Verificar se os meus dados foram divulgados: email e telemóvel

Resposta rápida

Para verificar se o seu email foi divulgado, introduza-o em haveibeenpwned.com, que lista as fugas de dados em que apareceu. Verifique as palavras-passe guardadas com o Password Checkup da Google ou com o relatório de segurança do seu gestor de palavras-passe. Não há uma ferramenta gratuita fiável para números de telefone, por isso assuma que o seu está exposto se uma conta afetada o tinha. Depois mude as palavras-passe repetidas, ative chaves de acesso ou autenticação de dois fatores por app, peça um PIN à operadora e congele o crédito (EUA) ou pondere a Protective Registration da Cifas (Reino Unido).

Números-chave

17,8 mil milhõesde contas expostas pesquisáveis no Have I Been Pwned, de mais de 1000 sites afetados por fugas de dadosHave I Been Pwned
1,31 mil milhões de dólaresperdidos em 2025 em 67.456 queixas ao FBI por violação de dados pessoaisFBI IC3 2025 Internet Crime Report
38%de aumento dos SIM swaps não autorizados registados na National Fraud Database do Reino Unido em 2025Cifas Fraudscape 2026
4,46 milhõesde pessoas tiveram nomes, Social Security numbers e datas de nascimento expostos na fuga de dados da TransUnion em 2025SecurityWeek

Recebeu um email a dizer que uma empresa de que é cliente “sofreu um incidente de segurança”. Ou um burlão enviou-lhe uma SMS a tratá-lo pelo nome. Em qualquer dos casos, a pergunta é a mesma: o que é que está divulgado sobre mim, e o que pode alguém fazer com isso? Vale a pena verificar se os seus dados foram divulgados: o Have I Been Pwned, o verificador de fugas de dados mais conhecido, tem mais de 17,8 mil milhões de contas expostas. A probabilidade de pelo menos uma das suas lá estar é alta.

Uma fuga de dados não é o mesmo que ser pirateado. Mas entrega aos criminosos a matéria-prima para phishing, roubo de contas e fraude de identidade. O FBI registou 67.456 queixas por violação de dados pessoais em 2025, com perdas comunicadas de 1,31 mil milhões de dólares. Os passos abaixo demoram cerca de 30 minutos e fecham a maior parte das portas que uma fuga abre.

Como verificar se o meu email foi divulgado numa fuga de dados?

Introduza o seu endereço de email em haveibeenpwned.com. É gratuito, é gerido pelo investigador de segurança Troy Hunt e lista todas as fugas de dados conhecidas em que o seu endereço apareceu, com a data e os tipos de dados expostos.

Verifique todos os endereços que já usou, incluindo emails antigos do trabalho, da escola e descartáveis.
Leia cada entrada. Anote o que foi divulgado: palavras-passe, números de telefone, moradas, datas de nascimento, perguntas de segurança.
Dê prioridade às fugas que incluíram palavras-passe ou números de documentos oficiais, e a qualquer conta que ainda use.
Ative o Notify me para receber um email quando o seu endereço aparecer numa fuga futura.

“No breaches found” (nenhuma fuga encontrada) não significa que está seguro. Muitas fugas nunca são tornadas públicas, e alguns dados são vendidos em privado. Encare-o como uma boa notícia, não como uma garantia.

Como verificar se as minhas palavras-passe foram divulgadas?

Use o Password Checkup da Google em passwords.google.com se guarda palavras-passe no Chrome ou no Android. Diz-lhe que palavras-passe guardadas foram comprometidas e quais são fracas. A app Palavras-passe da Apple e a maioria dos gestores de palavras-passe têm um relatório de segurança semelhante.

Também pode testar uma palavra-passe isolada na página Pwned Passwords do Have I Been Pwned. A palavra-passe nunca é enviada: o seu browser calcula o hash e envia só os primeiros cinco caracteres, e depois compara os resultados no seu dispositivo.

