senha vazada funcionáriocomo saber se senha da empresa vazoucredenciais vazadas o que fazervazamento de senha empresa

Senhas de funcionários vazadas: como descobrir e o que fazer

Senha de funcionário vazada em fórum criminoso abre o e-mail e os sistemas da empresa para quem comprar a lista. Para descobrir, consulte serviços de alerta de vazamento usando o domínio da empresa. Para reduzir o estrago, exija autenticação em dois fatores, adote um gerenciador de senhas e troque a senha sempre que houver sinal de comprometimento.

Por Equipe CyberArmor26 de março de 2026

O que foi o LeakBase e por que ele importa para a sua empresa?

O LeakBase era um fórum na internet onde criminosos compravam e vendiam dados roubados. Em 4 de março de 2026, o Departamento de Justiça dos Estados Unidos anunciou a derrubada do fórum, com ações em 14 países nos dias 3 e 4 de março. Segundo o órgão, o fórum tinha mais de 142 mil membros e oferecia centenas de milhões de credenciais de contas, além de dados bancários e números de cartão.

Semanas depois, a polícia russa prendeu em Taganrog o suposto administrador do fórum. O The Hacker News relatou a prisão em 25 de março de 2026, com base na imprensa estatal russa. O suspeito não teve o nome divulgado e as acusações ainda não foram julgadas.

Para a sua empresa, a lição vai além da notícia policial. Derrubar um fórum não recolhe as cópias que os compradores já baixaram. Se a senha de um funcionário estava numa dessas listas, ela continua nas mãos de alguém. E outros fóruns ocupam o lugar do que caiu.

Como as senhas dos funcionários vão parar nesses fóruns?

Há dois caminhos comuns. No primeiro, o funcionário cadastrou o e-mail da empresa num site qualquer, como uma loja ou um aplicativo, e usou ali a mesma senha do trabalho. Quando esse site é invadido, a combinação de e-mail e senha entra numa lista à venda.

No segundo, um programa malicioso instalado no computador copia as senhas salvas no navegador. O risco é maior em computadores pessoais usados para trabalhar de casa, onde a empresa não controla o que é instalado.

Com a lista em mãos, o criminoso testa a mesma combinação de e-mail e senha em vários serviços ao mesmo tempo: e-mail corporativo, VPN, sistema financeiro, painel do site. Essa técnica se chama credential stuffing. Basta uma senha repetida para ele entrar.

Como descobrir se a senha de alguém da empresa vazou?

O caminho mais simples para uma pequena empresa é o serviço Have I Been Pwned. Ele tem uma busca por domínio que lista os endereços de e-mail da empresa encontrados em vazamentos conhecidos. Segundo as perguntas frequentes do serviço, os resultados só aparecem depois que você prova que controla o domínio, e domínios maiores normalmente precisam de assinatura.

Use o resultado como lista de prioridade: quem apareceu em vazamento recente deve trocar a senha e conferir se a autenticação em dois fatores está ativa.

Fique atento também a sinais internos. Alertas de login de outro país, avisos de "nova entrada na sua conta" e reclamações de clientes sobre e-mails estranhos enviados pelo seu domínio são motivo para investigar a conta na hora.

Por que trocar a senha todo mês não resolve?

Muitas empresas ainda obrigam a equipe a trocar a senha em intervalos fixos. A norma americana de referência para autenticação recomenda o contrário. O NIST SP 800-63B-4, publicado em julho de 2025, diz que os sistemas não devem exigir troca periódica de senha. A mesma norma manda forçar a troca quando houver evidência de que a senha foi comprometida.

O texto da norma traz outras duas regras úteis para a PME. A primeira: toda senha nova deve ser comparada com uma lista de senhas comuns, previsíveis ou já vazadas. A segunda: o sistema deve permitir o uso de gerenciadores de senha e o preenchimento automático.

Na prática, isso muda a política da sua empresa. Troque a senha quando houver sinal de problema, como e-mail em vazamento recente, login suspeito ou computador com vírus. Fora disso, cobre senhas longas e únicas.

Autenticação em dois fatores e gerenciador de senhas resolvem?

Os dois juntos fecham a maior parte do caminho. A MFA (autenticação em dois fatores) pede, além da senha, uma confirmação no celular ou numa chave física. Com ela ativa, a senha vazada sozinha não basta para entrar. Ative primeiro no e-mail, na VPN e nos sistemas com dinheiro ou dados de clientes.

O gerenciador de senhas cria e guarda uma senha diferente para cada serviço. Com ele, o vazamento de uma loja on-line não abre o e-mail da empresa, porque as senhas são diferentes. Escolha um gerenciador com conta corporativa, para que a empresa recupere os acessos quando alguém sair.

A MFA tem limites. Golpes que fazem a própria vítima aprovar o login passam por ela, como mostra o golpe do código de dispositivo no Microsoft 365. Por isso o treinamento da equipe continua necessário.

A empresa precisa avisar a ANPD quando uma senha vaza?

Depende do caso. O art. 48 da LGPD obriga o controlador a comunicar à ANPD e aos titulares o incidente de segurança que possa acarretar risco ou dano relevante aos titulares. A Resolução CD/ANPD nº 15/2024, que regulamenta essa comunicação, lista "dados de autenticação em sistemas" entre os tipos de dado que entram nessa avaliação, no art. 5º.

O prazo é de três dias úteis, conforme a página oficial da ANPD sobre comunicação de incidente, que permite enviar informações complementares em até vinte dias úteis. Se alguém entrou nos sistemas da empresa com uma senha vazada e acessou dados de clientes ou funcionários, registre o caso e leve a decisão ao encarregado de dados e ao jurídico logo no primeiro dia.

Por onde começar na sua empresa?

Faça a busca do seu domínio, ative a autenticação em dois fatores no e-mail e escreva uma política de senhas alinhada ao NIST. Os analistas da CyberArmor apoiam esse trabalho na Adequação à LGPD, incluindo o roteiro de resposta a incidente, e na Conscientização com simulação de phishing, que ensina a equipe a não repetir senhas e a reconhecer golpes de login. Falar com um especialista.

Fontes