Na manhã desta terça-feira (28), manchetes tomaram conta de sites e redes sociais, afirmando que mais de 183 milhões de contas do Gmail haviam sido comprometidas em um “grande vazamento de dados”. Agora, o Google luta para desmentir a informação, classificando as reportagens como incorretas e afirmando que não houve nenhuma invasão aos sistemas do Gmail.
O que realmente aconteceu
A confusão teve início quando Troy Hunt, criador do serviço de monitoramento Have I Been Pwned (HIBP), anunciou a inclusão de um novo conjunto de dados com 183 milhões de credenciais em sua plataforma. Essas informações foram enviadas pela empresa de inteligência de ameaças Synthient, especializada em coletar e analisar dados provenientes de infostealers, malwares que capturam senhas e logins de computadores infectados.
De acordo com Hunt, os dados não representam um único ataque recente, mas sim anos de registros acumulados por softwares maliciosos que coletam credenciais de usuários em diferentes sites. Isso significa que não houve uma grande invasão à infraestrutura do Gmail, o banco de dados apenas agregava informações antigas e, em muitos casos, recicladas.
“Esses logs são o resultado de infostealers, malwares que capturam credenciais inseridas em sites. Quando você entra em qualquer serviço, como o Gmail, essas credenciais acabam sendo registradas. O problema é que muitos desses dados são repetidos e circulam por anos na internet”, explicou Hunt.
A resposta do Google
Diante da repercussão, o Google publicou um comunicado no X negando qualquer comprometimento de contas do Gmail. “As notícias sobre uma ‘violação de segurança do Gmail afetando milhões de usuários’ são falsas. As defesas do Gmail permanecem sólidas, e os usuários estão protegidos”, afirmou a empresa.
O Google ressaltou que as informações divulgadas não têm origem em seus servidores, mas sim em bancos de dados de infostealers amplamente disponíveis na dark web. Esses bancos frequentemente reúnem endereços de e-mail do Gmail, já que muitos usuários utilizam o mesmo endereço para diversos serviços online.
A empresa também lembrou que atua proativamente quando detecta grandes volumes de credenciais comprometidas, solicitando redefinição de senhas e oferecendo ferramentas de verificação de segurança.
O próprio Troy Hunt criticou a forma como a mídia abordou o caso. Ele afirmou que várias publicações “deliberadamente exageraram a história para atrair cliques”, enterrando os fatos reais nas entrelinhas. Portais divulgaram o suposto “megavazamento” sem contextualizar a origem dos dados ou verificar sua autenticidade.
Essa não é a primeira vez que coleções antigas de credenciais reaparecem na internet e são erroneamente interpretadas como novas violações. Esses casos mostram como dados reciclados de infostealers e listas de “credential stuffing” (conjuntos de senhas usadas para ataques automatizados) podem gerar confusão e pânico desnecessário.
Embora o caso não envolva um ataque direto ao Gmail, especialistas lembram que a exposição de senhas antigas ainda representa risco, especialmente se o usuário reutilizou credenciais em outros serviços. A recomendação é ativar a verificação em duas etapas, adotar passkeys sempre que possível e atualizar senhas listadas em notificações do Have I Been Pwned.Em meio a tantas senhas e fatores de autenticação, não é tão simples garantir o acesso às suas contas ao longo do tempo. Para isso, criamos o plano perfeito!