Uma palavra-passe divulgada importa sobretudo se a reutilizou. Os criminosos pegam em pares de email e palavra-passe divulgados e experimentam-nos automaticamente em bancos, email, lojas e redes sociais. Chama-se credential stuffing, e é por isso que uma fuga antiga pode abrir dez contas.

Como sei se o meu número de telemóvel foi divulgado?

Não há uma ferramenta gratuita fiável que verifique números de telefone em todas as fugas de dados, por isso a resposta honesta é: se alguma conta afetada tinha o seu número, assuma que está exposto. Sinais fortes incluem um aumento de chamadas e SMS de burla, mensagens que usam o seu nome e códigos de uso único que não pediu.

O seu número também é provavelmente público de outras formas. Sites de pesquisa de pessoas, anúncios antigos e perfis sociais ligam números de telefone a nomes e moradas. Para ver o que um desconhecido consegue associar a si, faça uma pesquisa Pesquise-se no Search A-Z. O relatório mostra os perfis públicos, as menções na web e os dados profissionais ligados ao seu nome, e verifica se um telefone ou email que introduza é real, que tipo de linha é (telemóvel, fixo ou internet/VoIP) e se tem risco de fraude. As pesquisas nos EUA podem incluir registos públicos como moradas e telefones.

Quais foram as maiores fugas de dados de 2025 e 2026?

As fugas recentes expuseram sobretudo contactos e dados de identidade, e não números de cartões, que é exatamente o que os burlões usam para phishing e usurpação de identidade. Algumas das maiores:

Fuga de dados	Pessoas afetadas	O que foi divulgado
Co-op, Reino Unido (abril de 2025)	6,5 milhões de membros	Contactos dos membros; sem dados financeiros nem de transações
TransUnion, EUA (julho de 2025)	4,46 milhões	Nomes, Social Security numbers, datas de nascimento
Carnival, EUA (abril de 2026)	5.995.277	Nomes, emails, datas de nascimento, dados de fidelização (varia)
ADT, EUA (2026)	Cerca de 5,5 milhões (segundo o Have I Been Pwned)	Nomes, telefones, moradas; algumas datas de nascimento e SSN parciais
Panera Bread, EUA (2026)	Cerca de 5,1 milhões de emails (segundo o Have I Been Pwned)	Nomes, emails, telefones, moradas

A fuga da Carnival começou com engenharia social: um atacante enganou um funcionário para lhe dar acesso, segundo a Malwarebytes. Em meados de 2025, as manchetes avisavam para “16 mil milhões de palavras-passe divulgadas”. O BleepingComputer explicou que se tratava de uma compilação de fugas antigas e de registos de malware infostealer, não de uma fuga nova. Continuou a ser um bom motivo para deixar de repetir palavras-passe.

O que podem os burlões fazer com os meus dados divulgados?

Os burlões usam dados divulgados para tornar as abordagens credíveis e para passar verificações de segurança. Os principais riscos:

Phishing direcionado. Uma mensagem com o seu nome, a empresa afetada e dados reais da sua encomenda ou conta. Muitas vezes fazem-se passar pela empresa afetada a oferecer uma “indemnização” ou uma “verificação da conta”.
Roubo de contas. Palavras-passe divulgadas experimentadas no seu email, banco e lojas online. A Cifas registou mais de 78.000 casos de roubo de contas no Reino Unido em 2025.
SIM swap. Com o seu nome, número e data de nascimento, um criminoso convence a sua operadora a passar o seu número para o cartão SIM dele e recebe os seus códigos por SMS. O FBI recebeu 971 queixas de SIM swap em 2025, com perdas de 17,4 milhões de dólares, e a Cifas viu um aumento de 38% nos casos no Reino Unido.
Fraude de identidade. Abrir créditos, contratos de telemóvel ou contas em seu nome. A fraude de identidade representou 54% de todos os casos da National Fraud Database do Reino Unido em 2025, mais de 242.000 casos.
Usurpação da sua identidade. Mensagens para os seus contactos ou para o seu empregador que parecem vir de si, às vezes de um endereço de email parecido.

