La oss si at det er en hverdagskveld, og det kommer en melding fra et billettsalg du sist brukte for tre år siden. Emnefeltet lyder «Viktig: dataene dine kan ha blitt eksponert». Du husker knapt kontoen, du aner ikke hvilket passord du ga dem, og meldingen har en stor knapp med teksten «Sikre kontoen min». Den neste timen betyr mer enn resten av uken, og det første du gjør i den, er å la knappen være i fred.
Kort sagt: bekreft varselet ved å gå til selskapets nettside selv, finn ut hvilke typer data som ble tatt, sikre hovedpostkassen før alt annet, bytt deretter det lekkede passordet overalt der du brukte det, og slå på tofaktorautentisering eller en passnøkkel. En datalekkasje på e-post betyr at et selskap som hadde adressen din, mistet kontrollen over den, som regel sammen med andre opplysninger. Du kan ikke angre lekkasjen. Du kan sørge for at den blir et irritasjonsmoment og ikke utvikler seg til en stjålet konto.
Den første timen, i riktig rekkefølge
Rekkefølgen under bygger på én tanke: postkassen din kan tilbakestille nesten alle andre passord du har, så den beskyttes før kontoen som faktisk ble hacket. Tidene er omtrentlige. Hvis passord ikke var en del av lekkasjen, kan du hoppe over trinn 4 og 5 og være ferdig på femten minutter.
- Ikke bruk noe i meldingen (de første 2 minuttene). Ingen lenker, ingen vedlegg, ingen telefonnumre fra varselet. Falske varsler om datalekkasje er en vanlig oppfølging av ekte lekkasjer, og et ekte varsel taper ingenting på at du ignorerer knappen.
- Bekreft det uavhengig (de neste 5 minuttene). Skriv inn selskapets adresse i nettleseren eller bruk et gammelt bokmerke, og se etter en sikkerhetsmelding eller et banner. Søk på selskapets navn sammen med ordet «datalekkasje» og se om seriøse nyhetskilder eller selskapet selv melder om det.
- Les hva som ble tatt (de neste 5 minuttene). Varselet, selskapets uttalelse eller en søketjeneste vil liste opp datatyper. Passord, kortdata og identitetsdokumenter fører hver til sitt arbeid, og tabellen lenger ned kartlegger dem.
- Sikre hovedpostkassen (de neste 15 minuttene). Gi den et langt passord som ikke brukes noe annet sted, logg ut andre økter, slå på tofaktorautentisering eller en passnøkkel, og sjekk videresendingsregler og gjenopprettingsopplysninger. Trinnene for Gmail, Outlook og iCloud står i postkasseavsnittet lenger ned.
- Ta deg av det lekkede passordet (de neste 20 minuttene). Bytt det på det hackede nettstedet, via nettstedets egen påloggingsside. Tenk deretter gjennom hvor ellers du brukte det eller noe som ligner, og bytt også disse, med start i nettbank, mobiloperatør, skylagring og alle butikker som har et lagret kort.
- Skriv ned hva du gjorde (de siste 5 minuttene). Noter selskapet, datoen, hvilke data det gjaldt og hvilke passord du byttet. Hvis noe merkelig skjer om tre måneder, forteller notatet deg om de to tingene henger sammen.
Hvis du går tom for tid eller krefter, stopp etter trinn 4. En beskyttet postkasse holder de fleste mulighetene åpne, fordi en angriper som ikke kan lese e-posten din, får det mye vanskeligere å tilbakestille noe annet.
Er varselet ekte?
Selskaper sender slike meldinger, og mange steder må de. Etter artikkel 34 i EUs GDPR må en organisasjon uten unødig opphold varsle de berørte når en lekkasje sannsynligvis medfører høy risiko for dem, og hver enkelt delstat i USA har sin egen lov om varsling ved datalekkasje, med egne utløsende vilkår. Reglene varierer, og derfor kan du høre fra ett selskap i løpet av dager og fra et annet måneder senere, eller aldri. Oversikten vår over personvernlover for e-post går dypere inn på den juridiske siden.
Kriminelle vet at folk venter slike meldinger. Her er et oppdiktet eksempel på et falskt varsel du bør se opp for:
Eksempel på et falskt varsel (oppdiktet, kun for illustrasjon):
Emne: HASTER: sikkerhetshendelse på kontoen din
Kjære kunde, passordet ditt ble eksponert i en nylig hendelse. Kontoen din stenges innen 12 timer med mindre du bekrefter ditt nåværende passord og kortnummer med den sikre knappen under.
