Tegyük fel, hogy egy hétköznap este üzenet érkezik egy jegyértékesítő oldaltól, amelyet utoljára három éve használtál. A tárgy így szól: „Fontos: az adataid kiszivároghattak”. A fiókra alig emlékszel, azt pedig végképp nem tudod, milyen jelszót adtál meg hozzá, az üzenetben viszont ott díszeleg egy nagy gomb „Fiókom védelme” felirattal. A következő óra többet számít, mint a hét hátralévő része, és az első teendő ebben az órában az, hogy békén hagyod azt a gombot.
Röviden: ellenőrizd az értesítést úgy, hogy magad nyitod meg a cég oldalát, derítsd ki, milyen adatfajták kerültek ki, védd le a fő postaládádat mindenek előtt, majd cseréld le a kiszivárgott jelszót mindenhol, ahol használtad, és kapcsold be a kétlépcsős azonosítást vagy egy passkey-t. Az e-mail adatszivárgás azt jelenti, hogy egy cég, amelynél a címed volt, elvesztette felette az irányítást, általában más adataiddal együtt. A szivárgást nem teheted meg nem történtté. Azt viszont elérheted, hogy kellemetlenség maradjon, és ne váljon belőle ellopott fiók.
Az első óra, sorrendben
Az alábbi sorrend egyetlen gondolatból indul ki: a postaládád szinte az összes többi jelszavadat vissza tudja állítani, ezért előbb azt kell megvédeni, mint azt a fiókot, amelyik valóban kiszivárgott. Az időpontok hozzávetőlegesek. Ha a jelszavak nem szivárogtak ki, a 4. és az 5. lépést átugorhatod, és negyedóra alatt végzel.
- Ne használj semmit az üzenetből (az első 2 perc). Se linket, se mellékletet, se az értesítésben szereplő telefonszámot. A hamis szivárgási értesítések a valódi szivárgások szokásos követői, és a valódi értesítés semmit nem veszít azzal, ha a gombját figyelmen kívül hagyod.
- Ellenőrizd függetlenül (a következő 5 perc). Írd be a cég címét a böngészőbe, vagy használj régi könyvjelzőt, és keress biztonsági közleményt vagy figyelmeztető sávot. Keress rá a cég nevére a „szivárgás” szóval, és nézd meg, ír-e róla megbízható hírforrás, vagy maga a cég.
- Olvasd el, mit vittek el (a következő 5 perc). Az értesítés, a cég közleménye vagy egy ellenőrző szolgáltatás felsorolja az adattípusokat. A jelszavak, a kártyaadatok és az azonosító okmányok más-más teendőt jelentenek, ezeket az alábbi táblázat rendezi össze.
- Védd le a fő postaládádat (a következő 15 perc). Adj neki hosszú, máshol nem használt jelszót, jelentkeztess ki minden más munkamenetet, kapcsold be a kétlépcsős azonosítást vagy a passkey-t, és nézd át az átirányítási szabályokat és a helyreállítási adatokat. A Gmail, az Outlook és az iCloud lépései lentebb, a postaládás szakaszban szerepelnek.
- Foglalkozz a kiszivárgott jelszóval (a következő 20 perc). Cseréld le azon az oldalon, annak saját bejelentkezési oldalán keresztül. Aztán gondold végig, hol használtad még ugyanezt vagy ehhez hasonlót, és ezeket is cseréld le, a banki fiókkal, a mobilszolgáltatóval, a felhőtárhellyel és a mentett kártyát tároló webáruházakkal kezdve.
- Írd fel, mit tettél (az utolsó 5 perc). Jegyezd fel a céget, a dátumot, az érintett adatokat és azt, mely jelszavakat cserélted le. Ha három hónap múlva furcsa dolog történik, ebből a jegyzetből kiderül, van-e köze a szivárgáshoz.
Ha elfogy az időd vagy az erőd, állj meg a 4. lépés után. A levédett postaláda a legtöbb lehetőséget nyitva hagyja, mert annak, aki nem látja a leveleidet, sokkal nehezebb bármi mást visszaállítania.
Valódi az értesítés?
A cégek tényleg küldenek ilyen üzeneteket, és sok helyen kötelesek is. Az uniós GDPR 34. cikke szerint a szervezetnek indokolatlan késedelem nélkül tájékoztatnia kell az érintetteket, ha a szivárgás valószínűleg magas kockázattal jár rájuk nézve, az Egyesült Államokban pedig minden államnak saját adatszivárgás-bejelentési törvénye van, saját kiváltó feltételekkel. A szabályok eltérnek, ezért kaphatsz értesítést az egyik cégtől pár napon belül, a másiktól hónapokkal később, vagy egyáltalán nem. Az e-mail adatvédelmi törvényekről szóló áttekintésünk a jogi oldalt részletesebben tárgyalja.
A bűnözők tudják, hogy az emberek számítanak ilyen üzenetekre. Íme egy kitalált példa a hamis értesítésekre, amelyekre figyelni kell:
Példa hamis értesítésre (kitalált, szemléltetésül):
Tárgy: SÜRGŐS biztonsági incidens a fiókodnál
Kedves ügyfelünk! A jelszavad kiszivárgott egy közelmúltbeli incidensben. A fiókodat 12 órán belül bezárjuk, ha az alábbi biztonságos gombbal nem erősíted meg a jelenlegi jelszavadat és a kártyaszámodat.
