Um suposto vazamento de dados, envolvendo pelo menos 183 milhões de contas de serviços de e-mail como Gmail, Outlook e Yahoo, expôs endereços eletrônicos e senhas de usuários. As informações foram divulgadas pelo site especializado Have I Been Pwned, que monitora vazamentos de dados na internet.

De acordo com a plataforma, o ataque não é recente: foi descoberto em abril de 2025. No entanto, a equipe identificou agora a existência de mais 16,4 milhões de contas vulneráveis que não haviam sido detectadas na época.

Ao todo, são citados 3,5 terabytes de dados vazados. O maior arquivo tem 2,6 terabytes e, somados, os volumes reúnem cerca de 23 bilhões de linhas com informações de usuários. Ainda segundo o Have I Been Pwned, a captura desses logins e senhas ocorreu por meio de uma técnica chamada Infostealers, programas criados para infectar dispositivos e roubar informações pessoais.

Ao infectar um computador, o criminoso passa a ter acesso às informações da conta no momento em que a vítima faz login em um site, como serviços de e-mail ou lojas virtuais. Nesse caso, ele obtém o endereço do site acessado, além do e-mail e da senha.

O Google se manifestou sobre o caso, explicando que, de fato, houve uma atualização no banco de dados do Have I Been Pwned, mas ressaltou que as 183 milhões de contas expostas não pertencem todas ao Gmail, como tem circulado na internet.

“É importante que os usuários saibam que esse tipo de atividade maliciosa ocorre, mas este não é um caso único nem específico do Gmail”, afirmou a empresa. Em um comunicado, o Google acrescentou: “Os relatos de um suposto vazamento de dados ou violação de segurança do Gmail que afetaria milhões de usuários são completamente imprecisos e incorretos. Eles decorrem de uma interpretação equivocada das atualizações contínuas em bancos de dados de roubo de credenciais, conhecidos como Infostealers, em que os invasores utilizam diversas ferramentas para coletar credenciais, ao invés de um ataque único e específico direcionado a uma pessoa, ferramenta ou plataforma específica”.

A Microsoft, dona do Outlook, e o Yahoo não se pronunciaram sobre o assunto até o momento.

Em entrevista ao jornal britânico Daily Mail, o criador do Have I Been Pwned, Troy Hunt, disse que há outras empresas afetadas pelo suposto vazamento, mas não citou quais.

Especialistas em segurança da informação afirmam que é difícil confirmar com precisão se um vazamento realmente ocorreu, a não ser quando as próprias empresas se manifestam. Segundo eles, o Have I Been Pwned é uma plataforma de boa reputação no monitoramento de vazamentos.

Como se proteger

Em caso de vazamento em um serviço que você usa, a principal recomendação é mudar a senha adotada naquela plataforma. Confira outras dicas importantes para aumentar sua segurança:

• Crie senhas fortes: Senhas longas, que usam letras maiúsculas e minúsculas, números e caracteres especiais são mais difíceis de serem descobertas. Evite senhas óbvias; uma dica é criar senhas baseadas em frases que sejam facilmente memorizáveis para você.

• Use senhas diferentes para cada site: Uma senha forte perde sua eficácia se for reutilizada em vários serviços. Em caso de vazamento em um site, a credencial pode ser testada em outros. Para gerenciar tantas senhas, utilize um gerenciador de senhas, que armazena seus dados de forma criptografada. Existem opções gratuitas, como o Gerenciador de Senhas do Google, LastPass, o gerenciador da Microsoft (no Authenticator) e o KeePass.

• Ative a autenticação em duas etapas: Essa camada extra de segurança exige que, além da senha, você forneça um segundo fator de confirmação (geralmente um código enviado por app ou SMS) para acessar sua conta em um novo dispositivo.

• Ative chaves de acesso (passkeys): Empresas de tecnologia têm defendido o uso de chaves de acesso, que substituem a senha tradicional. O acesso a sites e apps é feito usando apenas a impressão digital, o reconhecimento facial ou o PIN do seu celular, sendo considerado um método mais seguro.

• Desconfie de abordagens suspeitas: Criminosos usam e-mails e sites falsos (phishing) para enganar as vítimas e roubar suas credenciais. Sempre verifique o endereço do site (URL) e analise com atenção mensagens que pedem informações pessoais.