Tre ting avslører dette. Det setter en frist målt i timer, det ber om ditt nåværende passord, og det vil ha et kortnummer, noe ingen ekte tilbakestillingsprosess trenger. Et ekte varsel forklarer hva som skjedde og ber deg bytte passord på nettstedet. Veiledningen vår om å oppdage phishing-e-poster tar for seg mange flere signaler, men sammenligningene her dekker de som gjelder datalekkasjer.
| Hva du bør se på | Et ekte varsel pleier å | Et falskt varsel pleier å |
|---|---|---|
| Instruksjoner | Foreslå at du bytter passord på nettstedet, eller si at en tilbakestilling er tvunget gjennom | Sende deg via en knapp til en påloggingsside |
| Detaljer | Navngi hendelsen, omtrentlige datoer og datatyper | Være vagt om hva som skjedde |
| Forespørsler | Ikke be om noe sensitivt på e-post | Be om passord, kortnummer eller en kode sendt til telefonen din |
| Vedlegg | Sjelden ha noen | Inneholde en «rapport» som ZIP, et dokument med makro eller en fil som report.pdf.exe |
| Offentlig spor | Stemme med en uttalelse på selskapets nettside | Ikke ha noe offentlig spor i det hele tatt |
| Tilbud | Kan tilby identitetsovervåking via en navngitt leverandør, med en kode du bruker på leverandørens nettsted | Kreve et gebyr, eller be om bankopplysninger for å betale deg erstatning |
En melding kan også bestå alle tekniske kontroller og likevel være uønsket. I Gmail har tremenyen Vis original, som viser resultatene for SPF, DKIM og DMARC. Et dmarc=fail på en melding som utgir seg for å komme fra et stort selskap, er en sterk advarsel. En godkjent kontroll forteller bare at e-posten kom fra domenet som vises, og det domenet kan være et etterlignet navn registrert forrige uke.
Varsler kommer noen ganger fra et navn du ikke kjenner igjen, fordi hendelsen skjedde hos en leverandør: en kundeservice, en markedsføringsplattform eller en betalingsformidler som jobber for et selskap du kjenner. Da bør du lete etter bekreftelse fra selskapet du kjenner. Finner du ingenting, kan du skrive til kundestøtten via selskapets egen kontaktside og spørre.
Les listen over data: den bestemmer hvor mye du må gjøre
E-postadressen er nesten aldri alene. Om dette koster deg ti minutter eller en hel ettermiddag, avhenger av hva som lå ved siden av i den stjålne tabellen. La oss si at billettsalget i eksempelet vårt melder om «navn, e-postadresser og hashede passord». Da havner du i den tredje raden under, med noe av arbeidet fra den andre raden.
| Lekket sammen med adressen din | Hva noen kan gjøre med det | Hva du bør gjøre |
|---|---|---|
| Ingenting annet | Sende spam og målrettet phishing, koble sammen opplysningene dine på tvers av lekkasjer, teste for gjenbrukte passord andre steder | Vær på vakt mot meldinger som nevner den tjenesten; vurder å flytte kontoen til en annen adresse |
| Passord i klartekst | Logge rett inn på det nettstedet og prøve det samme paret på andre | Bytt det overalt der det ble brukt, i dag |
| Hashet passord | Prøve å knekke det offline; svake og vanlige passord faller først | Behandle det som om det var klartekst |
| Navn, telefonnummer, hjemmeadresse | Skrive overbevisende meldinger, ringe svindelsamtaler, forsøke SIM-bytte | Legg til en PIN eller portutlåsing hos operatøren; vær forsiktig med uventede anrop og tekstmeldinger |
| Fødselsdato, sikkerhetssvar | Misbruke kontogjenoppretting, komme forbi svake identitetskontroller | Bytt sikkerhetssvar med tilfeldige svar lagret i en passordbehandler |
| Delvis kortdata | Gjøre svindel mer troverdig («vi ser kortet ditt som slutter på 1234») | Følg med på kontoutskrifter; en som ringer og kan disse sifrene, har ikke bevist noe |
| Fullt kortnummer | Forsøke svindelkjøp | Ring kortutstederen på nummeret som står på kortet og be om et nytt |
| Offentlige ID-numre | Forsøke identitetssvindel | Følg veiledningen fra myndighetene i landet ditt; se avsnittet om identitetsdata lenger ned |
| IP-adresse, enhetsdetaljer | Anslå omtrentlig posisjon, skreddersy en svindel | Lite å gjøre direkte |
| Private meldinger eller filer | Utpresse eller flaue ut, eksponere andres data | Finn ut hva som lå i dem og hvem andre som er berørt; meld utpressing til politiet |
Et ord om «hashet», siden selskaper bruker det for å høres betryggende ut. En hash er en enveis omskriving av passordet ditt, og hvor mye beskyttelse den gir, avhenger av metoden. Langsomme algoritmer med salt, som bcrypt eller Argon2, gjør gjetting dyrt, så et langt tilfeldig passord lagret slik blir kanskje aldri gjenopprettet. Raske hasher som MD5 eller SHA-1 uten salt kan angripes i enorm fart, og korte eller vanlige passord faller raskt uansett metode. Et varsel sier sjelden nok til at du kan vurdere dette, så bytt passordet uansett.
