Powiedzmy, że to wieczór w środku tygodnia i przychodzi wiadomość z serwisu sprzedającego bilety, z którego ostatni raz korzystałeś trzy lata temu. Temat brzmi: „Ważne: twoje dane mogły zostać ujawnione”. Ledwo pamiętasz to konto, nie masz pojęcia, jakie hasło mu dałeś, a w wiadomości jest duży przycisk „Zabezpiecz moje konto”. Ta godzina znaczy więcej niż reszta tygodnia, a pierwsza rzecz, którą w niej zrobisz, to zostawienie tego przycisku w spokoju.
W skrócie: potwierdź powiadomienie, wchodząc samodzielnie na stronę firmy, ustal, jakie rodzaje danych zostały wykradzione, zabezpiecz swoją główną skrzynkę przed czymkolwiek innym, a potem zmień wyciekłe hasło wszędzie, gdzie go używałeś, i włącz uwierzytelnianie dwuskładnikowe albo passkey. Wyciek danych e-mail oznacza, że firma, która miała twój adres, straciła nad nim kontrolę, zwykle razem z innymi informacjami. Wycieku nie cofniesz. Możesz jednak zadbać o to, by został uciążliwością, a nie zamienił się w przejęte konto.
Pierwsza godzina, po kolei
Kolejność poniżej wynika z jednej myśli: twoja skrzynka może zresetować prawie każde inne hasło, które masz, więc chronisz ją przed kontem, które faktycznie wyciekło. Czasy są orientacyjne. Jeśli hasła nie były częścią wycieku, możesz pominąć kroki 4 i 5 i skończyć w kwadrans.
- Nie używaj niczego z wiadomości (pierwsze 2 minuty). Żadnych linków, załączników ani numerów telefonu z powiadomienia. Fałszywe powiadomienia o wycieku to rutynowy ciąg dalszy prawdziwych wycieków, a prawdziwe nic nie traci, gdy zignorujesz jego przycisk.
- Sprawdź to niezależnie (kolejne 5 minut). Wpisz adres firmy w przeglądarce albo użyj starej zakładki, a potem poszukaj komunikatu o bezpieczeństwie lub banera. Wyszukaj nazwę firmy ze słowem „wyciek” i zobacz, czy informują o tym rzetelne media albo sama firma.
- Przeczytaj, co zostało wykradzione (kolejne 5 minut). Powiadomienie, oświadczenie firmy albo serwis do sprawdzania wycieków poda rodzaje danych. Hasła, dane kart i dokumenty tożsamości oznaczają różną pracę, a tabela niżej to rozpisuje.
- Zabezpiecz główną skrzynkę (kolejne 15 minut). Ustaw długie hasło, którego nie używasz nigdzie indziej, wyloguj pozostałe sesje, włącz uwierzytelnianie dwuskładnikowe albo passkey i sprawdź reguły przekierowania oraz dane odzyskiwania konta. Kroki dla Gmaila, Outlooka i iCloud znajdziesz w sekcji o skrzynce.
- Zajmij się wyciekłym hasłem (kolejne 20 minut). Zmień je w zhakowanym serwisie, przez jego własną stronę logowania. Potem zastanów się, gdzie jeszcze używałeś tego hasła albo czegoś podobnego, i zmień je też tam, zaczynając od bankowości, operatora komórkowego, chmury na pliki i każdego sklepu, który ma zapisaną kartę.
- Zapisz, co zrobiłeś (ostatnie 5 minut). Zanotuj firmę, datę, dane, których dotyczył wyciek, i hasła, które zmieniłeś. Jeśli za trzy miesiące wydarzy się coś dziwnego, ta notatka pokaże, czy jedno ma związek z drugim.
Jeśli zabraknie ci czasu albo sił, zatrzymaj się po kroku 4. Chroniona skrzynka zostawia ci większość opcji, bo atakujący, który nie może czytać twojej poczty, ma dużo trudniej z resetowaniem czegokolwiek innego.
Czy powiadomienie jest prawdziwe?
Firmy rzeczywiście wysyłają takie wiadomości, a w wielu miejscach muszą. Zgodnie z art. 34 unijnego RODO (GDPR) organizacja musi bez zbędnej zwłoki poinformować osoby, których to dotyczy, gdy naruszenie może powodować wysokie ryzyko dla ich praw i wolności, a każdy stan USA ma własne prawo o powiadamianiu o wyciekach, z własnymi przesłankami. Przepisy się różnią, dlatego od jednej firmy możesz usłyszeć w ciągu kilku dni, od innej po miesiącach, a od jeszcze innej wcale. Nasz przegląd przepisów o prywatności poczty e-mail opisuje stronę prawną dokładniej.
Przestępcy wiedzą, że ludzie spodziewają się takich wiadomości. Oto zmyślony przykład fałszywego powiadomienia, na które warto uważać:
Przykład fałszywego powiadomienia (zmyślony, dla ilustracji):
Temat: PILNE: incydent bezpieczeństwa na twoim koncie
Szanowny kliencie, twoje hasło zostało ujawnione w niedawnym incydencie. Twoje konto zostanie zamknięte w ciągu 12 godzin, jeśli nie potwierdzisz obecnego hasła i numeru karty za pomocą bezpiecznego przycisku poniżej.
