Google alertou sobre senha comprometida: o que fazer agora?
Você abre o navegador ou o gerenciador de senhas e encontra um aviso: algumas credenciais salvas foram comprometidas. A mensagem merece atenção, mesmo quando não há movimentação estranha aparente. Ela pode ajudar a identificar uma exposição antes que seus efeitos sejam percebidos.
O primeiro cuidado é interpretar o alerta corretamente. Uma indicação de senha comprometida não comprova, por si só, que alguém entrou na conta, que o Google sofreu uma invasão ou que o serviço mostrado na lista foi a origem do vazamento. A prevenção começa pela confirmação do aviso e pela proteção do acesso.
O que significa uma senha comprometida?
Segundo a documentação do Google, o Chrome pode comparar credenciais salvas com dados conhecidos de violações e avisar quando encontra correspondência. Credenciais são as informações usadas para entrar em um serviço, como nome de usuário e senha.
A ferramenta funciona como um sinal de atenção. Ela não substitui uma investigação sobre o que aconteceu com determinada conta. A captura de um aviso, isoladamente, também não permite apontar a responsabilidade de uma empresa ou órgão.
Como conferir se o alerta é verdadeiro?
Acesse o gerenciador de senhas pelas configurações do navegador ou digite diretamente passwords.google.com. Evite abrir links recebidos em mensagens inesperadas que prometem corrigir o problema. Um aviso sobre segurança também pode ser imitado para induzir a entrega de dados.
Confira qual conta e qual acesso estão sendo apontados. Quando for necessário trocar a senha, entre pelo endereço oficial ou pelo aplicativo conhecido do serviço. Nunca envie sua senha, códigos de verificação ou códigos de recuperação a quem se apresenta como suporte.
Quais providências ajudam a proteger as contas?
Troque a senha exposta no próprio serviço, usando uma combinação longa e exclusiva.
Se a mesma senha foi reutilizada, altere-a também nos outros acessos envolvidos.
Ative a verificação em duas etapas, quando disponível.
Considere chaves de acesso ou chaves de segurança compatíveis com o serviço.
Revise sessões abertas, dispositivos conectados e dados de recuperação.
Mantenha navegador, aplicativos e sistema operacional atualizados.
As medidas devem ser feitas em um dispositivo confiável. Se houver suspeita de programa malicioso, a troca de senhas precisa ser acompanhada da verificação técnica do equipamento. Caso contrário, novas credenciais também podem ficar expostas.
Excluir a senha do gerenciador ou ocultar o aviso não altera, por si só, a senha no serviço de origem. É necessário concluir a mudança onde o acesso é utilizado e depois manter o registro salvo atualizado.
Por que a verificação em duas etapas faz diferença?
Ela acrescenta uma confirmação de identidade ao acesso com senha. Isso dificulta que apenas o conhecimento da senha seja suficiente para entrar. O Google também orienta que chaves de acesso e chaves de segurança ajudam a proteger contra phishing, o golpe que tenta enganar a pessoa para obter informações ou autorizações.
Essa proteção não dispensa atenção. Não aprove pedidos de login que você não iniciou e mantenha os meios de recuperação protegidos. As opções disponíveis variam conforme o serviço e a configuração da conta.
O que muda quando o acesso é de uma empresa?
Uma credencial corporativa pode permitir acesso a dados de clientes, documentos, sistemas financeiros e comunicações internas. Por isso, o tratamento do aviso precisa envolver as pessoas responsáveis pela tecnologia e pela proteção de dados, conforme a estrutura da organização.
Descomplicando o juridiquês: a tecnologia aponta o sinal; a equipe verifica o alcance; a organização registra o que foi feito. Uma resposta bem organizada combina contenção técnica, análise das informações envolvidas e avaliação das obrigações aplicáveis.
Identifique a conta, suas permissões e os sistemas que ela pode acessar.