Hva en lekket adresse alene kan føre til
«Bare e-postadressen din ble berørt» høres ut som gode nyheter, og sammenlignet med et passordlekkasje er det det. En adresse er ikke en hemmelighet, og ingen logger inn på kontoen din med den alene. Likevel endrer den situasjonen din på noen måter som er verdt å forstå.
En adresse fra en ekte tjeneste er kjent for å tilhøre noen som registrerer seg for ting, og det gjør den mer verdt for spammere enn en gjettet adresse. Lister slås sammen og selges videre, så en økning i spam kan begynne måneder etter hendelsen og trenger ikke ha noen åpenbar sammenheng med den.
Lekkasjen forteller også kriminelle hvor du har en konto. En generell melding om «problem med bestillingen din» er lett å avfeie. En som nevner butikken du faktisk bruker, hilser med navnet fra den samme lekkasjen og kommer mens butikken er i nyhetene, er mye vanskeligere å avsløre. Dette er den viktigste praktiske grunnen til å være på vakt i flere uker etter et varsel.
Adressen din fungerer også som en nøkkel for sammenkobling. Anta at én lekkasje knytter den til et spillbrukernavn, en annen til et telefonnummer og en tredje til en hjemby. Den som har alle tre, kan stille dem opp mot den delte adressen og bygge en profil som aldri ble levert samlet av noen. Å bruke samme adresse overalt er det som gjør dette mulig, og det er også den delen du kan endre.
Og en adresse er halvparten av de fleste påloggingene, noe som leder til angrepet som gjør lekkasjer dyre.
Slik blir én lekkasje til mange
Selskapet som ble hacket, er ofte ikke stedet der skaden skjer. Credential stuffing er automatisert testing av lekkede par med e-post og passord mot andre tjenester. Par fra mange lekkasjer settes sammen til store «kombinasjonslister», og verktøy kjører dem mot e-postleverandører, butikker, strømmetjenester, spillplattformer og skylagring. De fleste forsøkene mislykkes. Nok lykkes til at det lønner seg, fordi et treff kan brukes til å kjøpe varer med et lagret kort, tømme bonuspoeng, sende spam fra en pålitelig konto eller starte tilbakestilling av passord på koblede tjenester.
Alt dette bygger på gjenbruk. Ta for eksempel en som brukte Harbour2019! hos billettsalget, i en butikk og på e-posten sin. Lekkasjen hos billettsalget eksponerer ett passord og tre kontoer. Hadde hvert nettsted hatt sitt eget tilfeldige passord, ville den samme lekkasjen eksponert én konto som personen knapt bruker. Små endringer hjelper lite, fordi angripernes verktøy prøver åpenbare varianter: å endre året, legge til et siffer, bytte ut utropstegnet.
Password spraying er det motsatte. I stedet for å teste ett kjent passord per person prøver en angriper noen få svært vanlige passord mot en lang liste med gyldige adresser. Passordet ditt trengte ikke å lekke for at dette skulle virke. Det måtte bare være vanlig, og lekkasjen leverte adressen.
En annen kilde til stjålne passord fortjener omtale fordi den endrer rådet. Skadevare kjent som infostealer kopierer lagrede passord og påloggingsinformasjonskapsler rett fra en infisert enhet, og de stjålne loggene sirkulerer omtrent som lekkasjedata. Hvis et passord du aldri gjenbrukte, dukker opp som eksponert, eller en konto blir overtatt til tross for et sterkt passord og ingen kjent lekkasje, kan enheten din være kilden. Skann den med seriøs sikkerhetsprogramvare og bytt passord fra en ren enhet, for å bytte passord på en infisert datamaskin kan gi fra seg det nye også.
Slik sjekker du din egen eksponering
Et varsel forteller deg om ett selskap. For å se det større bildet bør du bruke flere kilder, siden ingen database dekker alle hendelser.
Have I Been Pwned (haveibeenpwned.com), drevet av sikkerhetsforskeren Troy Hunt, er den best kjente søketjenesten. Skriv inn en adresse, så lister den kjente lekkasjer som inneholder den, med datoer og datatyper. Varslingsfunksjonen sender deg e-post når adressen din dukker opp i en nylig lastet lekkasje, noe det er verdt å sette opp én gang og så glemme. Noen lekkasjer som anses som sensitive, skjules fra offentlig søk og vises først etter at du har bevist at du eier adressen. Mozilla Monitor tilbyr et lignende oppslag og lignende varsler basert på data fra Have I Been Pwned, og trenger en Mozilla-konto for løpende varsler.
Et tomt resultat betyr ikke at du er trygg. Mange lekkasjer oppdages aldri eller når aldri disse tjenestene. En lang liste betyr heller ikke at du er i trøbbel, for gamle oppføringer gjelder ofte passord du for lengst har byttet. Se på datoene og datatypene, og handle på alt som fortsatt kan være i bruk.