Zdradzają go trzy rzeczy. Ustawia termin liczony w godzinach, prosi o twoje obecne hasło i chce numeru karty, którego żaden prawdziwy proces resetowania nie potrzebuje. Prawdziwe powiadomienie wyjaśnia, co się stało, i każe zmienić hasło na stronie serwisu. Nasz poradnik o rozpoznawaniu wiadomości phishingowych omawia znacznie więcej sygnałów, ale poniższe porównania obejmują te typowe dla wycieków.
| Na co patrzeć | Prawdziwe powiadomienie zwykle | Fałszywe powiadomienie zwykle |
|---|---|---|
| Instrukcje | Sugeruje zmianę hasła na stronie serwisu albo informuje, że wymuszono reset | Prowadzi przyciskiem na stronę logowania |
| Szczegóły | Podaje nazwę incydentu, orientacyjne daty i rodzaje danych | Jest mgliste co do tego, co się stało |
| Prośby | Nie prosi o nic wrażliwego e-mailem | Prosi o hasło, numer karty albo kod wysłany na telefon |
| Załączniki | Rzadko jakieś zawiera | Zawiera „raport” jako ZIP, dokument z makrem albo plik w rodzaju report.pdf.exe |
| Ślad publiczny | Zgadza się z oświadczeniem na stronie firmy | Nie ma żadnego publicznego śladu |
| Oferty | Może proponować monitoring tożsamości u wskazanego dostawcy, z kodem do wpisania na jego stronie | Żąda opłaty albo prosi o dane bankowe, by wypłacić ci odszkodowanie |
Wiadomość może też przejść wszystkie testy techniczne i mimo to być niechciana. W Gmailu menu z trzema kropkami ma opcję Pokaż oryginał, która wyświetla wyniki SPF, DKIM i DMARC. Wynik dmarc=fail przy wiadomości podającej się za pocztę dużej firmy to mocne ostrzeżenie. Pozytywny wynik mówi tylko, że poczta przyszła z widocznej domeny, a ta może być domeną łudząco podobną, zarejestrowaną w zeszłym tygodniu.
Powiadomienia czasem przychodzą od nazwy, której nie znasz, bo incydent zdarzył się u dostawcy: w dziale obsługi, na platformie marketingowej albo u operatora płatności pracującego dla znanej ci firmy. W takim przypadku szukaj potwierdzenia u firmy, którą znasz. Jeśli nic nie znajdziesz, możesz napisać do jej obsługi przez jej własną stronę kontaktową i zapytać.
Przeczytaj listę danych: ona wyznacza ilość pracy
Adres e-mail prawie nigdy nie wycieka sam. To, czy zajmie ci to dziesięć minut, czy całe popołudnie, zależy od tego, co leżało obok w skradzionej tabeli. Powiedzmy, że serwis z biletami z naszego przykładu podaje „imiona i nazwiska, adresy e-mail i zahaszowane hasła”. To stawia cię w trzecim wierszu poniżej, z częścią pracy z drugiego.
| Co wyciekło razem z adresem | Co ktoś może z tym zrobić | Co zrobić |
|---|---|---|
| Nic więcej | Wysyłać spam i ukierunkowany phishing, łączyć twoje dane z różnych wycieków, sprawdzać powtarzane hasła gdzie indziej | Uważać na wiadomości wspominające o tym serwisie; rozważyć przeniesienie konta na inny adres |
| Hasło jawnym tekstem | Od razu zalogować się w tym serwisie i wypróbować tę samą parę w innych | Zmienić je wszędzie, gdzie było użyte, jeszcze dziś |
| Zahaszowane hasło | Próbować je złamać offline; słabe i popularne hasła padają pierwsze | Traktować je tak, jakby wyciekło jawnym tekstem |
| Imię i nazwisko, numer telefonu, adres domowy | Pisać przekonujące wiadomości, wykonywać oszukańcze telefony, próbować przejąć numer przez SIM swap | Dodać PIN lub blokadę przeniesienia numeru u operatora; uważać na nieoczekiwane telefony i SMS-y |
| Data urodzenia, odpowiedzi na pytania zabezpieczające | Nadużywać odzyskiwania konta, przechodzić słabe weryfikacje tożsamości | Zastąpić odpowiedzi na pytania zabezpieczające losowymi, zapisanymi w menedżerze haseł |
| Częściowe dane karty | Uwiarygodniać oszustwa („widzimy twoją kartę o numerze kończącym się na 1234”) | Pilnować wyciągów; dzwoniący, który zna te cyfry, niczego nie udowodnił |
| Pełny numer karty | Próbować nieuczciwych zakupów | Zadzwonić do wydawcy karty pod numer z karty i poprosić o wymianę |
| Numery dokumentów tożsamości | Próbować wyłudzeń na twoją tożsamość | Postępować według zaleceń krajowego urzędu; zobacz sekcję o danych tożsamości niżej |
| Adres IP, dane urządzenia | Z grubsza oszacować twoją lokalizację, dopasować oszustwo | Niewiele do zrobienia bezpośrednio |
| Prywatne wiadomości lub pliki | Szantażować lub ośmieszać, ujawniać dane innych osób | Ustalić, co w nich było i kogo jeszcze to dotyczy; szantaż zgłosić policji |
Słowo o „zahaszowanym”, bo firmy używają go, żeby uspokajać. Hasz to jednokierunkowe przemieszanie hasła, a ochrona, jaką daje, zależy od metody. Wolne algorytmy z solą, takie jak bcrypt czy Argon2, sprawiają, że zgadywanie jest kosztowne, więc długie losowe hasło przechowywane w ten sposób może nigdy nie zostać odzyskane. Szybkie funkcje skrótu, takie jak MD5 czy SHA-1 bez soli, można atakować z ogromną prędkością, a krótkie lub popularne hasła szybko padają przy każdej metodzie. Powiadomienie rzadko mówi dość, by to ocenić, więc zmień hasło tak czy inaczej.
