Saber que um endereço apareceu numa fuga não custa nada e não muda nada: é verdade para quase toda a gente. A pergunta que envolve a sua responsabilidade é dupla: essa fuga continua a abrir uma porta na sua organização, e a quem deve avisar, em que prazo.
Uma fuga de credenciais não é um acontecimento isolado do seu lado: é um fluxo mundial. Para dar uma ordem de grandeza, a referência pública do domínio indexou 1 957 476 021 endereços únicos numa única operação em novembro de 2025 (número publicado por Have I Been Pwned).
Conclusão prática: a presença do seu nome de domínio numa fuga é provável e, por si só, não é uma informação utilizável. O que conta é o que vem a seguir.
Nenhuma destas três respostas se encontra numa base de dados de fugas. Leem-se dentro do seu diretório ou do seu inquilino, com o seu acordo.
Este procedimento segue o RGPD, artigos 33.º e 34.º. Texto oficial. Não substitui um parecer jurídico: somos auditores, não advogados. Fontes oficiais: Regulamento (UE) 2016/679, artigos 33.º e 34.º (EUR-Lex); Diretrizes 9/2022 do CEPD; CNIL: violações de dados pessoais; CNIL: notificar uma violação; Diretiva (UE) 2022/2555, artigo 23.º (EUR-Lex).
A autoridade de proteção de dados competente para 30 países do Espaço Económico Europeu. Vinte e sete linhas foram verificadas individualmente face à lista oficial dos membros do Comité Europeu para a Proteção de Dados e trazem a ligação a essa fonte; quanto ao Listenstaine, a fonte é o sítio da própria autoridade; quanto à Islândia e ao Luxemburgo, a verificação não está publicada: confirme a autoridade na lista do Comité antes de notificar.
Uma linha ausente significa que não a conseguimos verificar, não que não exista. Preferimos uma tabela mais curta a uma tabela mais falsa.
8 fontes públicas descrevem o que um atacante vê de si antes de entrar: registos de certificados, registos DNS e de correio, serviços expostos, nomes de domínio sósias, publicações de código, documentos indexados.
É aí que estão as três respostas que contam. Auditamos o Microsoft 365 e o Active Directory a partir do seu posto, apenas em leitura, e cruzamos o que a fuga anuncia com o estado real das suas contas.
O motor que interroga estas 8 fontes está escrito e a funcionar, mas ainda não correu em cliente. Não vendemos aqui, portanto, um diagnóstico em autosserviço: conduzimo-lo nós, consigo, e fica avisado de que estaria entre os primeiros. Preferimos dizê-lo a deixá-lo descobrir.
A auditoria do Microsoft 365 e a do Active Directory, essas, já correm em clientes reais.