Oppslag på e-post trenger bare adressen din. Passord krever mer forsiktighet. Google Passordbehandling har Password Checkup, Passwords-appen på Apple-enheter har en Sikkerhet-seksjon som flagger kompromitterte og gjenbrukte passord, og tredjepartsbehandlere har lignende rapporter, som Watchtower i 1Password og rapporten om eksponerte passord i Bitwarden. Disse kjører mot den lagrede listen din, som også er den raskeste måten å finne ut hvor et passord ble gjenbrukt.
Funksjonen Pwned Passwords viser hvordan en sjekk kan unngå å avsløre passordet. Enheten din regner ut en SHA-1-hash av passordet og sender bare de fem første tegnene. Tjenesten returnerer alle lekkede hasher som begynner med disse tegnene, og enheten din sammenligner resten lokalt. Tjenesten får aldri passordet eller engang hele hashen, en metode som kalles k-anonymitet.
Skriv aldri et passord inn på et tilfeldig nettsted som tilbyr å fortelle deg om det er hacket. Verktøy som er innebygd i passordbehandleren eller nettleseren din, er greit. En sjekkside du kom til fra en e-post eller en annonse, kan rett og slett samle inn passord.
Du kan også lære mye av din egen e-post. Søk i postkassen etter «welcome», «verify your email», «confirm your account» og «your password has been changed», eller de norske variantene. Det du får opp, er en grov liste over tjenestene som har adressen din, og noen av dem har du glemt. Den listen blir nyttig i opprydningsavsnittet lenger ned.
En grundig gjennomgang av postkassen
Det er ikke nok å bytte passord hvis noen allerede har vært inne. Den som kommer seg inn i en postkasse, setter ofte opp noe som overlever passordbyttet, så se etter disse fire tingene: åpne økter, videresending, filtre og gjenopprettingsopplysninger. Menynavn endrer seg over tid, men stiene under skal få deg et godt stykke på vei.
Gmail og Google-kontoer
I Gmail på nettet går du til tannhjulsikonet og deretter Se alle innstillinger. Sjekk Videresending og POP/IMAP for videresendingsadresser du ikke la til selv, og Filtre og blokkerte adresser for regler som sletter eller videresender e-post. Nederst til høyre i innboksen viser lenken Detaljer under siste kontoaktivitet nylig tilgang. På Google-kontoen din viser siden Sikkerhet enhetene dine, nylig sikkerhetsaktivitet, gjenopprettingstelefon og -e-post og tilkoblinger fra tredjeparter. Logg ut alle enheter og fjern alle apper du ikke kjenner igjen.
Outlook.com og Microsoft-kontoer
I Outlook på nettet åpner du Innstillinger og deretter E-post. Sjekk Videresending og Regler. På Microsoft-kontoen din går du til Sikkerhet for å gå gjennom påloggingsaktivitet og sjekke hvilke bekreftelsesmetoder og apper som er koblet til.
Apple og iCloud Mail
På en iPhone åpner du Innstillinger, trykker på navnet ditt og deretter Pålogging og sikkerhet for å gå gjennom pålitelige telefonnumre og gjenopprettingsvalg. Enhetslisten lenger ned viser alt som er logget på Apple-kontoen din. Regler og videresending for iCloud Mail kan du sjekke fra Mail-innstillingene på iCloud.com.
Slik ser en tuklet postkasse ut
En videresendingsadresse du ikke la til selv, er det tydeligste tegnet, siden den i det stille sender kopier av e-posten din, inkludert tilbakestilling av passord, til noen andre. Like bak kommer et filter som sender meldinger med ord som «sikkerhet», «passord» eller navnet på banken din rett i søppelkurven eller arkivet. Ukjente sendte meldinger, et ukjent gjenopprettingsnummer eller en tilkoblet app du aldri godkjente, peker alle i samme retning.
Finner du noe av dette, behandler du postkassen som kompromittert. Fjern det, bytt passordet igjen fra en enhet du stoler på, logg ut alle økter, og se deretter gjennom selve e-posten. Søk etter meldinger om tilbakestilling av passord som du ikke ba om, siden de viser hvilke andre kontoer som var mål. Leverandørens prosess for kontogjenoppretting er riktig vei hvis du er blitt låst ute, og du bør komme dit via leverandørens egne hjelpesider. Søkeresultater for «telefonnummer til e-postkundestøtte» er et kjent jaktområde for svindlere.
Valg av andre faktor
Tofaktorautentisering stopper det meste av credential stuffing, fordi det lekkede passordet alene ikke lenger slipper noen inn. Metodene er likevel svært ulike, og etter en lekkasje er det fornuftig å flytte de viktige kontoene dine oppover i denne tabellen der du kan.