Három dolog leplezi le. Órákban mért határidőt szab, elkéri a jelenlegi jelszavadat, és kártyaszámot kér, amire egyetlen valódi jelszó-visszaállítási folyamatnak sincs szüksége. A valódi értesítés elmondja, mi történt, és azt kéri, hogy az oldalon változtasd meg a jelszavadat. Az adathalász e-mailek felismeréséről szóló útmutatónk jóval több jelzést átvesz, de az alábbi összehasonlítások a szivárgásokra jellemzőket lefedik.
| Mire nézz | A valódi értesítés általában | A hamis értesítés általában |
|---|---|---|
| Útmutatás | Azt javasolja, hogy az oldalon változtasd meg a jelszavad, vagy közli, hogy kényszerített visszaállítás történt | Egy gombbal egy bejelentkezési oldalra tereli az embert |
| Részletek | Megnevezi az incidenst, a hozzávetőleges dátumokat és az adattípusokat | Homályos marad abban, mi történt |
| Kérések | E-mailben semmi érzékeny adatot nem kér | Jelszót, kártyaszámot vagy a telefonodra küldött kódot kér |
| Mellékletek | Ritkán tartalmaz ilyet | „Jelentést” csatol ZIP-ben, makrós dokumentumban vagy report.pdf.exe típusú fájlban |
| Nyilvános nyom | Egyezik a cég oldalán megjelent közleménnyel | Semmilyen nyilvános nyoma nincs |
| Ajánlatok | Megnevezett szolgáltatón keresztül személyazonosság-figyelést kínálhat, a szolgáltató oldalán beváltandó kóddal | Díjat követel, vagy bankadatokat kér, hogy kártérítést fizessen |
Egy üzenet minden technikai ellenőrzésen átmehet, és mégis nem kívánatos lehet. A Gmailben a hárompontos menüben ott az Eredeti üzenet megjelenítése, amely az SPF-, DKIM- és DMARC-eredményeket mutatja. Egy nagy cégnek mondott üzenetnél a dmarc=fail erős figyelmeztetés. Az átment ellenőrzés csak annyit mond, hogy a levél a feltüntetett domainről jött, az pedig lehet egy múlt héten regisztrált hasonmás.
Az értesítések néha olyan névtől érkeznek, amelyet nem ismersz fel, mert az incidens egy szolgáltatónál történt: egy ügyfélszolgálati rendszernél, egy marketingplatformnál vagy egy fizetésfeldolgozónál, amely egy általad ismert cégnek dolgozik. Ilyenkor az általad ismert cégtől keress megerősítést. Ha semmit nem találsz, a cég saját kapcsolati oldalán keresztül írhatsz az ügyfélszolgálatnak, és megkérdezheted.
Olvasd el az adatok listáját: ez határozza meg a munkádat
Az e-mail-cím szinte sosem egyedül van. Az, hogy ez tíz percedbe vagy egy délutánodba kerül, azon múlik, mi volt mellette az ellopott táblában. Tegyük fel, hogy a példabeli jegyoldal „neveket, e-mail-címeket és titkosított (hash-elt) jelszavakat” jelent. Ezzel a harmadik sorba kerülsz az alábbi táblázatban, a második sor teendőinek egy részével együtt.
| A címeddel együtt kiszivárgott | Mit lehet vele kezdeni | Mit tegyél |
|---|---|---|
| Semmi más | Spamet és célzott adathalászatot küldeni, a rekordjaidat összekapcsolni a szivárgások között, másutt kipróbálni az újrahasznált jelszavakat | Légy óvatos az adott szolgáltatást említő üzenetekkel; fontold meg, hogy a fiókot áttedd egy másik címre |
| Jelszó egyszerű szövegként | Azonnal bejelentkezni az oldalon, és ugyanazt a párost kipróbálni másutt | Cseréld le mindenhol, ahol használtad, még ma |
| Hash-elt jelszó | Offline megpróbálni feltörni; a gyenge és gyakori jelszavak esnek el először | Kezeld úgy, mintha egyszerű szöveg lenne |
| Név, telefonszám, lakcím | Meggyőző üzeneteket írni, átverő hívásokat indítani, SIM-cserét megkísérelni | Kérj PIN-kódot vagy átvitel elleni zárat a mobilszolgáltatódtól; légy óvatos a váratlan hívásokkal és SMS-ekkel |
| Születési dátum, biztonsági kérdések válaszai | Visszaélni a fiók-helyreállítással, gyenge személyazonosság-ellenőrzéseken átjutni | Cseréld a biztonsági válaszokat véletlenszerűekre, és mentsd jelszókezelőbe |
| Részleges kártyaadat | Hitelesebbé tenni az átveréseket („látjuk a 1234-re végződő kártyádat”) | Figyeld a kivonatokat; aki ismeri ezeket a számjegyeket, ezzel még semmit sem bizonyított |
| Teljes kártyaszám | Csalárd vásárlásokat megkísérelni | Hívd a kibocsátót a kártyán szereplő számon, és kérj cserekártyát |
| Hivatalos azonosító számok | Személyazonosság-lopást megkísérelni | Kövesd a nemzeti hatóság útmutatását; lásd az azonosító adatokról szóló szakaszt lentebb |
| IP-cím, eszközadatok | Megbecsülni a hozzávetőleges tartózkodási helyedet, testre szabni egy átverést | Közvetlenül alig van teendő |
| Privát üzenetek vagy fájlok | Zsarolni vagy megszégyeníteni, mások adatait is kitenni | Derítsd ki, mi volt bennük és kik érintettek még; a zsarolást jelentsd a rendőrségen |
Egy szó a „hash-elt” kifejezésről, mert a cégek azért használják, hogy megnyugtatóan hangozzon. A hash a jelszavad egyirányú összekeverése, és hogy mennyi védelmet ad, az az eljáráson múlik. A lassú, sózott algoritmusok, például a bcrypt vagy az Argon2 drágává teszik a találgatást, így egy ilyen módon tárolt hosszú, véletlenszerű jelszót lehet, hogy soha nem fejtenek vissza. A gyors hash-ek, például a sózatlan MD5 vagy SHA-1 óriási sebességgel támadhatók, a rövid vagy gyakori jelszavak pedig bármely eljárásnál gyorsan elesnek. Az értesítésből ritkán derül ki elég ennek megítéléséhez, ezért a jelszót így is, úgy is cseréld le.
