — que é exatamente a propriedade que torna os registros de vazamento menos úteis.