| Metode | Hvor godt den holder | Hvor den svikter |
|---|---|---|
| Koder på tekstmelding | Langt bedre enn passord alene | SIM-bytte; koder kan skrives inn på et falskt nettsted og sendes videre |
| Koder sendt på e-post | Svak på de viktigste kontoene dine | Verdiløs hvis selve postkassen er kompromittert, og meningsløs på postkassens egen pålogging |
| Autentiseringsapp (TOTP) | God, og avhenger ikke av telefonnummeret ditt | Koder kan fortsatt fiskes ut på en overbevisende falsk påloggingsside; ha sikkerhetskopier for når du bytter telefon |
| Push-godkjenning | God når den ber deg matche et tall | Uten tallmatching kan gjentatte forespørsler slite en person ut slik at vedkommende trykker Godkjenn |
| Passnøkkel eller maskinvare-sikkerhetsnøkkel | Sterkeste valget for de fleste | Krever litt oppsett og en ekstra nøkkel eller en synkronisert enhet som sikkerhetskopi; tilbys ikke overalt |
Passnøkler fortjener ekstra oppmerksomhet i denne sammenhengen. En passnøkkel er en legitimasjon basert på offentlig nøkkel-kryptografi og knyttet til domenet til ett enkelt nettsted. Nettstedet lagrer bare den offentlige halvdelen, så en stjålet brukertabell inneholder ingenting som kan logge inn som deg. Et etterlignet phishing-nettsted får heller ingenting, fordi enheten din ikke vil tilby legitimasjonen til feil domene. Hvis e-postleverandøren og banken din støtter passnøkler, er et varsel om datalekkasje et godt tidspunkt å sette opp en. Uansett hvilken metode du bruker, lagre gjenopprettingskodene når de tilbys, i passordbehandleren eller på papir et trygt sted hjemme.
Når betalings- eller identitetsdata er involvert
En vanlig lekkasje av e-post og passord krever ikke noe av dette. Hvis listen inneholder fulle kortnumre, bankopplysninger eller offentlige identitetsnumre, avhenger de neste trinnene av hvor du bor og hva selskapet tilbyr.
For kort ringer du kortutstederen på nummeret som er trykt på kortet og spør om det bør byttes. Sjekk nylige kontoutskrifter for små testbeløp, som ofte kommer før større. Hvis selskapet tilbyr gratis identitetsovervåking, kan du nå den via selskapets offisielle nettsted, og du bør vite at overvåking bare melder fra om problemer etter at de har begynt.
I USA er kredittfrysing det sterkeste gratisverktøyet. Føderal lov gjør det gratis å fryse og tine kredittfilen din hos hvert av de tre landsdekkende byråene (Equifax, Experian og TransUnion), og en frysing stopper vanligvis at ny kreditt opprettes i ditt navn til du opphever den. Du må kontakte hvert byrå hver for seg. En svindelvarsling er et lettere alternativ som ber långivere om å verifisere identiteten din, varer i ett år, og når du legger den inn hos ett byrå, videreføres den til de andre. Hvis identiteten din er misbrukt, lager FTCs nettsted IdentityTheft.gov en gjenopprettingsplan og en rapport du kan bruke overfor banker og byråer.
Andre steder er mulighetene annerledes. I Storbritannia kan du sjekke filen din hos kredittopplysningsbyråene og spørre banken hva den anbefaler, og betalt beskyttende registrering tilbys av svindelforebyggingstjenesten Cifas. I EU og mange andre land kontakter du banken din og ser på veiledningen fra forbruker- eller datatilsynsmyndigheten i landet ditt. Hvis en skanning av et pass eller nasjonalt ID-kort ble tatt, kan utstedende myndighet fortelle deg om det er riktig å bytte det.
Et lekket telefonnummer har sin egen løsning. Be mobiloperatøren din om en konto-PIN, en PIN for utflytting eller en nummerlås, avhengig av hva den kaller det. Disse gjør SIM-bytte vanskeligere, der en angriper overtaler en operatør til å flytte nummeret ditt til sitt SIM-kort og deretter mottar tekstkodene dine. Operatører varierer i hva de tilbyr, så spør direkte.
Vanskelige situasjoner
En lekkasje hos et nettsted du aldri brukte
Flere forklaringer er mulige. Noen kan ha skrevet adressen din feil eller brukt den med vilje, dataene kan ha kommet fra en leverandør som jobber for selskapet som er nevnt, lekkasjen kan være en skrapet eller sammenslått liste, eller du kan rett og slett ha glemt en konto fra år tilbake. For å finne ut av det bruker du funksjonen «glemt passord» på det offisielle nettstedet. Kommer det en tilbakestilling, finnes det en konto, og du kan sikre eller stenge den. Hvis du ikke opprettet den, kontakt selskapet, for det kan hende at andres data er knyttet til adressen din.
Et gammelt passord du ikke bruker lenger
Det er gode nyheter, så lenge «bruker ikke lenger» stemmer overalt. Glemte kontoer beholder gjerne gamle passord, og alle nye passord bygget på samme mønster bør også byttes. Søk etter det i passordbehandleren din, hvis du har en.
En utpressings-e-post som siterer passordet ditt
Denne svindelen er vanlig, og den er skremmende første gang. Avsenderen siterer et ekte gammelt passord av deg som bevis, hevder å ha filmet deg via webkameraet og krever kryptovaluta. I det typiske tilfellet kom passordet fra en lekkasjeliste, og det finnes ingen opptak. Ikke betal og ikke svar. Bytt passordet overalt der du fortsatt bruker det, rapporter meldingen og blokker avsenderen. Hvis meldingen inneholder ekte privat materiale eller en trussel du tar alvorlig, ta vare på en kopi og kontakt politiet.