Mit tud kezdeni valaki egyetlen kiszivárgott címmel
A „csak az e-mail-címed érintett” jó hírnek hangzik, és egy jelszószivárgáshoz képest az is. A cím nem titok, és senki nem jelentkezik be vele egyedül a fiókodba. Mégis változtat a helyzeteden néhány módon, amit érdemes megérteni.
Egy valódi szolgáltatásból származó cím arról árulkodik, hogy gazdája szokott regisztrálni dolgokra, ezért a spammereknek többet ér, mint egy kitalált cím. A listákat összeolvasztják és továbbadják, így a spam növekedése hónapokkal az incidens után indulhat, és semmi nyilvánvaló köze nem lesz hozzá.
A szivárgás azt is elárulja a bűnözőknek, hol van fiókod. Egy általános „gond van a rendelésseddel” üzenetet könnyű elhessegetni. Azt viszont sokkal nehezebb észrevenni, amelyik azt a boltot nevezi meg, amelyet tényleg használsz, ugyanabból a szivárgásból származó neveden szólít, és épp akkor érkezik, amikor a bolt a hírekben szerepel. Ez a fő gyakorlati ok arra, hogy az értesítés után több héten át résen legyél.
A címed összekötő kulcsként is működik. Tegyük fel, hogy az egyik szivárgás egy játékos felhasználónévhez köti, egy másik egy telefonszámhoz, egy harmadik egy lakóhelyhez. Aki mindhármat birtokolja, a közös címen összeillesztheti őket, és olyan profilt építhet, amelyet soha senki nem adott át egyben. Az teszi ezt lehetővé, hogy mindenhol ugyanazt a címet használod, és épp ezen tudsz változtatni.
A cím ráadásul a legtöbb bejelentkezés egyik fele, ami elvezet ahhoz a támadáshoz, amelytől a szivárgások drágává válnak.
Hogyan lesz egy szivárgásból sok
A kár gyakran nem ott keletkezik, ahol a szivárgás történt. A credential stuffing a kiszivárgott e-mail-cím és jelszó párosok automatizált kipróbálása más szolgáltatásokon. A sok szivárgásból származó párokat nagy „combo listákba” gyűjtik, és eszközök futtatják őket e-mail-szolgáltatók, webáruházak, streamingszolgáltatások, játékplatformok és felhőtárhelyek ellen. A legtöbb próbálkozás kudarcot vall. Elég sikerül ahhoz, hogy megérje, mert egy találattal árut lehet venni mentett kártyával, hűségpontokat lehet lemeríteni, spamet lehet küldeni megbízható fiókról, vagy jelszó-visszaállítást lehet indítani összekapcsolt szolgáltatásokon.
Mindez az újrahasználaton múlik. Vegyünk például valakit, aki a Harbour2019! jelszót használta a jegyoldalon, egy webáruházban és az e-mailjén is. A jegyoldali szivárgás egy jelszót és három fiókot tár fel. Ha minden oldalon külön véletlenszerű jelszava lett volna, ugyanez a szivárgás egyetlen fiókot tárt volna fel, amelyet alig használ. A kis módosítások nem sokat segítenek, mert a támadók eszközei kipróbálják az egyértelmű változatokat: az évszám cseréjét, egy számjegy hozzáadását, a felkiáltójel kicserélését.
A password spraying ennek a tükörképe. Ahelyett, hogy személyenként egy ismert jelszót próbálna ki, a támadó néhány nagyon gyakori jelszót próbál ki érvényes címek hosszú listáján. Ahhoz, hogy ez működjön, a jelszavadnak nem kellett kiszivárognia. Elég volt, ha gyakori, a címet pedig a szivárgás szolgáltatta.
Az ellopott jelszavak egy másik forrását azért érdemes megemlíteni, mert megváltoztatja a tanácsot. Az infostealer nevű kártevő a mentett jelszavakat és a bejelentkezési sütiket közvetlenül a fertőzött eszközről másolja ki, és az így ellopott naplók nagyjából úgy keringenek, mint a szivárgási adatok. Ha egy soha nem újrahasznált jelszavad kiszivárgottként bukkan fel, vagy erős jelszó és ismert szivárgás nélkül is átvették az egyik fiókodat, lehet, hogy az eszközöd a forrás. Vizsgáld át megbízható biztonsági szoftverrel, és a jelszócseréket tiszta eszközről végezd, mert egy fertőzött számítógépen jelszót cserélni az újat is kiadhatja.
A saját kitettséged ellenőrzése
Az értesítés egyetlen cégről szól. A tágabb kép megismeréséhez több forrást használj, mert egyetlen adatbázis sem fed le minden incidenst.
A Have I Been Pwned (haveibeenpwned.com), amelyet Troy Hunt biztonsági kutató működtet, a legismertebb keresőszolgáltatás. Beírsz egy címet, és kilistázza az ismert szivárgásokat, amelyekben szerepel, dátumokkal és adattípusokkal. Az értesítési funkciója e-mailt küld, ha a címed felbukkan egy újonnan betöltött szivárgásban, ezt érdemes egyszer beállítani, aztán elfelejteni. Néhány érzékenynek ítélt szivárgás el van rejtve a nyilvános keresés elől, és csak azután jelenik meg, hogy igazolod, hogy a cím a tiéd. A Mozilla Monitor hasonló keresést és értesítéseket kínál a Have I Been Pwned adataira építve, és a folyamatos értesítésekhez Mozilla-fiók kell.
Az üres találat nem jelenti azt, hogy biztonságban vagy. Sok szivárgást soha nem fedeznek fel, vagy soha nem jut el ezekhez a szolgáltatásokhoz. A hosszú lista sem jelenti azt, hogy bajban vagy, mert a régi tételek gyakran olyan jelszavakat érintenek, amelyeket rég lecseréltél. Nézd a dátumokat és az adattípusokat, és arra reagálj, ami még használatban lehet.
