Jak sprawdzić, czy twój e-mail znalazł się w wycieku danych

Wyciek danych ma miejsce wtedy, gdy informacje przechowywane przez firmę zostają ujawnione lub skradzione: w wyniku ataku, źle skonfigurowanego serwera albo działania osoby z wewnątrz. Wśród wyciekających danych często są adresy e-mail, czasem razem z imionami i nazwiskami, numerami telefonów, datami urodzenia i hasłami. Hasła bywają zapisane jawnym tekstem albo w postaci skrótu, a słabe hasła zapisane jako skrót często da się złamać.

Twój adres e-mail to nić, która łączy te dane. Atakujący używają go do wypróbowywania wyciekniętych haseł w innych usługach, do pisania przekonujących wiadomości phishingowych, które wspominają o prawdziwej usłudze, z jakiej korzystasz, oraz do ataków na procedury resetowania hasła. Wiedza o tym, w których wyciekach jest twój adres, podpowiada, jakie hasła zmienić i jakich oszukańczych wiadomości się spodziewać.

Obecność w wycieku nie oznacza, że twoja skrzynka została zhakowana. Oznacza, że usługa, w której ten adres był używany, utraciła powiązane z nim dane. Rzeczywiste ryzyko zależy od tego, co zostało ujawnione, i od tego, czy to samo hasło nie służyło gdzieś jeszcze.

Jedną z powszechnie używanych darmowych usług jest Have I Been Pwned, stworzona przez niezależnego badacza bezpieczeństwa. Zbiera dane ze znanych publicznie wycieków i pozwala wpisać adres e-mail, aby zobaczyć, które incydenty go objęły i jakie rodzaje danych zostały ujawnione. Nie pokazuje samych wyciekniętych haseł, a możesz zapisać się na powiadomienia na wypadek, gdyby twój adres pojawił się w kolejnym wycieku.

Wiele menedżerów haseł, także tych wbudowanych w produkty Google, Apple i Microsoft, potrafi również ostrzec, gdy zapisane hasło znajduje się w znanych zbiorach z wycieków. Podobny monitoring oferują niektórzy dostawcy poczty i zabezpieczeń. Takie kontrole są przydatne, bo sprawdzają twoje faktyczne hasła, a nie tylko sam adres.

Uważaj, którym narzędziom ufasz. Rzetelna usługa potrzebuje wyłącznie twojego adresu e-mail i nigdy nie pyta o hasło do poczty. Unikaj stron, które żądają opłaty za pokazanie wyników albo każą instalować oprogramowanie, i ignoruj niechciane wiadomości twierdzące, że twoje dane wyciekły, i namawiające do kliknięcia linku. Nigdy nie szukaj wyciekniętych baz na własną rękę: posługiwanie się nimi jest ryzykowne, w twoim kraju może być niezgodne z prawem i to częsty sposób rozprzestrzeniania złośliwego oprogramowania.

Wynik zwykle wymienia każdy wyciek: nazwę usługi, czas zdarzenia i rodzaje danych, których dotyczył. Skup się na rodzajach danych. Ujawniony adres e-mail i imię zwiększają głównie ryzyko phishingu. Ujawnione hasła, pytania bezpieczeństwa lub numery telefonów wymagają działania na twoich kontach.

Stare wycieki nadal mają znaczenie, jeśli to samo hasło było używane gdziekolwiek indziej, nawet dawno temu, bo atakujący wciąż testują stare kombinacje. Jeśli nie pamiętasz, jakiego hasła używano w usłudze objętej wyciekiem, załóż, że było to hasło powtarzane w wielu miejscach, i zmień je wszędzie, gdzie występuje.

Czysty wynik to dobra wiadomość, ale nie pełne uspokojenie. Nie każdy wyciek staje się publiczny, a niektóre wychodzą na jaw długo po fakcie. Unikalne hasła i uwierzytelnianie dwuskładnikowe chronią cię niezależnie od tego, czy jakikolwiek wyciek został zgłoszony.

Zmień hasło w usłudze, której dotyczył wyciek, jeśli nadal masz tam konto, a potem na każdym innym koncie, na którym używano tego samego lub podobnego hasła. Zacznij od konta e-mail, ponieważ każdy, kto je kontroluje, może zresetować pozostałe. Skorzystaj z menedżera haseł, aby wygenerować nowe, unikalne hasło do każdego konta.