Jobbadressen din var med i lekkasjen
Si fra til IT- eller sikkerhetsteamet ditt, selv om det føles lite. De vil kanskje sjekke for gjenbruk mot bedriftens systemer, tilbakestille legitimasjon eller følge med på målrettet phishing. Sjekk arbeidsgiverens policy før du registrerer deg for overvåkingstjenester med en jobbadresse, og hold private kontoer på en privat adresse i fremtiden.
En forelder eller slektning fikk varselet
Gå gjennom den samme rekkefølgen sammen med dem, og konsentrer deg om hovedpostkassen og gjenbrukte passord. Eldre slektninger er hyppige mål for oppfølgingsanrop som nevner lekkasjen, så en nyttig regel å bli enige om er at ikke noe ekte selskap vil be dem lese opp en kode. Hvis en som ringer sier noe annet, kan de legge på og ringe tilbake på et nummer fra et bankkort eller en kontoutskrift.
En melding om forlik eller erstatning
Etter store lekkasjer kan du få meldinger om gruppesøksmål eller erstatningsordninger. Noen er ekte, og noen er etterligninger laget for å samle inn bankopplysninger. Sjekk forliket på en offisiell side fra en domstol, en tilsynsmyndighet eller selskapet før du fyller ut noe. Betal aldri et gebyr for å motta erstatning.
I ukene som følger
Når det hastige er over, er en lekkasje en god anledning til å rette opp det som gjorde den farlig. Ingenting av dette må skje i én omgang.
Begynn med en passordbehandler, hvis du ikke bruker en. Den lager et tilfeldig passord for hvert nettsted, og den nekter å fylle ut på et etterlignet domene, noe som gir deg litt phishing-beskyttelse også. Velg et velkjent produkt, beskytt det med en lang passfrase og en andre faktor, og flytt de viktigste kontoene dine først. Resten kan følge etter hvert som du logger inn på dem. NISTs retningslinjer for digital identitet fraråder å tvinge frem rutinemessige passordbytter for deres egen skyld, og anbefaler heller å sjekke passord mot kjente lekkasjer, så du trenger ikke rotere alt etter en tidsplan. Bytt det som er eksponert, svakt eller gjenbrukt.
Gå så gjennom listen over glemte kontoer fra postkassesøket. Hver sovende konto er lagrede data som venter på neste hendelse. Logg inn, fjern det du kan fra profilen, slett alle lagrede kort og steng kontoen. Der det ikke finnes noen slett-knapp, skriv til personvernkontakten i nettstedets personvernerklæring. Etter GDPR og noen andre lover, blant dem Californias, har mange rett til å be om sletting, selv om selskapet kan beholde opplysninger det er pålagt å oppbevare, og disse rettighetene avhenger av hvor du bor.
Sikkerhetsspørsmål er neste. «Morens pikenavn» og «første skole» kan ofte finnes fra lekkasjedata eller sosiale medier. Der et nettsted tvinger deg til å bruke dem, gi et tilfeldig svar og lagre det i passordbehandleren som om det var et passord.
Til slutt: hold deg oppmerksom en stund. Lekkede data sirkulerer i årevis, og målrettet phishing kommer ofte lenge etter at overskriftene har forsvunnet. La varslene om lekkasjer stå på, gå gjennom rapporten fra passordbehandleren hver tredje måned eller så, og vær treg med å stole på meldinger som nevner den hackede tjenesten.
Slik gjør du neste lekkasje mindre
Du har ingen kontroll over et selskaps sikkerhet. Du kontrollerer hvor mye det har om deg, og hvor langt en lekkasje kan spre seg fra den ene oppføringen. Målet er at hvert fremtidige varsel betyr en rask passordsjekk og ikke noe mer.
Del adressene dine etter tillit
Den mest nyttige enkeltendringen er å slutte å gi én adresse til alle. Et enkelt oppsett med tre nivåer dekker de fleste, og artikkelen vår om å bygge en personlig e-poststrategi går gjennom det trinn for trinn.