Az e-mailes keresésekhez csak a címed kell. A jelszavaknál nagyobb körültekintés szükséges. A Google Jelszókezelőben ott a Jelszóellenőrzés, az Apple-eszközök Jelszavak alkalmazásában van egy Biztonság rész, amely jelzi a feltört és újrahasznált jelszavakat, a külső kezelők pedig hasonló jelentéseket kínálnak, például a 1Password Watchtower funkciója vagy a Bitwarden kitett jelszavakról szóló jelentése. Ezek a mentett listádon futnak, ami egyben a leggyorsabb módja annak is, hogy megtaláld, hol használtál újra egy jelszót.
A Pwned Passwords funkció megmutatja, hogyan lehet úgy ellenőrizni, hogy a jelszó ne derüljön ki. Az eszközöd kiszámítja a jelszó SHA-1 hash-ét, és csak az első öt karaktert küldi el. A szolgáltatás visszaadja az összes, ezekkel a karakterekkel kezdődő kiszivárgott hash-t, és az eszközöd helyben összeveti a többit. A szolgáltatás sosem kapja meg sem a jelszót, sem a teljes hash-ét, ezt a módszert k-anonimitásnak hívják.
Soha ne írj be jelszót egy találomra talált weboldalon, amely felajánlja, hogy megmondja, feltörték-e. A jelszókezelődbe vagy a böngésződbe épített eszközök rendben vannak. Egy e-mailből vagy hirdetésből elért ellenőrző oldal egyszerűen jelszavakat gyűjthet.
Sokat tanulhatsz a saját leveleidből is. Keress a postaládádban a „üdvözöljük”, „e-mail-cím megerősítése”, „fiók megerősítése” és „a jelszavad megváltozott” kifejezésekre. Ami előkerül, az hozzávetőleges lista azokról a szolgáltatásokról, amelyeknél ott a címed, és ezek közül néhányat el is felejtettél. Ez a lista hasznos lesz az alábbi takarítási szakaszban.
Alapos postaládaellenőrzés
A jelszócsere nem elég, ha valaki már bent járt. Aki bejut egy postaládába, gyakran beállít valamit, ami túléli a jelszóváltoztatást, ezért keresd ezt a négy dolgot: nyitott munkamenetek, átirányítás, szűrők és helyreállítási adatok. A menüelnevezések idővel változnak, de az alábbi útvonalak közel visznek.
Gmail és Google-fiókok
A Gmail webes felületén menj a fogaskerék ikonra, majd az Az összes beállítás megtekintése pontra. A Továbbítás és POP/IMAP alatt nézd meg, nincs-e olyan továbbítási cím, amelyet nem te adtál hozzá, a Szűrők és letiltott címek alatt pedig a leveleket törlő vagy továbbító szabályokat. A beérkező levelek jobb alsó sarkában az utolsó fiókműveletnél lévő Részletek hivatkozás a legutóbbi hozzáféréseket mutatja. A Google-fiókodban a Biztonság oldal felsorolja az eszközeidet, a legutóbbi biztonsági tevékenységeket, a helyreállítási telefonszámot és e-mail-címet, valamint a külső kapcsolatokat. Jelentkeztess ki minden eszközt, és távolítsd el azt az alkalmazást, amelyet nem ismersz fel.
Outlook.com és Microsoft-fiókok
Az Outlook webes felületén nyisd meg a Beállítások pontot, majd a Levelezés részt. Nézd meg a Továbbítás és a Szabályok beállításokat. A Microsoft-fiókodban a Biztonság oldalon nézd át a bejelentkezési tevékenységet, és ellenőrizd, mely ellenőrzési módszerek és alkalmazások vannak csatlakoztatva.
Apple és iCloud Mail
iPhone-on nyisd meg a Beállítások pontot, koppints a nevedre, majd a Bejelentkezés és biztonság menüpontra, hogy átnézd a megbízható telefonszámaidat és a helyreállítási lehetőségeidet. Az alább látható eszközlista mindent megmutat, ami be van jelentkezve az Apple-fiókodba. Az iCloud Mail szabályait és átirányítását az iCloud.com Mail-beállításaiban ellenőrizheted.
Hogyan néz ki egy megbolygatott postaláda
A legegyértelműbb jel egy olyan továbbítási cím, amelyet nem te adtál hozzá, mert csendben másolatokat küld a leveleidről, köztük a jelszó-visszaállításokról, valaki másnak. Közvetlenül mögötte az a szűrő jön, amely a „biztonság”, „jelszó” vagy a bankod neve szavakat tartalmazó üzeneteket rögtön a kukába vagy az archívumba küldi. Ismeretlen elküldött üzenetek, ismeretlen helyreállítási telefonszám vagy olyan csatlakoztatott alkalmazás, amelyet soha nem engedélyeztél, mind ugyanarra utal.
Ha ezek bármelyikét megtalálod, kezeld úgy a postaládát, mintha feltörték volna. Távolítsd el a tételt, cserélj jelszót újra egy megbízható eszközről, jelentkeztess ki minden munkamenetet, majd nézd át magukat a leveleket. Keress olyan jelszó-visszaállító üzenetekre, amelyeket nem te kértél, mert megmutatják, mely más fiókokat vettek célba. Ha kizártak, a szolgáltatód fiók-helyreállítási folyamata a megfelelő út, és ehhez a szolgáltató saját súgóoldalain keresztül juss el. Az „e-mail ügyfélszolgálat telefonszám” keresési találatok ismert vadászterületei a csalóknak.