Uma mensagem de burla típica a seguir a uma fuga é assim:

Olá [o seu nome], na sequência do recente incidente de dados na [empresa], a sua conta foi sinalizada. Para manter o acesso e receber a sua indemnização, confirme os seus dados nas próximas 24 horas: [link]

Nunca clique em links de mensagens sobre fugas de dados. Vá por si ao site ou à app da empresa. Se uma mensagem no trabalho lhe pedir para confirmar um remetente ou dados de pagamento, o nosso guia para verificar o remetente de um email explica as verificações.

O que devo fazer se os meus dados foram divulgados?

Se os seus dados foram divulgados, mude as palavras-passe expostas ou repetidas, reforce o início de sessão, proteja o seu número de telefone e bloqueie o seu crédito. Faça-o por esta ordem:

Proteja primeiro o seu email principal. É ele que repõe tudo o resto. Nova palavra-passe única e depois autenticação de dois fatores.
Mude todas as palavras-passe repetidas. Use um gestor de palavras-passe para que cada conta tenha uma única. Se suspeita que o computador tem malware, faça primeiro uma análise, ou as novas palavras-passe também podem ser roubadas.
Passe a usar chaves de acesso (passkeys) onde existam. A Google, a Apple, a Microsoft, a Amazon, o PayPal e muitos bancos suportam-nas. As chaves de acesso não podem ser roubadas por phishing nem reutilizadas.
Use uma app de autenticação, e não SMS, para os códigos de dois fatores nas contas importantes. O SIM swap interceta códigos por SMS.
Peça um PIN ou um bloqueio do SIM à operadora. Peça à sua operadora móvel um PIN de portabilidade ou um bloqueio do número, para que ninguém o possa transferir sem ele.
Congele o seu crédito (EUA). É gratuito, não afeta a sua pontuação de crédito e mantém-se até o levantar. Faça-o nas três agências: Equifax, Experian e TransUnion. Um alerta de fraude gratuito, pedido numa só agência, dura um ano.
Vigie as suas contas. Veja os extratos do banco e do cartão, e o seu relatório de crédito, à procura de tudo o que não reconheça.

Reino Unido: Protective Registration da Cifas

Os residentes no Reino Unido cujos dados de identidade tenham sido divulgados podem comprar a Protective Registration da Cifas, que custa 30 libras por dois anos. Assinala o seu nome e morada na National Fraud Database, para que credores e operadoras façam verificações adicionais antes de abrirem algo em seu nome. Os pedidos genuínos podem demorar um pouco mais, e não afeta a sua pontuação de crédito. A Cifas diz que é mais útil nos primeiros meses após uma fuga. Verifique também o seu relatório de crédito na Experian, na Equifax ou na TransUnion UK.

UE: o que muda

A UE não tem um sistema único de congelamento de crédito. Avise o seu banco, vigie as suas contas e saiba que uma empresa que sofra uma violação de dados tem de a comunicar à autoridade de proteção de dados e, quando o risco é elevado, informá-lo diretamente, ao abrigo do RGPD.

Como sei se alguém está a usar a minha identidade?

Alguém pode estar a usar a sua identidade se vir atividade que não foi iniciada por si. Esteja atento a:

Emails de reposição de palavra-passe ou alertas de início de sessão que não pediu
O telemóvel perde de repente a rede e mostra “Sem serviço” ou “Só SOS”
Faturas, consultas de crédito ou contas que não reconhece
Amigos a receberem mensagens estranhas ou pedidos de dinheiro “seus”
Empresas de cobranças a ligarem por dívidas que não são suas

Perder a rede sem motivo é urgente: ligue de imediato à operadora a partir de outro telefone, porque pode significar que o seu número foi transferido. Um perfil social falso com o seu nome e as suas fotos é mais fácil de detetar quando sabe o que normalmente existe sobre si, e o nosso guia sobre o que a internet diz sobre si ajuda nisso.