Co może zrobić sam wyciekły adres
„Naruszenie dotyczyło tylko twojego adresu e-mail” brzmi jak dobra wiadomość i w porównaniu z wyciekiem hasła nią jest. Adres nie jest tajemnicą i nikt nie loguje się na twoje konto samym adresem. Mimo to zmienia on twoją sytuację na kilka sposobów, które warto zrozumieć.
Adres z prawdziwego serwisu jest znany jako należący do kogoś, kto zakłada konta, więc jest cenniejszy dla spamerów niż adres zgadnięty. Listy są łączone i odsprzedawane, więc wzrost spamu może zacząć się miesiące po incydencie i nie mieć oczywistego związku z nim.
Wyciek mówi też przestępcom, gdzie masz konto. Ogólną wiadomość o „problemie z zamówieniem” łatwo zbyć. Taką, która wymienia sklep, z którego naprawdę korzystasz, zwraca się do ciebie imieniem z tego samego wycieku i przychodzi, gdy o sklepie głośno w wiadomościach, dużo trudniej rozpoznać. To główny praktyczny powód, by zachować czujność przez kilka tygodni po powiadomieniu.
Adres działa też jak klucz łączenia. Załóżmy, że jeden wyciek wiąże go z nazwą gracza, drugi z numerem telefonu, a trzeci z miastem zamieszkania. Ktoś, kto ma wszystkie trzy, może je zestawić po wspólnym adresie i zbudować profil, którego nikt nigdy nie przekazał w jednym kawałku. Używanie tego samego adresu wszędzie to umożliwia, i właśnie to możesz zmienić.
Poza tym adres to połowa większości loginów, co prowadzi do ataku, który sprawia, że wycieki są kosztowne.
Jak jeden wyciek zamienia się w wiele
Szkoda często nie powstaje u firmy, która wyciekła. Credential stuffing to zautomatyzowane sprawdzanie wyciekłych par adresu i hasła w innych serwisach. Pary z wielu wycieków trafiają do dużych zbiorów zwanych „combo listami”, a narzędzia uruchamiają je przeciw dostawcom poczty, sklepom, serwisom streamingowym, platformom gier i chmurze na pliki. Większość prób się nie udaje. Wystarczająco wiele się udaje, by się to opłacało, bo trafienie można wykorzystać do kupowania towarów zapisaną kartą, wydrenowania punktów lojalnościowych, wysyłania spamu z zaufanego konta albo uruchamiania resetów haseł w powiązanych usługach.
To wszystko zależy od powtarzania haseł. Weźmy na przykład kogoś, kto użył Harbour2019! w serwisie z biletami, w sklepie i w poczcie. Wyciek z serwisu z biletami ujawnia jedno hasło i trzy konta. Gdyby każdy serwis miał własne losowe hasło, ten sam wyciek ujawniłby jedno konto, z którego ta osoba ledwo korzysta. Drobne zmiany niewiele pomagają, bo narzędzia atakujących próbują oczywistych wariantów: zmieniają rok, dodają cyfrę, podmieniają wykrzyknik.
Password spraying to lustrzane odbicie. Zamiast testować jedno znane hasło na osobę, atakujący próbuje kilku bardzo popularnych haseł na długiej liście prawdziwych adresów. Twoje hasło nie musiało wyciec, żeby to zadziałało. Wystarczyło, że było popularne, a wyciek dostarczył adres.
Inne źródło skradzionych haseł zasługuje na wzmiankę, bo zmienia poradę. Złośliwe oprogramowanie zwane infostealerem kopiuje zapisane hasła i ciasteczka logowania prosto z zainfekowanego urządzenia, a te skradzione logi krążą podobnie jak dane z wycieków. Jeśli hasło, którego nigdy nie powtarzałeś, pojawia się jako ujawnione, albo konto zostaje przejęte mimo silnego hasła i braku znanego wycieku, źródłem może być twoje urządzenie. Przeskanuj je rzetelnym oprogramowaniem zabezpieczającym i zmieniaj hasła z czystego urządzenia, bo zmiana hasła na zainfekowanym komputerze może oddać także nowe.
Sprawdzanie własnej ekspozycji
Powiadomienie mówi o jednej firmie. Żeby zobaczyć szerszy obraz, użyj więcej niż jednego źródła, bo żadna baza nie obejmuje wszystkich incydentów.
Have I Been Pwned (haveibeenpwned.com), prowadzony przez badacza bezpieczeństwa Troya Hunta, to najbardziej znane narzędzie do sprawdzania. Wpisujesz adres, a ono wypisuje znane wycieki, które go zawierają, z datami i rodzajami danych. Funkcja powiadomień wysyła ci e-mail, gdy twój adres pojawi się w nowo załadowanym wycieku, co warto ustawić raz i o tym zapomnieć. Niektóre wycieki uznane za wrażliwe są ukryte przed publicznym wyszukiwaniem i pokazywane dopiero po udowodnieniu, że adres należy do ciebie. Mozilla Monitor oferuje podobne sprawdzanie i alerty na danych Have I Been Pwned i wymaga konta Mozilli do stałych alertów.