A második lépcső kiválasztása
A kétlépcsős azonosítás megállítja a credential stuffing nagy részét, mert a kiszivárgott jelszó önmagában már nem elég a belépéshez. A módszerek azonban sokban különböznek, és szivárgás után érdemes a fontos fiókjaidat feljebb vinni ebben a táblázatban, ahol lehet.
| Módszer | Mennyire áll ellen | Hol marad el |
|---|---|---|
| SMS-kódok | Sokkal jobb, mint a puszta jelszó | SIM-csere; a kódot be lehet írni egy hamis oldalon, és továbbítani |
| E-mailben küldött kódok | Gyenge a legfontosabb fiókjaidnál | Használhatatlan, ha maga a postaláda sérült, és értelmetlen a postaláda saját bejelentkezésénél |
| Hitelesítő alkalmazás (TOTP) | Jó, és nem függ a telefonszámodtól | A kódokat egy meggyőző hamis bejelentkezési oldalon még mindig ki lehet halászni; tarts biztonsági mentést arra az esetre, ha telefont cserélsz |
| Push-jóváhagyás | Jó, ha számegyeztetést kér | Számegyeztetés nélkül az ismételt kérések addig fárasztják az embert, hogy rábök a Jóváhagyásra |
| Passkey vagy hardveres biztonsági kulcs | A legtöbb embernek a legerősebb lehetőség | Egy kis beállítást igényel, valamint egy második kulcsot vagy szinkronizált eszközt tartaléknak; nem mindenhol érhető el |
A passkey-k ebben a helyzetben külön figyelmet érdemelnek. A passkey nyilvános kulcsú titkosításon alapuló hitelesítő adat, amely egyetlen weboldal domainjéhez kötött. Az oldal csak a nyilvános felét tárolja, így az ellopott felhasználói tábla semmit sem tartalmaz, amivel be lehetne lépni a nevedben. A hasonmás adathalász oldal sem kap semmit, mert az eszközöd nem ajánlja fel a hitelesítő adatot a rossz domainnek. Ha a levelezőszolgáltatód és a bankod támogatja a passkey-t, egy szivárgási értesítés jó alkalom a beállítására. Bármelyik módszert használod, mentsd el a helyreállítási kódokat, amikor felkínálják őket, a jelszókezelődben vagy papíron, otthon egy biztonságos helyen.
Ha fizetési vagy azonosító adat is érintett
Egy egyszerű e-mail-cím és jelszó szivárgás semmi ilyet nem tesz szükségessé. Ha a lista teljes kártyaszámot, bankadatokat vagy hivatalos azonosító számokat is tartalmaz, a további lépések attól függnek, hol élsz, és mit kínál a cég.
Kártyáknál hívd a kibocsátót a kártyára nyomtatott számon, és kérdezd meg, ki kell-e cserélni. Nézd át a friss kivonatokat apró próbatételek után kutatva, amelyek gyakran megelőzik a nagyobbakat. Ha a cég ingyenes személyazonosság-figyelést kínál, a cég hivatalos oldalán keresztül érheted el, és tudnod kell, hogy a figyelés csak azután jelzi a gondokat, hogy elkezdődtek.
Az Egyesült Államokban a hitelzárolás (credit freeze) a legerősebb ingyenes eszköz. A szövetségi törvény szerint a háromféle országos hitelinformációs irodánál (Equifax, Experian és TransUnion) ingyenes az aktád zárolása és feloldása, és a zárolás általában megakadályozza, hogy a nevedben új hitelt nyissanak, amíg fel nem oldod. Mindegyik irodával külön kell felvenned a kapcsolatot. A csalási figyelmeztetés (fraud alert) enyhébb megoldás, amely arra kéri a hitelezőket, hogy ellenőrizzék a személyazonosságodat, egy évig él, és ha egyetlen irodánál kéred, az továbbadja a többinek. Ha visszaéltek a személyazonosságoddal, az FTC IdentityTheft.gov oldala helyreállítási tervet és jelentést készít, amelyet bankoknál és hitelirodáknál használhatsz.
Másutt a lehetőségek mások. Az Egyesült Királyságban a hitelinformációs ügynökségeknél ellenőrizheted az aktádat, és megkérdezheted a bankodat, mit javasol, a Cifas csalásmegelőzési szolgálatnál pedig fizetős védelmi regisztráció is elérhető. Az EU-ban és sok más országban fordulj a bankodhoz, és nézd meg a nemzeti fogyasztóvédelmi vagy adatvédelmi hatóság útmutatását. Ha útlevél- vagy személyi igazolvány-szkennelés került ki, a kiállító hatóság megmondhatja, indokolt-e a csere.
A kiszivárgott telefonszámnak saját orvossága van. Kérj a mobilszolgáltatódtól fiók-PIN-t, átvitel elleni PIN-t vagy számzárat, attól függően, minek nevezi. Ezek megnehezítik a SIM-cserés csalást, amelyben a támadó rábeszéli a szolgáltatót, hogy a számodat az ő SIM-kártyájára vigye át, majd megkapja a szöveges kódjaidat. A szolgáltatók eltérő lehetőségeket kínálnak, ezért kérdezz rá közvetlenül.
Kellemetlen helyzetek
Szivárgás egy olyan oldalon, amelyet soha nem használtál
Több magyarázat is lehetséges. Valaki elírhatta a címedet, vagy szándékosan használta, az adat származhat a megnevezett cégnek dolgozó szolgáltatótól, a szivárgás lehet kinyert vagy összeolvasztott lista, vagy egyszerűen elfelejtettél egy évekkel ezelőtti fiókot. Hogy kiderítsd, használd a hivatalos oldal „elfelejtett jelszó” funkcióját. Ha jön visszaállítás, van fiók, és védheted vagy bezárhatod. Ha nem te hoztad létre, vedd fel a kapcsolatot a céggel, mert a címedhez valaki más adatai is tartozhatnak.
Régi jelszó, amelyet már nem használsz
Ez jó hír, feltéve, hogy a „már nem használod” mindenhol igaz. Az elfelejtett fiókok hajlamosak megtartani a régi jelszavakat, és az ugyanebből a mintából épített új jelszavakat is érdemes lecserélni. Ha van jelszókezelőd, keress rá benne.