Onde denuncio roubo de identidade ou uma burla ligada a uma fuga de dados?

Nos EUA, denuncie o roubo de identidade em IdentityTheft.gov, que cria um plano de recuperação e a declaração de que precisa para um alerta de fraude alargado de sete anos. Denuncie fraudes online ao FBI em ic3.gov.

Reino Unido: denuncie fraude e cibercrime ao Report Fraud, o serviço que substituiu o Action Fraud, em reportfraud.police.uk ou pelo 0300 123 2040. Na Escócia, contacte a Police Scotland pelo 101. Reencaminhe as SMS de burla para o 7726.

UE: denuncie a fraude à polícia local e apresente queixa à autoridade nacional de proteção de dados se uma empresa tratou mal os seus dados. Em Portugal, a queixa vai para a Comissão Nacional de Proteção de Dados (CNPD), e a burla ou o uso do seu documento de identificação por outra pessoa podem ser denunciados à GNR ou à PSP na Queixa Eletrónica.

Se a fuga expôs a sua morada ou o seu telefone em sites públicos, o nosso guia para remover os seus dados de sites de pesquisa de pessoas mostra como os retirar.

Em resumo

Verifique no Have I Been Pwned todos os emails que já usou, reveja as palavras-passe guardadas e assuma que o seu número de telefone anda por aí. Depois faça o que realmente trava os criminosos: palavras-passe únicas, chaves de acesso ou dois fatores por app, um PIN na operadora, e um congelamento de crédito nos EUA ou a Protective Registration no Reino Unido.

Perguntas frequentes

Como verifico se o meu email foi divulgado?

Introduza-o em haveibeenpwned.com. O serviço gratuito lista todas as fugas de dados conhecidas em que o seu email apareceu e os dados expostos. Ative o Notify me para receber alertas sobre fugas futuras e verifique todos os endereços de email que já usou.

O Have I Been Pwned é seguro?

Sim. É um serviço gratuito com muitos anos, gerido pelo investigador de segurança Troy Hunt. Pesquisar o seu email só mostra em que fugas de dados aparece. O verificador de palavras-passe nunca envia a sua palavra-passe; envia apenas parte de um hash.

Posso verificar se o meu número de telemóvel foi divulgado?

Não de forma fiável e gratuita. Se alguma conta afetada incluía o seu número, assuma que está exposto. Mais SMS de burla, mensagens com o seu nome e códigos de uso único que não pediu são sinais comuns. Proteja-o com um PIN ou bloqueio do SIM na operadora.

O que devo fazer primeiro depois de uma fuga de dados?

Proteja a sua conta de email principal com uma nova palavra-passe única e autenticação de dois fatores, e depois mude as palavras-passe repetidas. Nos EUA, congele o crédito na Equifax, na Experian e na TransUnion. No Reino Unido, pondere a Protective Registration da Cifas.

Congelar o crédito prejudica a minha pontuação de crédito?

Não. Nos EUA, o congelamento de crédito é gratuito, não afeta a sua pontuação e mantém-se até o levantar. Pode levantá-lo temporariamente na agência que o credor usa quando pede crédito.

O que é um SIM swap e como o evito?

Um SIM swap acontece quando um criminoso convence a sua operadora a passar o seu número para um cartão SIM dele, ficando com as suas chamadas e códigos por SMS. Evite-o com um PIN ou bloqueio do número na operadora, e use uma app de autenticação ou chaves de acesso em vez de códigos por SMS.

Fontes

Os números são os mais recentes publicados por cada fonte quando este guia foi atualizado. As perdas comunicadas são um mínimo: a maioria das burlas nunca é denunciada.

Verificar se os meus dados foram divulgados: como saber se o seu email, telemóvel ou palavras-passe apareceram numa fuga de dados