Włącz uwierzytelnianie dwuskładnikowe wszędzie, gdzie jest dostępne, zaczynając od poczty, przechowywania w chmurze i wszystkiego, co wiąże się z płatnościami. Aplikacja uwierzytelniająca lub klucz bezpieczeństwa chroni cię nawet wtedy, gdy kolejny wyciek ujawni twoje nowe hasło.

Jeśli wyciek objął pytania bezpieczeństwa, zmień odpowiedzi i traktuj je jak hasła: losowa odpowiedź zapisana w menedżerze haseł jest bezpieczniejsza niż nazwa prawdziwej pierwszej szkoły. Jeśli w grę wchodziły dane płatnicze, obserwuj wyciągi z konta i stosuj się do zaleceń swojego banku.

Atakujący, którzy dostaną się na konto e-mail, często próbują pozostać w nim po cichu. Otwórz ustawienia poczty i przejrzyj przekierowania, filtry oraz reguły. Nieznany adres przekierowania albo reguła przenosząca lub usuwająca wiadomości ze słowami takimi jak faktura, hasło czy bezpieczeństwo to silny sygnał włamania. Usuń wszystko, co nie pochodzi od ciebie.

Następnie sprawdź adres e-mail i numer telefonu do odzyskiwania konta, dostęp delegowany lub uprawnienia do współdzielonej skrzynki, autoodpowiedzi oraz stopkę. Przejrzyj folder wysłanych i kosz pod kątem wiadomości, które nie są twoje albo zniknęły bez twojej wiedzy. W usługach, które z nich korzystają, obejrzyj hasła aplikacji i cofnij te, których nie rozpoznajesz.

Nazwy menu różnią się u poszczególnych dostawców, takich jak Gmail, Outlook, Yahoo czy GMX, ale te opcje zwykle znajdziesz w ustawieniach poczty, w sekcjach o przekierowaniach, filtrach lub regułach, oraz w części poświęconej zabezpieczeniom konta.

W ustawieniach zabezpieczeń konta otwórz listę urządzeń i aktywnych sesji. Wyloguj się ze wszystkiego, czego nie rozpoznajesz, albo użyj opcji wylogowania ze wszystkich pozostałych sesji, a potem zaloguj się ponownie na własnych urządzeniach. Sama zmiana hasła nie zawsze kończy sesje, które są już otwarte.

Przejrzyj aplikacje i usługi zewnętrzne mające dostęp do twojego konta, na przykład przez przycisk logowania przez Google lub Microsoft, i usuń te, z których już nie korzystasz albo których nie rozpoznajesz. Takie połączenia mogą działać także po zmianie hasła.

Na koniec zajrzyj na stronę z ostatnią aktywnością związaną z bezpieczeństwem, na której większość dostawców wypisuje logowania, zmiany hasła i nowe urządzenia. Jeśli zobaczysz udane logowanie z miejsca lub urządzenia, którego nie znasz, powtórz zmianę hasła i wylogowanie sesji, a także upewnij się, że opcje odzyskiwania konta nadal są poprawne.

Zapisz się na powiadomienia o wyciekach dla każdego używanego adresu i włącz alerty o wyciekach w menedżerze haseł. Wczesne ostrzeżenie daje czas na zmianę hasła, zanim ktoś wypróbuje je na twoich pozostałych kontach.

Rozważ używanie osobnych adresów lub aliasów do różnych celów, na przykład jednego do bankowości i ważnych usług, a drugiego do newsletterów i zakupów. Niektórzy dostawcy obsługują aliasy albo adresowanie z plusem, co pomaga też zorientować się, która usługa wyciekła lub udostępniła twój adres dalej.

Jeśli korzystasz z konta e-mail uzyskanego od kogoś innego, także kupionego na marketplace takim jak rStock, wykonaj opisane wyżej kontrole skrzynki i sesji, gdy tylko zapis dostawy pojawi się na stronie zamówienia, zanim powiążesz to konto z czymkolwiek ważnym. Używaj konta zgodnie z regulaminem dostawcy; rStock nie jest powiązany z żadnym dostawcą poczty wymienionym w tym artykule. Te same nawyki, czyli unikalne hasła, uwierzytelnianie dwuskładnikowe i regularne przeglądy, sprawiają, że każda skrzynka, nowa czy stara, pozostaje pod twoją kontrolą.