Zsaroló e-mail, amely idézi a jelszavadat
Ez az átverés gyakori, és elsőre ijesztő. A feladó bizonyítékként idézi egy valódi régi jelszavadat, azt állítja, hogy a webkameráddal felvett, és kriptovalutát követel. Tipikus esetben a jelszó egy szivárgási listáról származik, és nincs felvétel. Ne fizess, és ne válaszolj. Cseréld le a jelszót mindenhol, ahol még használod, jelentsd az üzenetet, és tiltsd le a feladót. Ha az üzenet valódi privát anyagot vagy olyan fenyegetést tartalmaz, amelyet komolyan veszel, őrizz meg egy másolatot, és fordulj a rendőrséghez.
A munkahelyi címed is benne volt a szivárgásban
Szólj az IT- vagy biztonsági csapatnak, még ha jelentéktelennek is érzed. Lehet, hogy ellenőrizni akarják az újrahasználatot a cég rendszereivel szemben, jelszavakat állítanak vissza, vagy figyelik a célzott adathalászatot. Mielőtt munkahelyi címmel figyelőszolgáltatásra iratkoznál fel, nézd meg a munkáltatód szabályzatát, és a személyes fiókjaidat a jövőben tartsd személyes címen.
Egy szülő vagy rokon kapta az értesítést
Menj végig vele ugyanezen a sorrenden, a fő postaládájára és az újrahasznált jelszavakra koncentrálva. Az idősebb rokonok gyakori célpontjai a szivárgásra hivatkozó utólagos hívásoknak, ezért hasznos szabály, amiben megegyezhettek: egyetlen valódi cég sem kéri, hogy felolvasson egy kódot. Ha egy hívó mást állít, letehetik, és visszahívhatják egy bankkártyán vagy kivonaton szereplő számot.
Egyezségről vagy kártérítésről szóló üzenet
Nagy szivárgások után kaphatsz csoportos perekről vagy kártérítési programokról szóló üzeneteket. Némelyik valódi, némelyik utánzat, amelyet bankadatok gyűjtésére építettek. Mielőtt bármit kitöltesz, ellenőrizd az egyezséget egy hivatalos bírósági, hatósági vagy céges oldalon. Ne fizess díjat a kártérítés megkapásáért.
A következő hetekben
Amikor a sürgős rész véget ért, a szivárgás jó ürügy arra, hogy kijavítsd, ami veszélyessé tette. Mindezt nem kell egy ültő helyedben megcsinálni.
Ha nincs jelszókezelőd, kezdd azzal. Minden oldalhoz véletlenszerű jelszót generál, és hasonmás domainen nem hajlandó kitölteni, ami egy kis adathalászat elleni védelmet is ad. Válassz ismert terméket, védd hosszú jelmondattal és második lépcsővel, és a legfontosabb fiókjaidat vidd át először. A többi jöhet, ahogy bejelentkezel hozzájuk. A NIST digitális identitásról szóló irányelvei azt javasolják, hogy ne kényszerítsünk rendszeres jelszócserét önmagáért, hanem ellenőrizzük a jelszavakat ismert szivárgások ellen, így nem kell mindent ütemezve cserélned. Azt cseréld, ami kitett, gyenge vagy újrahasznált.
Aztán menj végig az elfelejtett fiókok listáján, amelyet a postaládás kereséssel gyűjtöttél. Minden szunnyadó fiók tárolt adat, amely a következő incidensre vár. Jelentkezz be, töröld a profilból, amit lehet, töröld a mentett kártyát, és zárd be a fiókot. Ahol nincs törlés gomb, írj az oldal adatvédelmi tájékoztatójában megadott adatvédelmi kapcsolattartónak. A GDPR és néhány más törvény, köztük a kaliforniai alapján sok embernek joga van a törlést kérni, bár a cég megtarthatja azokat a nyilvántartásokat, amelyek megőrzésére kötelezett, és ezek a jogok attól függnek, hol élsz.
A biztonsági kérdések következnek. Az „anyád leánykori neve” és az „első iskolád” gyakran kideríthető szivárgási adatokból vagy közösségi médiából. Ahol az oldal kényszerít a használatukra, adj véletlenszerű választ, és mentsd el a jelszókezelődbe, mintha jelszó lenne.
Végül maradj még egy ideig figyelmes. A kiszivárgott adatok évekig keringenek, és a célzott adathalászat gyakran jóval azután jön, hogy a hírek elcsendesedtek. Hagyd bekapcsolva a szivárgási értesítéseket, néhány havonta nézd át a jelszókezelőd jelentését, és lassan bízz meg minden üzenetben, amely a megtámadott szolgáltatást említi.
A következő szivárgás kisebbé tétele
Egy cég biztonságát nem te irányítod. Azt viszont te szabályozod, mennyit tárol rólad, és mennyire terjedhet egy szivárgás abból az egy rekordból. A cél az, hogy minden jövőbeli értesítés gyors jelszóellenőrzést jelentsen, és semmi többet.