Pusty wynik nie znaczy, że jesteś bezpieczny. Wiele wycieków nigdy nie zostaje wykrytych albo nie trafia do tych serwisów. Długa lista też nie znaczy, że masz kłopoty, bo stare wpisy często dotyczą haseł, które dawno zmieniłeś. Patrz na daty i rodzaje danych i reaguj na wszystko, co może być jeszcze w użyciu.
Sprawdzanie adresów wymaga tylko twojego adresu. Z hasłami trzeba ostrożniej. Menedżer haseł Google ma Kontrolę haseł, aplikacja Hasła na urządzeniach Apple ma sekcję Bezpieczeństwo, która oznacza hasła ujawnione i powtarzane, a menedżery innych firm mają podobne raporty, jak Watchtower w 1Password czy raport o ujawnionych hasłach w Bitwarden. Działają one na twojej zapisanej liście, co jest też najszybszym sposobem na znalezienie miejsc, gdzie hasło się powtarza.
Funkcja Pwned Passwords pokazuje, jak sprawdzenie może nie ujawniać hasła. Twoje urządzenie liczy skrót SHA-1 hasła i wysyła tylko pierwsze pięć znaków. Usługa zwraca wszystkie wyciekłe skróty zaczynające się od tych znaków, a twoje urządzenie porównuje resztę lokalnie. Usługa nigdy nie dostaje hasła ani nawet jego pełnego skrótu, a metoda nazywa się k-anonimowością.
Nigdy nie wpisuj hasła na losowej stronie, która oferuje sprawdzenie, czy zostało włamane. Narzędzia wbudowane w menedżer haseł albo przeglądarkę są w porządku. Strona sprawdzająca, do której trafiłeś z e-maila lub reklamy, może po prostu zbierać hasła.
Sporo możesz też dowiedzieć się z własnej poczty. Wyszukaj w skrzynce „witamy”, „zweryfikuj adres e-mail”, „potwierdź konto” i „twoje hasło zostało zmienione”. Wyniki to z grubsza lista usług, które mają twój adres, a niektórych możesz już nie pamiętać. Ta lista przyda się w sekcji o porządkowaniu niżej.
Porządny audyt skrzynki
Zmiana hasła nie wystarczy, jeśli ktoś już był w środku. Osoba, która dostanie się do skrzynki, często ustawia coś, co przetrwa zmianę hasła, więc szukaj czterech rzeczy: otwartych sesji, przekierowań, filtrów i danych odzyskiwania. Nazwy w menu z czasem się zmieniają, ale poniższe ścieżki powinny cię zbliżyć do celu.
Gmail i konta Google
W Gmailu w przeglądarce kliknij ikonę koła zębatego, a potem Zobacz wszystkie ustawienia. W Przekazywanie i POP/IMAP sprawdź, czy nie ma adresu przekierowania, którego nie dodałeś, a w Filtry i zablokowane adresy reguł, które usuwają lub przekazują pocztę. W prawym dolnym rogu skrzynki link Szczegóły pod informacją o ostatniej aktywności konta pokazuje niedawne dostępy. Na koncie Google strona Bezpieczeństwo wyświetla twoje urządzenia, niedawną aktywność związaną z bezpieczeństwem, telefon i adres e-mail do odzyskiwania oraz połączenia z aplikacjami innych firm. Wyloguj każde urządzenie i usuń każdą aplikację, której nie rozpoznajesz.
Outlook.com i konta Microsoft
W Outlooku w przeglądarce otwórz Ustawienia, potem Poczta. Sprawdź Przesyłanie dalej i Reguły. Na koncie Microsoft przejdź do Zabezpieczenia, by przejrzeć aktywność logowania i sprawdzić, jakie metody weryfikacji i aplikacje są połączone.
Apple i iCloud Mail
Na iPhonie otwórz Ustawienia, stuknij swoje imię i nazwisko, potem Logowanie i bezpieczeństwo, by przejrzeć zaufane numery telefonu i opcje odzyskiwania. Lista urządzeń niżej pokazuje wszystko, co jest zalogowane na twoje konto Apple. Reguły poczty i przekierowania dla iCloud Mail sprawdzisz w ustawieniach Poczty na iCloud.com.
Jak wygląda skrzynka, w którą ktoś ingerował
Adres przekierowania, którego nie dodałeś, to najwyraźniejszy znak, bo po cichu wysyła kopie twojej poczty, także resetów haseł, do kogoś innego. Zaraz za nim jest filtr, który wiadomości ze słowami typu „bezpieczeństwo”, „hasło” albo nazwą twojego banku kieruje od razu do kosza lub archiwum. Nieznane wiadomości wysłane, nieznany telefon do odzyskiwania albo połączona aplikacja, której nigdy nie zatwierdzałeś, wskazują w tę samą stronę.
Jeśli znajdziesz cokolwiek z tego, traktuj skrzynkę jako przejętą. Usuń ten element, zmień hasło ponownie z urządzenia, któremu ufasz, wyloguj wszystkie sesje, a potem przejrzyj samą pocztę. Poszukaj wiadomości o resetowaniu hasła, o które nie prosiłeś, bo pokazują, jakie inne konta były celem. Jeśli zostałeś zablokowany, właściwą drogą jest proces odzyskiwania konta u dostawcy, do którego dotrzesz przez jego własne strony pomocy. Wyniki wyszukiwania frazy „numer wsparcia poczty” to znane żerowisko oszustów.