| Nivå | Bruk den til | Type adresse | Hva en lekkasje koster |
|---|---|---|---|
| Hoved | Bank, det offentlige, helse, jobb, passordbehandler, viktigste sosiale kontoer | En langvarig adresse med sterk påloggingsbeskyttelse, sjelden delt | Alvorlig, men dette nivået bør sjelden lekke, fordi få selskaper har det |
| Hverdags | Butikker, abonnementer, tjenester du beholder i årevis | En ekstra postkasse, eller aliaser som videresender til postkassen din | Begrenset; du kan slå av ett enkelt alias eller filtrere det bort |
| Engangs | Én enkelt nedlasting, et skjema du aldri skal bruke igjen, testing av din egen registreringsside | En midlertidig innboks, hvis nettstedets vilkår tillater det | Liten; adressen er ikke knyttet til navnet ditt, og innboksen er borte |
Plussadressering, som name+shop@example.com, passer et sted midt imellom. Det fungerer på Gmail og Outlook.com og kan vise deg hvem som lekket eller solgte adressen din. Det skjuler ingenting, fordi hvem som helst kan slette merkelappen og se grunnadressen, og angripernes verktøy gjør nettopp det. Videresendingsaliaser, som de fra iCloud+, Proton eller Firefox Relay, skjuler den ekte adressen skikkelig, siden ingenting i aliaset peker tilbake til den. Netthandel fortjener særlig omtanke her, siden butikkdatabaser har adresser, telefonnumre og hjemmeadresser samlet. Veiledningen vår om e-postpersonvern ved netthandel tar for seg dette tilfellet, inkludert hvordan du beholder kvitteringene dine.
Hvor en midlertidig innboks hjelper
En midlertidig innboks passer til én enkelt handling på et nettsted du ikke har noe varig forhold til, for personvernets skyld og der nettstedets vilkår tillater det. VookMail er en slik tjeneste: en adresse er klar når siden lastes, uten registrering og uten passord. Du kan trykke Ny for å skrive et brukernavn og velge ett av mer enn 30 domener, eller trykke den gule Tilfeldig-knappen for en tilfeldig adresse. Meldinger, vedlegg og adresser slettes etter omtrent ett døgn.
Den korte levetiden er det som begrenser en fremtidig lekkasje. Hvis et nettsted du besøkte én gang senere lekker brukertabellen sin, fører adressen i den tabellen til en innboks som ikke lenger inneholder noe og ikke har noen kobling til navnet, telefonen eller hovedpostkassen din. Et passord du opprettet der, har fortsatt betydning, så gjør det unikt. Opplysninger du fylte inn i profilen, er også eksponert, noe som er en god grunn til å fylle ut bare det skjemaet krever.
Begrensningene er like tydelige. Alle som kjenner eller gjetter en midlertidig adresse, kan åpne den innboksen, så en tilfeldig adresse er det tryggeste valget, og ingenting privat hører hjemme der. Du kan ikke pålitelig motta en tilbakestilling av passord uker senere, så det er feil verktøy for enhver konto du kan trenge igjen, og det må aldri brukes til bank, offentlige tjenester, helse, jobb eller dine viktigste sosiale kontoer. Noen nettsteder avviser engangsdomener. Det er deres avgjørelse å ta, og riktig svar er å respektere den og gi dem en permanent adresse eller et alias. Vilkårene og betingelsene våre forbyr også bruk av tjenesten til svindel, misbruk eller for å komme rundt en utestengelse.
Gi fra deg mindre fra første stund
Skaden avhenger av hva som var lagret. La valgfrie felt stå tomme. La være å lagre et kort på et nettsted du sjelden bruker. Vær forsiktig med «Logg på med»-knapper på tjenester du ikke stoler helt på, og se på hvilken profiltilgang de ber om. Si nei til å oppgi telefonnummer med mindre et nettsted virkelig trenger det av sikkerhetshensyn. En fødselsdato som et nettsted bare vil ha til en bursdagsrabatt, er en opplysning du rett og slett kan holde for deg selv, der skjemaet tillater det.
To ulike steder har dataene dine
Det hjelper å skille mellom to typer hendelser som ofte blandes sammen. Når en tjeneste blir hacket, får angriperen det tjenesten hadde lagret: adressen din, profilen og alt annet som lå i databasen. Når postkassen din blir kompromittert, får angriperen noe annet, nemlig hver eneste melding du har beholdt, inkludert gamle kvitteringer, lenker for tilbakestilling av passord, skannede dokumenter og private samtaler.
Det siste er vanligvis verre, og det er grunnen til at denne guiden stadig sender deg tilbake til postkassen. Det antyder også en beskjeden vane: du trenger ikke ti års e-post av lav verdi liggende i hovedkontoen din. Å slette gamle fraktvarsler og nyhetsbrev reduserer hva et postkasseinnbrudd kan avsløre, og det koster lite å lagre viktige dokumenter et trygt sted, med deres egen beskyttelse.
Midlertidige innbokser ligger i ytterkanten av den tanken. På VookMail peker hvert domenes MX-poster til en leverandør av e-postlevering, som mottar meldingen over SMTP og videresender den til tjenesten over HTTPS. Fordi meldinger og vedlegg fjernes etter omtrent ett døgn, bygges det ikke opp noe langt arkiv. Hvordan tjenesten behandler data, er forklart i personvernerklæringen og på metodesiden.
Hvordan lekkasjen skjedde, og hvorfor det angår deg
Selskaper forklarer ikke alltid årsaken i detalj, men når de gjør det, kan det si deg hva du kan vente.