Oszd szét a címeidet bizalom szerint
A leghasznosabb változtatás, hogy abbahagyod, hogy mindenkinek ugyanazt a címet add. Egy egyszerű, háromszintű rendszer a legtöbb embernek megfelel, és a személyes e-mail-stratégia kialakításáról szóló cikkünk lépésről lépésre végigvezet rajta.
| Szint | Mire használd | A cím típusa | Mibe kerül egy szivárgás |
|---|---|---|---|
| Fő | Bank, hatóságok, egészségügy, munka, jelszókezelő, fő közösségi fiókok | Hosszú távú cím erős bejelentkezési védelemmel, ritkán megosztva | Súlyos, de ez a szint ritkán szivároghat ki, mert kevés cég tárolja |
| Mindennapi | Webáruházak, előfizetések, évekig megtartott szolgáltatások | Második postaláda, vagy a postaládádra továbbító aliasok | Korlátozott; egyetlen aliast kikapcsolhatsz vagy szűrhetsz |
| Egyszeri | Egyetlen letöltés, egy űrlap, amelyet soha többé nem használsz, a saját regisztrációs oldalad tesztelése | Ideiglenes postaláda, ha az oldal feltételei megengedik | Kicsi; a cím nem kötődik a nevedhez, a postaláda pedig megszűnt |
A plusz címzés, például a name+shop@example.com, valahol középen helyezkedik el. Gmailen és Outlook.com-on működik, és megmutathatja, ki szivárogtatta ki vagy adta el a címedet. Nem rejt el semmit, mert bárki törölheti a címkét és láthatja az alapcímet, a támadók eszközei pedig pontosan ezt teszik. A továbbító aliasok, például az iCloud+, a Proton vagy a Firefox Relay szolgáltatásai rendesen elrejtik a valódi címet, mert az aliasban semmi sem mutat vissza rá. A vásárlás itt külön megfontolást érdemel, mert a boltok adatbázisaiban együtt van a cím, a telefonszám és a lakcím. A vásárlási e-mail adatvédelemről szóló útmutatónk ezt az esetet tárgyalja, beleértve azt is, hogyan őrizd meg a nyugtáidat.
Hol segít az ideiglenes postaláda
Az ideiglenes postaláda egyetlen műveletre való olyan oldalon, amelyhez nincs tartós kapcsolatod, a magánszféra védelmében, és ahol az oldal feltételei megengedik. A VookMail egy ilyen szolgáltatás: a cím az oldal betöltésekor kész, regisztráció és jelszó nélkül. Az Új gombbal megadhatsz egy felhasználónevet és kiválaszthatsz egyet a több mint 30 domain közül, vagy a sárga Véletlen gombbal véletlenszerű címet kaphatsz. Az üzenetek, mellékletek és címek nagyjából egy nap után törlődnek.
Ez a rövid élettartam korlátozza a jövőbeli szivárgást. Ha egy oldal, amelyet egyszer látogattál, később kiszivárogtatja a felhasználói tábláját, a táblában szereplő cím egy olyan postaládához vezet, amely már nem tartalmaz semmit, és nem kapcsolódik a nevedhez, telefonszámodhoz vagy fő postaládádhoz. Az ott létrehozott jelszó még számít, ezért legyen egyedi. A profilban megadott adatok szintén kiszivárognak, ami jó ok arra, hogy csak azt töltsd ki, amit az űrlap megkövetel.
A korlátok ugyanilyen egyértelműek. Aki ismeri vagy kitalálja az ideiglenes címet, megnyithatja az adott postaládát, ezért a véletlenszerű cím a biztonságosabb választás, és semmi privát nem való oda. Hetekkel később nem fogsz megbízhatóan jelszó-visszaállítást kapni, így rossz eszköz minden olyan fiókhoz, amelyre még szükséged lehet, és soha nem szabad bankhoz, hatóságokhoz, egészségügyhöz, munkához vagy fő közösségi fiókokhoz használni. Egyes oldalak elutasítják az eldobható domaineket. Ez az ő döntésük, és a helyes válasz az, hogy tiszteletben tartod, és állandó címet vagy aliast adsz nekik. A felhasználási feltételeink azt is tiltják, hogy a szolgáltatást csalásra, visszaélésre vagy tiltás kijátszására használd.
Adj ki eleve kevesebbet
A kár azon múlik, mit tároltak. Hagyd üresen a nem kötelező mezőket. Ne mentsd el a kártyádat egy ritkán használt oldalon. Légy óvatos a „Bejelentkezés ezzel” gombokkal olyan szolgáltatásoknál, amelyekben nem bízol teljesen, és nézd meg, milyen profilhozzáférést kérnek. Ne add meg a telefonszámodat, hacsak az oldalnak tényleg nem kell biztonsági okból. A születési dátum, amelyet az oldal csak születésnapi kuponhoz kér, olyan adat, amelyet egyszerűen megtarthatsz magadnak, ha az űrlap megengedi.
Két különböző hely őrzi az adataidat
Segít szétválasztani két incidenstípust, amelyeket gyakran összemosnak. Ha egy szolgáltatást feltörnek, a támadó azt kapja, amit az a szolgáltatás tárolt: a címedet, a profilodat és minden mást, ami az adatbázisában volt. Ha a postaládádat törik fel, a támadó mást kap, nevezetesen minden megőrzött üzenetedet, a régi nyugtákat, jelszó-visszaállító linkeket, beszkennelt dokumentumokat és privát beszélgetéseket is.
A második általában rosszabb, és ezért küld vissza ez az útmutató újra és újra a postaládához. Egy szerény szokásra is utal: nem kell tíz évnyi kis értékű levélnek a fő fiókodban ülnie. A régi szállítási értesítések és hírlevelek törlése csökkenti, mit tárhat fel egy postaláda-feltörés, a fontos dokumentumok biztonságos, saját védelemmel ellátott helyre mentése pedig keveset kóstál.
Az ideiglenes postaládák ennek a gondolatnak a másik végén állnak. A VookMailen minden domain MX-rekordja egy levélkézbesítő szolgáltatóra mutat, amely SMTP-n fogadja az üzenetet, és HTTPS-en továbbítja a szolgáltatásnak. Mivel az üzenetek és mellékletek nagyjából egy nap után törlődnek, nem épül fel hosszú archívum. Hogy a szolgáltatás hogyan kezeli az adatokat, azt az adatvédelmi tájékoztató és a módszertani oldal magyarázza.
Hogyan történt maga a szivárgás, és miért számít neked
A cégek nem mindig magyarázzák el részletesen az okot, de amikor igen, abból kiderülhet, mire számíts.