Wybór drugiego składnika
Uwierzytelnianie dwuskładnikowe powstrzymuje większość credential stuffingu, bo samo wyciekłe hasło nikogo już nie wpuszcza. Metody bardzo się jednak różnią i po wycieku warto przesunąć ważne konta w tej tabeli tam, gdzie się da.
| Metoda | Jak dobrze się trzyma | Gdzie zawodzi |
|---|---|---|
| Kody w SMS-ach | Znacznie lepsza niż samo hasło | SIM swap; kody można wpisać na fałszywej stronie i przekazać dalej |
| Kody wysyłane e-mailem | Słaba na twoich najważniejszych kontach | Bezużyteczna, jeśli sama skrzynka jest przejęta, i bez sensu przy logowaniu do samej skrzynki |
| Aplikacja uwierzytelniająca (TOTP) | Dobra i nie zależy od twojego numeru telefonu | Kody nadal da się wyłudzić na przekonującej fałszywej stronie logowania; trzymaj kopie zapasowe na czas zmiany telefonu |
| Zatwierdzenie push | Dobra, gdy każe dopasować numer | Bez dopasowania numeru powtarzane prośby mogą zmęczyć człowieka, aż stuknie Zatwierdź |
| Passkey lub sprzętowy klucz bezpieczeństwa | Najmocniejsza opcja dla większości ludzi | Wymaga trochę konfiguracji i drugiego klucza albo zsynchronizowanego urządzenia jako kopii; nie wszędzie dostępna |
Passkeys zasługują w tym kontekście na dodatkową uwagę. Passkey to dane uwierzytelniające oparte na kryptografii klucza publicznego i związane z domeną jednej strony. Serwis przechowuje tylko publiczną połowę, więc skradziona tabela użytkowników nie zawiera niczego, czym dałoby się zalogować jako ty. Łudząco podobna strona phishingowa też nic nie dostaje, bo twoje urządzenie nie poda danych niewłaściwej domenie. Jeśli twój dostawca poczty i bank obsługują passkeys, powiadomienie o wycieku to dobry moment, by ustawić jeden. Którąkolwiek metodę wybierzesz, zapisz kody odzyskiwania, gdy są oferowane, w menedżerze haseł albo na papierze w bezpiecznym miejscu w domu.
Gdy w grę wchodzą dane płatnicze lub tożsamości
Zwykły wyciek e-maila i hasła nie wymaga nic z tego. Jeśli lista zawiera pełne numery kart, dane bankowe albo numery dokumentów tożsamości, kolejne kroki zależą od tego, gdzie mieszkasz, i od tego, co oferuje firma.
W przypadku kart zadzwoń do wydawcy pod numer wydrukowany na karcie i zapytaj, czy trzeba ją wymienić. Sprawdź ostatnie wyciągi pod kątem drobnych próbnych obciążeń, które często poprzedzają większe. Jeśli firma oferuje bezpłatny monitoring tożsamości, możesz z niego skorzystać przez jej oficjalną stronę, i pamiętaj, że monitoring zgłasza problemy dopiero po ich wystąpieniu.
W Stanach Zjednoczonych najmocniejszym darmowym narzędziem jest zamrożenie kredytu. Prawo federalne gwarantuje, że zamrożenie i odmrożenie twojego rejestru w każdym z trzech ogólnokrajowych biur (Equifax, Experian i TransUnion) jest bezpłatne, a zamrożenie zwykle blokuje otwieranie nowych kredytów na twoje nazwisko, dopóki go nie zdejmiesz. Z każdym biurem trzeba kontaktować się osobno. Alert o oszustwie to lżejsza opcja, która prosi kredytodawców o zweryfikowanie twojej tożsamości; trwa rok, a założenie go w jednym biurze przekazuje go pozostałym. Jeśli twoja tożsamość została nadużyta, strona IdentityTheft.gov amerykańskiej FTC tworzy plan naprawczy i zgłoszenie, które możesz wykorzystać w bankach i biurach.
Gdzie indziej opcje są inne. W Wielkiej Brytanii możesz sprawdzić swój rejestr w biurach informacji kredytowej i zapytać bank, co zaleca, a płatna rejestracja ochronna jest dostępna w służbie zapobiegania oszustwom Cifas. W UE i wielu innych krajach skontaktuj się z bankiem i zajrzyj do wskazówek krajowego organu ochrony konsumentów lub ochrony danych. Jeśli skradziono skan paszportu albo krajowego dowodu tożsamości, organ wydający może powiedzieć, czy wymiana jest wskazana.
Wyciekły numer telefonu ma własne rozwiązanie. Poproś operatora komórkowego o PIN do konta, PIN do przeniesienia numeru albo blokadę numeru, zależnie od tego, jak to nazywa. Utrudniają one oszustwo SIM swap, w którym atakujący przekonuje operatora do przeniesienia twojego numeru na jego kartę SIM, a potem odbiera twoje kody z SMS-ów. Operatorzy różnią się tym, co oferują, więc pytaj wprost.
Kłopotliwe sytuacje
Wyciek w serwisie, z którego nigdy nie korzystałeś
Możliwych wyjaśnień jest kilka. Ktoś mógł błędnie wpisać twój adres albo użyć go celowo, dane mogły pochodzić od dostawcy pracującego dla wskazanej firmy, wyciek może być zeskrobaną albo połączoną listą, albo po prostu zapomniałeś o koncie sprzed lat. Żeby się dowiedzieć, użyj funkcji „nie pamiętam hasła” na oficjalnej stronie. Jeśli przyjdzie wiadomość z resetem, konto istnieje i możesz je zabezpieczyć albo zamknąć. Jeśli go nie zakładałeś, skontaktuj się z firmą, bo do twojego adresu mogą być przypisane cudze dane.