Proteja a credencial e revise sessões e autorizações suspeitas.
Preserve os registros necessários à análise, com acesso restrito.
Verifique se houve acesso indevido ou outro comprometimento de dados pessoais.
Registre as decisões, as providências e os responsáveis pelo atendimento.
Acione o plano de resposta a incidentes, quando cabível.
Evite divulgar capturas completas em grupos ou redes sociais. Nomes de contas, endereços de e-mail, serviços utilizados e dados internos podem ampliar a exposição. Ao pedir ajuda, compartilhe apenas o necessário e com quem tenha atribuição para atuar.
Todo alerta precisa ser comunicado à ANPD?
Não automaticamente. A ANPD distingue uma vulnerabilidade de um incidente confirmado e orienta que a comunicação depende do enquadramento do caso: ocorrência confirmada, dados pessoais sujeitos à LGPD e possibilidade de risco ou dano relevante aos titulares.
O alerta deve motivar verificação, sem conclusões precipitadas. Se a análise identificar um incidente com dados pessoais, será necessário avaliar sua natureza, os titulares afetados e as consequências possíveis. O dever de comunicação é do controlador, isto é, de quem decide sobre o tratamento, conforme as regras aplicáveis.
A Resolução CD/ANPD nº 15/2024 prevê, como regra, prazo de três dias úteis para comunicação à Autoridade e aos titulares, contado do conhecimento pelo controlador de que o incidente afetou dados pessoais. Há ressalvas legais e tratamento específico para agentes de pequeno porte que se enquadrem na regulamentação. Por isso, o prazo deve ser verificado no caso concreto.
A documentação da análise também importa. O regulamento exige a manutenção do registro dos incidentes com dados pessoais por pelo menos cinco anos, inclusive dos que não forem comunicados. Esse registro deve ser protegido e não se confunde com divulgação pública do ocorrido.
Como a prevenção jurídica se conecta à tecnologia?
O art. 46 da LGPD exige medidas técnicas e administrativas para proteger os dados pessoais. Isso envolve tanto ferramentas quanto procedimentos: definir quem pode acessar, como o acesso é concedido, quando deve ser revogado e quem age diante de um sinal de risco.
A manutenção preventiva inclui revisar permissões quando alguém muda de função ou deixa a empresa, estabelecer responsabilidades com fornecedores, orientar a equipe e atualizar o plano de resposta. Uma política escrita perde utilidade se não corresponder ao funcionamento real dos sistemas.
Também é importante delimitar responsabilidades nos contratos: quem administra as contas, quem comunica uma suspeita e quais registros devem ser disponibilizados para a apuração. A atribuição contratual de tarefas não elimina os deveres legais de cada agente.
O que fazer se já houver sinais de uso indevido?
Procure os canais oficiais dos serviços envolvidos e solicite a proteção do acesso. Preserve protocolos, datas e informações úteis, sem expor credenciais. Se houver movimentação financeira suspeita, contate imediatamente a instituição pelos canais conhecidos.
Dependendo dos fatos, podem ser necessárias análise técnica, orientação jurídica e comunicação às autoridades competentes. O alerta, sozinho, não gera indenização automática nem permite atribuir responsabilidade sem examinar a ocorrência, o dano e os demais requisitos aplicáveis.
Prevenção é uma rotina de cuidado
Uma conta protegida depende de medidas que funcionem no dia a dia. Revisar acessos, evitar reutilização de senhas e responder a alertas com um procedimento claro reduz a dependência de decisões improvisadas.
A tecnologia ajuda a detectar sinais; a organização permite agir; a prevenção jurídica ajuda a compreender responsabilidades e documentar as providências. Nenhuma medida isolada elimina todos os riscos, mas a combinação desses cuidados torna a resposta mais consistente.
Conteúdo informativo. Fontes consultadas em 4 de novembro de 2026. A análise de cada ocorrência depende dos fatos e da documentação.
Comentários