- Et databaseinnbrudd, gjennom en svakhet som SQL-injeksjon eller en server uten oppdateringer, betyr vanligvis at brukertabellen ble kopiert i bulk. Vent deg adresser og passordhasher, og anta at dataene blir handlet med.
- Feilkonfigurert lagring betyr at en database eller skybøtte ble stående åpen mot internett. Det kan hende ingen har «hacket» noe, og selskapet vet kanskje ikke hvem som lastet den ned, så det ærlige svaret på «ble dataene mine tatt?» kan være «vi kan ikke si».
- En leverandørhendelse betyr at en markedsføringsplattform, kundeservice eller et analyseverktøy ble kompromittert. Dette forklarer varsler fra navn du ikke kjenner igjen, og det eksponerer vanligvis kontaktdata og henvendelser til kundestøtte, ikke passord. Alt du skrev i en støttehenvendelse, kan være med, så tenk tilbake på hva du sendte dem.
- Skraping samler offentlige eller halvoffentlige profildata i stor skala gjennom et nettsted eller et API. Selskaper hevder av og til at dette ikke er noen lekkasje, men adressen din havner i et datasett som handles med uansett.
- Misbruk fra innsiden betyr at en ansatt eller innleid eksporterte data vedkommende ikke skulle. Det er ofte målrettet, så uvanlige og personlige oppfølgingsmeldinger fortjener mer mistenksomhet.
Feil som er lette å gjøre under press
Den vanligste er å bytte bare passordet på det hackede nettstedet og la det samme ligge på e-posten og butikkontoene dine. Tett på kommer en liten variasjon av det gamle passordet. Å gå fra Summer2024! til Summer2025! koster et knekkeverktøy nesten ingen ekstra innsats.
Folk har også en tendens til å stoppe etter én endring. De hopper over videresendingsreglene, og det er slik noen som var inne før passordbyttet, fortsetter å motta e-post etter det. Å stole på tekstkoder når en autentiseringsapp eller en passnøkkel er tilgjengelig, etterlater et hull på kritiske kontoer, selv om tekstmeldinger fortsatt er bedre enn ingenting der de er eneste valg.
Så er det den motsatte feilen: å behandle hvert varsel som en krise. Hvis bare adressen din lekket fra en konto du enkelt kan stenge, trenger du ikke å bytte e-postadresse, og du trenger ikke å betale for et overvåkingsprodukt fordi en skremmende annonse dukket opp. Spar innsatsen til tilfellene der et passord, et kort eller et identitetsnummer var involvert.
Spørsmål som dukker opp etter et varsel
Bør jeg slette e-postkontoen min?
Som regel ikke. Hovedadressen din er knyttet til år med tilbakestilte passord og kontakter, og å forlate den skaper sine egne risikoer, siden en glemt konto kan være vanskelig å få tilbake. Beskytt den heller, og slutt å gi den til nettsteder du stoler lite på. En ny adresse gir bare mening hvis den gamle er håpløst eksponert, og da bør du flytte kontoene gradvis og la den gamle stå åpen en stund.
Selskapet sier at passordene var kryptert. Må jeg likevel bytte mitt?
Ja. Uten å vite metoden og om nøklene også ble tatt kan du ikke vurdere beskyttelsen, og det tar kortere tid å bytte passord enn å finne ut av det. Bytt det også overalt ellers der du brukte det.
Kan en midlertidig adresse hindre en lekkasje?
Ingen verktøy hindrer at et selskap blir hacket. En midlertidig adresse endrer hva lekkasjen avslører om deg. Hvis et forum du ble med i på den måten lekker brukertabellen sin, har den lekkede adressen ingen forbindelse til identiteten din, så lenge du ikke oppga noe annet som identifiserer deg.
Hvor ofte bør jeg sjekke?
Slå på varsler slik at sjekkingen skjer uten deg. Et manuelt blikk på rapporten fra passordbehandleren hver tredje måned er rikelig, pluss et ekstra når en tjeneste du bruker er i nyhetene.
Hjelper det å betale for overvåking av det mørke nettet?
Det kommer an på hva du kjøper. Disse produktene melder stort sett at dataene dine har dukket opp et sted, noe du i stor grad kan finne ut gratis fra søketjenestene ovenfor. Identitetsforsikring eller hjelp til gjenoppretting kan ha en viss nytte hvis ID-dataene dine fra det offentlige ble eksponert, så les hva planen faktisk dekker før du betaler.
Hvem bør jeg melde dette til?
Du trenger vanligvis ikke å melde fra om et selskaps lekkasje, siden selskapet har sine egne plikter overfor tilsynsmyndighetene. Meld fra hvis du har tapt penger eller blir utpresset: banken din først, deretter politiet eller den nasjonale meldetjenesten for svindel. I EU og Storbritannia kan du klage til datatilsynet hvis et selskap håndterer hendelsen dårlig eller ignorerer forespørslene dine.
Du finner mer om hvordan midlertidige innbokser fungerer og hvor lenge meldinger lagres, i VookMail-FAQen.