Stare hasło, którego już nie używasz
To dobra wiadomość, o ile „już nie używam” jest prawdą wszędzie. Zapomniane konta mają tendencję do zachowywania starych haseł, a każde nowe hasło zbudowane według tego samego wzoru też zasługuje na zmianę. Poszukaj go w menedżerze haseł, jeśli go masz.
E-mail z szantażem cytujący twoje hasło
To częste oszustwo i za pierwszym razem potrafi przestraszyć. Nadawca cytuje jako dowód prawdziwe stare hasło, twierdzi, że nagrał cię przez kamerę internetową, i żąda kryptowaluty. W typowym przypadku hasło pochodziło z listy wycieków, a żadnego nagrania nie ma. Nie płać i nie odpowiadaj. Zmień to hasło wszędzie, gdzie nadal go używasz, zgłoś wiadomość i zablokuj nadawcę. Jeśli wiadomość zawiera prawdziwe prywatne materiały albo groźbę, którą traktujesz poważnie, zachowaj kopię i skontaktuj się z policją.
Twój służbowy adres był w wycieku
Powiedz o tym działowi IT lub bezpieczeństwa, nawet jeśli wydaje się to drobiazgiem. Mogą chcieć sprawdzić powtarzanie haseł w systemach firmy, zresetować dane logowania albo obserwować ukierunkowany phishing. Zanim zapiszesz się do usług monitoringu na adres służbowy, sprawdź politykę pracodawcy, a konta prywatne trzymaj w przyszłości na prywatnym adresie.
Powiadomienie dostał rodzic lub ktoś z rodziny
Przejdźcie razem tę samą kolejność, skupiając się na jego głównej skrzynce i powtarzanych hasłach. Starsi krewni są częstym celem telefonów wspominających o wycieku, więc jedna przydatna zasada do ustalenia brzmi: żadna prawdziwa firma nie poprosi ich o podanie kodu na głos. Jeśli dzwoniący twierdzi inaczej, mogą się rozłączyć i oddzwonić na numer z karty bankowej albo z wyciągu.
Wiadomość o ugodzie lub odszkodowaniu
Po dużych wyciekach możesz dostać wiadomości o pozwach zbiorowych albo programach odszkodowań. Niektóre są prawdziwe, a inne to podróbki mające wyłudzić dane bankowe. Sprawdź ugodę na oficjalnej stronie sądu, organu nadzorczego lub firmy, zanim cokolwiek wypełnisz. Nie płać żadnej opłaty za otrzymanie odszkodowania.
W kolejnych tygodniach
Gdy pilna część się skończy, wyciek jest dobrą okazją, by naprawić to, co uczyniło go groźnym. Nic z tego nie musi się dziać za jednym posiedzeniem.
Zacznij od menedżera haseł, jeśli go nie używasz. Generuje losowe hasło dla każdego serwisu i odmówi wypełnienia na łudząco podobnej domenie, co daje też odrobinę ochrony przed phishingiem. Wybierz dobrze znany produkt, zabezpiecz go długą frazą i drugim składnikiem, a najważniejsze konta przenieś najpierw. Resztę możesz dodawać, gdy będziesz się do nich logować. Wytyczne NIST dotyczące tożsamości cyfrowej odradzają wymuszanie rutynowych zmian haseł dla samej zasady, a zalecają sprawdzanie haseł pod kątem znanych wycieków, więc nie musisz zmieniać wszystkiego według harmonogramu. Zmieniaj to, co ujawnione, słabe lub powtarzane.
Potem przejdź przez listę zapomnianych kont ze swojego wyszukiwania w poczcie. Każde uśpione konto to przechowywane dane czekające na kolejny incydent. Zaloguj się, usuń z profilu, co się da, skasuj zapisaną kartę i zamknij konto. Tam, gdzie nie ma przycisku usuwania, napisz na adres do spraw prywatności z polityki prywatności serwisu. Na mocy RODO (GDPR) i niektórych innych przepisów, w tym kalifornijskich, wiele osób ma prawo żądać usunięcia danych, choć firma może zachować zapisy, które musi przechowywać, a te prawa zależą od miejsca, w którym mieszkasz.
Następnie pytania zabezpieczające. „Panieńskie nazwisko matki” i „pierwsza szkoła” często da się znaleźć w danych z wycieków albo w mediach społecznościowych. Tam, gdzie serwis wymusza ich użycie, podaj losową odpowiedź i zapisz ją w menedżerze haseł jak hasło.
Na koniec zachowaj uwagę jeszcze przez jakiś czas. Wyciekłe dane krążą latami, a ukierunkowany phishing często przychodzi długo po tym, jak ucichną nagłówki. Zostaw włączone alerty o wyciekach, przeglądaj raport menedżera haseł co kilka miesięcy i nie ufaj szybko żadnej wiadomości wspominającej o serwisie, który wyciekł.
Jak sprawić, by następny wyciek był mniejszy
Nie masz wpływu na zabezpieczenia firmy. Masz natomiast wpływ na to, ile ona przechowuje i jak daleko może rozejść się wyciek z tego jednego rekordu. Celem jest, by każde przyszłe powiadomienie oznaczało szybkie sprawdzenie hasła i nic więcej.