- Az adatbázis feltörése, például SQL-injekció vagy egy befoltozatlan szerver hibáján át, általában azt jelenti, hogy a felhasználói táblát tömegesen lemásolták. Számíts címekre és jelszó-hash-ekre, és feltételezd, hogy az adatokkal kereskedni fognak.
- A rosszul beállított tárhely azt jelenti, hogy egy adatbázis vagy felhős tároló nyitva maradt az internet felé. Lehet, hogy senki nem „hackelt” semmit, és a cég nem tudja, ki töltötte le, így az őszinte válasz arra, hogy „elvitték-e az adataimat?”, az lehet, hogy „nem tudjuk megmondani”.
- A szolgáltatói incidens azt jelenti, hogy egy marketingplatformot, ügyfélszolgálati rendszert vagy analitikai eszközt törtek fel. Ez magyarázza az ismeretlen nevektől érkező értesítéseket, és általában elérhetőségi adatokat és ügyfélszolgálati jegyeket tár fel, nem jelszavakat. Minden, amit egy ügyfélszolgálati jegyben írtál, benne lehet, ezért gondold végig, mit küldtél nekik.
- A scraping nyilvános vagy félig nyilvános profiladatokat gyűjt nagy léptékben egy oldalon vagy API-n keresztül. A cégek néha azzal érvelnek, hogy ez nem szivárgás, de a címed ettől még egy forgalmazott adathalmazba kerül.
- A belső visszaélés azt jelenti, hogy egy alkalmazott vagy vállalkozó olyan adatot exportált, amelyhez nem lett volna szabad. Gyakran célzott, ezért a szokatlan, személyes utólagos üzenetek fokozott gyanút érdemelnek.
Hibák, amelyeket könnyű elkövetni nyomás alatt
A leggyakoribb, hogy csak a megtámadott oldal jelszavát cseréled le, és ugyanaz marad az e-mailedén és a webáruházi fiókjaidon. Szorosan mögötte van a régi jelszó apró módosítása. A Summer2024!-ról a Summer2025!-ra váltás szinte semmi pluszmunkát nem jelent egy feltörő eszköznek.
Az emberek hajlamosak egyetlen változtatásnál megállni is. Kihagyják az átirányítási szabályokat, ami által az, aki a jelszócsere előtt bent volt, utána is megkapja a leveleket. Ha SMS-kódokra támaszkodsz, miközben elérhető hitelesítő alkalmazás vagy passkey, az lyukat hagy a kritikus fiókokon, bár az SMS még mindig jobb a semminél, ahol az az egyetlen választás.
Aztán ott a fordított hiba: minden értesítést vészhelyzetként kezelni. Ha csak a címed szivárgott ki egy olyan fiókból, amelyet egyszerűen bezárhatsz, nem kell lecserélned az e-mail-címedet, és nem kell fizetned figyelőtermékért csak azért, mert egy ijesztő hirdetés felbukkant. Tartogasd az erődet azokra az esetekre, amikor jelszó, kártya vagy azonosító szám volt érintett.
Kérdések, amelyek egy értesítés után felmerülnek
Töröljem az e-mail-fiókomat?
Általában nem. A fő címed évek jelszó-visszaállításaihoz és kapcsolataihoz kötődik, és az elhagyása saját kockázatokat teremt, mert egy elfelejtett fiókot nehéz lehet visszaszerezni. Inkább védd meg, és ne add alacsony bizalmú oldalaknak. Új cím csak akkor indokolt, ha a régi menthetetlenül kitett, és akkor is fokozatosan költöztesd át a fiókjaidat, a régit pedig tartsd egy ideig nyitva.
A cég szerint a jelszavak titkosítva voltak. Akkor is cseréljem le a magamét?
Igen. A módszer ismerete nélkül, és anélkül, hogy tudnád, a kulcsokat is elvitték-e, nem ítélheted meg a védelmet, a jelszócsere pedig kevesebb időbe telik, mint kideríteni. Cseréld le mindenhol máshol is, ahol használtad.
Megakadályozhat egy ideiglenes cím egy szivárgást?
Nincs olyan eszköz, amely megakadályozza, hogy egy céget feltörjenek. Az ideiglenes cím azt változtatja meg, mit árul el a szivárgás rólad. Ha egy fórum, amelyhez így csatlakoztál, kiszivárogtatja a felhasználói tábláját, a kiszivárgott címnek nincs köze a személyazonosságodhoz, feltéve, hogy semmi mást nem adtál meg, ami azonosít.
Milyen gyakran ellenőrizzek?
Kapcsold be az értesítéseket, hogy az ellenőrzés nélküled megtörténjen. Elég néhány havonta kézzel megnézni a jelszókezelőd jelentését, plusz egyszer, amikor egy általad használt szolgáltatás a hírekben szerepel.
Segít, ha fizetek a dark web figyeléséért?
Attól függ, mit veszel. Ezek a termékek többnyire azt jelentik, hogy az adataid felbukkantak valahol, amit nagyrészt ingyen is megtudhatsz a fenti keresőszolgáltatásokból. A személyazonosság-biztosítás vagy helyreállítási segítség hasznos lehet, ha a hivatalos azonosító adataid kitettek, ezért fizetés előtt olvasd el, mit fed le valójában a csomag.
Kinek jelentsem ezt?
Egy cég szivárgását általában nem kell jelentened, mert a cégnek saját kötelezettségei vannak a hatóságok felé. Jelentsd, ha pénzt vesztettél vagy zsarolnak: először a bankodnak, aztán a rendőrségnek vagy a nemzeti csalásbejelentő szolgálatnak. Az EU-ban és az Egyesült Királyságban panaszt tehetsz az adatvédelmi hatóságnál, ha egy cég rosszul kezeli az incidenst, vagy figyelmen kívül hagyja a kéréseidet.
Ha többet szeretnél tudni arról, hogyan működnek az ideiglenes postaládák és mennyi ideig őrződnek meg az üzenetek, nézd meg a VookMail GYIK-ot.