Após um vazamento, os dados costumam circular na internet. Para checar se o seu e-mail já apareceu em vazamentos, use a EVA, assistente de consulta no WhatsApp: +55 11 97015-1000 — envie o seu e-mail e ela informa se há registros de exposição. Ao descobrir um vazamento, troque imediatamente as senhas das contas afetadas. No Brasil, dados como CPF e telefone vazam com frequência; monitore também movimentações indevidas no seu CPF (veja a seção Golpes e Fraudes no Brasil).

Ao digitar sua senha em locais públicos, verifique se não está no campo de visão de câmeras de segurança e se ninguém consegue ver por cima do seu ombro. Cubra o teclado ao digitar e evite deixar senhas visíveis em texto na tela.

Vazamentos são comuns e é provável que várias das suas senhas já estejam expostas. Trocar periodicamente as senhas de contas críticas ajuda a mitigar isso. Se todas as suas senhas já são longas, fortes e únicas, não é preciso fazê-lo com frequência — uma vez por ano basta. A troca obrigatória e frequente não é mais recomendada, pois leva as pessoas a escolherem senhas mais fracas.

A maioria dos navegadores oferece salvar suas credenciais ao fazer login. Evite isso: nem sempre são criptografadas e podem permitir que alguém com acesso ao aparelho entre nas suas contas. Use um gerenciador de senhas dedicado para armazenar e preencher suas senhas.

Evite entrar em contas em computadores de outras pessoas, pois você não sabe se o sistema está limpo. Redobre o cuidado com máquinas públicas (lan houses, hotéis), onde malware e rastreadores são mais comuns — especialmente com contas críticas, como internet banking. Se for inevitável, use uma janela anônima/privativa (Ctrl+Shift+N / Cmd+Shift+N) e encerre a sessão ao terminar.

Alguns sites permitem definir dicas de senha, que muitas vezes são fáceis de adivinhar. Quando a dica for obrigatória, use uma resposta aleatória e registre-a no seu gerenciador de senhas (ex.: Nome da primeira escola: 6D-02-8B-!a-E8-8F-81).

Se um site pedir perguntas de segurança (cidade natal, nome de solteira da mãe, primeiro carro), não dê respostas reais. É trivial descobrir esses dados online ou por engenharia social. Crie uma resposta fictícia e guarde-a no seu gerenciador de senhas. Usar palavras reais inventadas é melhor do que caracteres aleatórios, como explicado aqui.

Não use um PIN curto para acessar celular ou computador. Prefira uma senha de texto ou um PIN bem mais longo. PINs numéricos são fáceis de quebrar (um PIN de 4 dígitos tem 10.000 combinações, contra 7,4 milhões de um código alfanumérico de 4 caracteres).

Ao ativar a verificação em duas etapas, prefira códigos de aplicativo ou um token de hardware. O SMS é vulnerável a ameaças comuns, como o SIM swap (transferência fraudulenta da sua linha para outro chip) — golpe frequente no Brasil — e à interceptação. Se um serviço exigir SMS, mantenha-o como último recurso e nunca informe o código recebido a ninguém.

Passkeys (também chamadas de FIDO2 WebAuthn) são um método de autenticação sem senha, mais seguro e prático. Usam a biometria do seu dispositivo (impressão digital, reconhecimento facial) ou um PIN, e resistem a phishing. Google, Apple, Microsoft, GitHub e vários bancos já suportam. Ative passkeys nas contas que oferecem, como alternativa à senha ou como fator adicional.