Podziel adresy według zaufania
Najbardziej pomaga przestać dawać jeden adres wszystkim. Prosty układ w trzech poziomach wystarcza większości ludzi, a nasz artykuł o budowaniu osobistej strategii poczty e-mail omawia go krok po kroku.
| Poziom | Do czego go używać | Rodzaj adresu | Ile kosztuje wyciek |
|---|---|---|---|
| Główny | Bank, urzędy, zdrowie, praca, menedżer haseł, główne konta społecznościowe | Długoterminowy adres z silną ochroną logowania, rzadko udostępniany | Poważnie, ale ten poziom powinien wyciekać rzadko, bo mało firm go ma |
| Codzienny | Sklepy, subskrypcje, usługi, które trzymasz latami | Druga skrzynka albo aliasy przekierowujące do twojej skrzynki | Ograniczony; możesz wyłączyć pojedynczy alias albo go odfiltrować |
| Jednorazowy | Pojedyncze pobranie, formularz, którego już nie użyjesz, testowanie własnej strony rejestracji | Tymczasowa skrzynka, jeśli regulamin serwisu na to pozwala | Niewielki; adres nie jest powiązany z twoim nazwiskiem, a skrzynka znika |
Adresowanie z plusem, takie jak name+shop@example.com, mieści się gdzieś pośrodku. Działa w Gmailu i Outlook.com i może pokazać, kto wyciekł lub sprzedał twój adres. Niczego nie ukrywa, bo każdy może usunąć znacznik i zobaczyć adres podstawowy, a narzędzia atakujących robią właśnie to. Aliasy z przekierowaniem, takie jak te z iCloud+, Proton czy Firefox Relay, ukrywają prawdziwy adres naprawdę, bo nic w aliasie na niego nie wskazuje. Zakupy zasługują tu na szczególną uwagę, ponieważ bazy sklepów trzymają razem adresy e-mail, numery telefonów i adresy domowe. Nasz poradnik o prywatności e-maila przy zakupach omawia ten przypadek, w tym sposób przechowywania potwierdzeń zakupu.
Gdzie pomaga tymczasowa skrzynka
Tymczasowa skrzynka nadaje się do jednej czynności w serwisie, z którym nie łączy cię trwała relacja, dla prywatności i tam, gdzie regulamin serwisu na to pozwala. VookMail to jedna z takich usług: adres jest gotowy w chwili załadowania strony, bez rejestracji i bez hasła. Możesz nacisnąć Nowy, żeby wpisać nazwę użytkownika i wybrać jedną z ponad 30 domen, albo nacisnąć żółty przycisk „Losowy”, by dostać losowy adres. Wiadomości, załączniki i adresy są usuwane po około jednej dobie.
Ten krótki żywot ogranicza przyszły wyciek. Jeśli serwis, który odwiedziłeś raz, później wycieknie tabelę użytkowników, adres w tej tabeli prowadzi do skrzynki, która już nic nie zawiera i nie ma związku z twoim nazwiskiem, telefonem ani główną skrzynką. Hasło, które tam stworzyłeś, nadal ma znaczenie, więc niech będzie unikalne. Dane wpisane w profilu też są ujawnione, co jest dobrym powodem, by wypełniać tylko to, czego wymaga formularz.
Ograniczenia są równie jasne. Każdy, kto zna lub zgadnie tymczasowy adres, może otworzyć tę skrzynkę, więc bezpieczniejszy jest losowy adres, a nic prywatnego tam nie należy. Nie możesz niezawodnie odebrać resetu hasła po tygodniach, więc to złe narzędzie do każdego konta, które może być jeszcze potrzebne, i nigdy nie wolno używać go do bankowości, usług publicznych, zdrowia, pracy ani głównych kont społecznościowych. Niektóre serwisy odrzucają domeny jednorazowe. To ich decyzja i właściwą reakcją jest uszanować ją i podać im stały adres albo alias. Nasz regulamin zabrania też używania usługi do oszustw, nadużyć i obchodzenia blokad.
Oddawaj mniej od początku
Szkoda zależy od tego, co było przechowywane. Zostaw opcjonalne pola puste. Nie zapisuj karty w serwisie, z którego rzadko korzystasz. Bądź ostrożny z przyciskami „Zaloguj się przez” w usługach, którym do końca nie ufasz, i sprawdzaj, jakiego dostępu do profilu żądają. Nie podawaj numeru telefonu, chyba że serwis naprawdę potrzebuje go dla bezpieczeństwa. Data urodzenia, której serwis chce tylko do kuponu urodzinowego, to dana, którą możesz po prostu zachować dla siebie, jeśli formularz na to pozwala.
Dwa różne miejsca, w których są twoje dane
Pomaga rozdzielić dwa rodzaje incydentów, które często wrzuca się do jednego worka. Gdy serwis zostaje zhakowany, atakujący dostaje to, co ten serwis przechowywał: twój adres, profil i cokolwiek jeszcze było w jego bazie. Gdy zostaje przejęta twoja skrzynka, atakujący dostaje coś innego, mianowicie każdą wiadomość, którą zachowałeś, w tym stare rachunki, linki do resetu haseł, zeskanowane dokumenty i prywatne rozmowy.
To drugie jest zwykle gorsze i dlatego ten poradnik ciągle odsyła cię do skrzynki. Sugeruje też skromny nawyk: nie potrzebujesz dziesięciu lat mało ważnej poczty na koncie głównym. Usunięcie starych powiadomień o wysyłce i newsletterów zmniejsza to, co może ujawnić przejęcie skrzynki, a zapisanie ważnych dokumentów w bezpiecznym miejscu, z własną ochroną, kosztuje niewiele.
