Às 23h47, o celular vibrou com um e-mail de assunto direto: aviso de incidente de segurança. Marlene, autônoma de 39 anos que vende peças de artesanato pela internet, moradora de uma cidade pequena do interior, leu a mensagem duas vezes antes de acreditar que era real.
O texto informava que um banco de dados da loja onde ela tinha cadastro havia sido acessado indevidamente, e que nomes, e-mails e senhas criptografadas podiam ter sido expostos. Recomendava trocar a senha imediatamente.
Ela trocou. Levou dois minutos, direto pelo link do próprio e-mail — depois conferiu, aliviada, que o aviso batia com o site oficial da loja. O que ela não fez naquela noite foi parar para lembrar que usava a mesma senha, com pequenas variações, em pelo menos mais 4 serviços: e-mail pessoal, aplicativo do banco, rede social e um site de armazenamento de fotos da família.
Só dias depois, ao tentar entender por que recebia notificações de login estranhas em outro aplicativo, percebeu o tamanho do problema: a senha vazada não protegia só aquela loja. Protegia, por reutilização, boa parte da sua vida digital.
A senha antiga tinha nascido de um jeito comum: uma combinação fácil de lembrar, criada anos atrás para um cadastro qualquer, e depois copiada, com pequenos ajustes, para tudo o que veio depois. Trocar de senha a cada novo serviço sempre pareceu trabalhoso demais para alguém que cuidava sozinha das vendas, das entregas e da produção das peças. Foi só diante do susto que essa lógica de conveniência mostrou o preço que cobrava.
Como reconhecer um aviso de vazamento verdadeiro
Nem todo e-mail que fala em vazamento de dados é confiável — golpistas também usam esse tipo de mensagem para induzir cliques em links falsos. Antes de agir, vale checar o remetente com atenção, evitar clicar em links do próprio e-mail e, em vez disso, digitar o endereço do site oficial diretamente no navegador ou abrir o aplicativo já instalado. Se o aviso for real, a informação também deve aparecer nos canais oficiais da empresa, como central de ajuda ou redes sociais verificadas. Na dúvida, vale ligar para o telefone que já constava no cadastro antes do incidente, e não para um número informado apenas na própria mensagem suspeita.
O deslize mais comum depois de um aviso de vazamento
Trocar a senha só do serviço que avisou é o erro mais frequente nessas situações. Se a mesma senha, ou uma variação previsível dela, é usada em outras contas, o vazamento de uma abre caminho para as demais. Isso vale mesmo quando a empresa afirma que os dados estavam criptografados: criptografia reduz risco, mas não elimina a necessidade de trocar credenciais reutilizadas em qualquer lugar onde apareçam.
Passo a passo depois de receber a notificação
- Confirmar que o comunicado é legítimo, checando o canal oficial da empresa antes de clicar em qualquer link recebido por e-mail ou SMS.
- Trocar a senha do serviço avisado e de qualquer outro que reaproveite a mesma senha ou uma variação dela.
- Ativar a verificação em duas etapas nos aplicativos que oferecem esse recurso, priorizando e-mail e aplicativos bancários.
- Verificar o histórico de acessos e sessões ativas, encerrando as que não forem reconhecidas.
- Pedir à própria empresa esclarecimento formal sobre quais dados foram expostos e o que está sendo feito a respeito.
Foi só ao seguir, ao longo de 2 dias, uma sequência parecida com essa, depois de pesquisar o assunto, que Marlene percebeu quantas contas ainda estavam vulneráveis — e quanto tempo aquilo levaria para arrumar sozinha, sem pressa e sem clicar em nada por impulso.
LeiaTambém
O que muda da próxima vez que um aplicativo pedir seus dados
A Lei Geral de Proteção de Dados garante ao titular direitos como confirmação da existência de tratamento, acesso, correção de dados incompletos ou desatualizados, anonimização, portabilidade e eliminação, além do direito de se opor a determinados usos. Esses pedidos são dirigidos à empresa responsável pelo tratamento — o controlador — ou ao encarregado de dados que ela deve indicar. Se a resposta não vier ou for insatisfatória, o titular pode levar a questão à Autoridade Nacional de Proteção de Dados.
O direito à eliminação não é absoluto: empresas podem manter determinados dados por obrigação legal ou contratual, mesmo depois de um pedido de exclusão. Entender o que está sendo tratado é o primeiro passo antes de cobrar qualquer mudança.
No caso de Marlene, o incidente também mudou a forma como ela passou a organizar as próprias senhas. Em vez de reaproveitar combinações, adotou um gerenciador de senhas para gerar e guardar acessos diferentes para cada serviço, e passou a revisar, de tempos em tempos, quais aplicativos ainda tinham permissão para acessar sua conta de e-mail principal — a porta de entrada para recuperar praticamente todos os outros cadastros.
Uma história como esta, embora hipotética, mostra o que fazer quando há comunicação de incidente ou suspeita de exposição de dados: trocar credenciais reutilizadas, ativar proteção adicional e exercer direitos de informação e correção. Cada caso depende do tipo de dado exposto e da resposta dada pela empresa responsável, o que exige análise individual.
As regras sobre direitos do titular de dados estão descritas no espaço da ANPD sobre titulares de dados, com o detalhamento de cada direito na página específica sobre direitos dos titulares. Comunicados e mensagens suspeitas recebidas por clientes também foram tema de outra reportagem sobre avisos recebidos no celular.