Tymczasowe skrzynki są na drugim końcu tej myśli. W VookMail rekordy MX każdej domeny wskazują na dostawcę dostarczania poczty, który odbiera wiadomość przez SMTP i przekazuje ją do usługi przez HTTPS. Ponieważ wiadomości i załączniki są usuwane po około jednej dobie, nie powstaje długie archiwum. To, jak usługa obchodzi się z danymi, jest opisane w polityce prywatności i na stronie o metodologii.
Jak doszło do samego wycieku i dlaczego ma to znaczenie dla ciebie
Firmy nie zawsze szczegółowo wyjaśniają przyczynę, ale gdy to robią, może ona powiedzieć, czego się spodziewać.
- Włamanie do bazy danych, przez lukę taką jak SQL injection albo niezałatany serwer, zwykle oznacza, że tabela użytkowników została skopiowana hurtowo. Spodziewaj się adresów i haszy haseł i załóż, że dane będą w obrocie.
- Źle skonfigurowane przechowywanie oznacza, że baza lub zasób w chmurze został otwarty na internet. Być może nikt niczego nie „zhakował”, a firma może nie wiedzieć, kto to pobrał, więc uczciwa odpowiedź na pytanie „czy moje dane zostały zabrane?” może brzmieć „nie potrafimy tego ustalić”.
- Incydent u dostawcy oznacza, że naruszono platformę marketingową, dział obsługi lub narzędzie analityczne. To wyjaśnia powiadomienia od nazw, których nie znasz, i zwykle ujawnia dane kontaktowe i zgłoszenia do obsługi, a nie hasła. Wszystko, co napisałeś w zgłoszeniu, może być uwzględnione, więc przypomnij sobie, co im wysłałeś.
- Scraping zbiera publiczne lub półpubliczne dane profili na dużą skalę przez stronę albo API. Firmy czasem argumentują, że to nie wyciek, ale twój adres i tak trafia do dataset w obrocie.
- Nadużycie wewnętrzne oznacza, że pracownik lub wykonawca wyeksportował dane, których nie powinien. Bywa to działanie celowane, więc niezwykłe i osobiste wiadomości następcze zasługują na więcej podejrzliwości.
Błędy, które łatwo popełnić pod presją
Najczęstszy to zmiana hasła tylko w serwisie, który wyciekł, i zostawienie tego samego w poczcie i kontach sklepowych. Tuż za nim jest drobny wariant starego hasła. Przejście z Summer2024! na Summer2025! kosztuje narzędzie do łamania haseł prawie żadnego dodatkowego wysiłku.
Ludzie też często poprzestają na jednej zmianie. Pomijają reguły przekierowania, przez które ktoś, kto był w środku przed zmianą hasła, nadal dostaje pocztę po niej. Poleganie na kodach SMS, gdy dostępna jest aplikacja uwierzytelniająca albo passkey, zostawia dziurę na kluczowych kontach, choć SMS-y są nadal lepsze niż nic tam, gdzie to jedyny wybór.
Jest też błąd przeciwny: traktowanie każdego powiadomienia jak stanu wyjątkowego. Jeśli wyciekł tylko twój adres z konta, które możesz po prostu zamknąć, nie musisz zmieniać adresu e-mail i nie musisz płacić za produkt do monitoringu tylko dlatego, że pojawiła się straszna reklama. Oszczędzaj wysiłek na przypadki, w których chodziło o hasło, kartę albo numer tożsamości.
Pytania, które pojawiają się po powiadomieniu
Czy powinienem usunąć swoje konto e-mail?
Zwykle nie. Twój główny adres jest związany z latami resetów haseł i kontaktów, a jego porzucenie rodzi własne ryzyka, bo zapomnianego konta bywa trudno odzyskać. Zamiast tego go chroń i przestań dawać go serwisom, którym mało ufasz. Nowy adres ma sens tylko wtedy, gdy stary jest beznadziejnie ujawniony, a wtedy przenoś konta stopniowo i zostaw stary na jakiś czas otwarty.
Firma twierdzi, że hasła były zaszyfrowane. Czy nadal muszę zmienić swoje?
Tak. Nie znając metody i tego, czy klucze też zostały wykradzione, nie ocenisz ochrony, a zmiana hasła zajmuje mniej czasu niż dochodzenie. Zmień je też wszędzie, gdzie jeszcze go używałeś.
Czy tymczasowy adres może zapobiec wyciekowi?
Żadne narzędzie nie powstrzyma wycieku w firmie. Tymczasowy adres zmienia to, co wyciek ujawnia o tobie. Jeśli forum, do którego dołączyłeś w ten sposób, wycieknie tabelę użytkowników, wyciekły adres nie ma związku z twoją tożsamością, o ile nie podałeś nic innego, co identyfikuje.
Jak często powinienem sprawdzać?
Włącz alerty, żeby sprawdzanie odbywało się bez ciebie. Ręczne spojrzenie na raport menedżera haseł co kilka miesięcy w zupełności wystarczy, plus dodatkowe, gdy o używanym serwisie zrobi się głośno.
Czy płatny monitoring dark webu pomaga?
To zależy od tego, co kupujesz. Te produkty głównie informują, że twoje dane gdzieś się pojawiły, czego w dużej mierze dowiesz się za darmo z wyżej wymienionych serwisów. Ubezpieczenie od kradzieży tożsamości albo pomoc w odzyskiwaniu mogą się przydać, jeśli ujawniono dane twojego dokumentu tożsamości, więc przeczytaj, co plan faktycznie obejmuje, zanim zapłacisz.
Komu to zgłosić?
Zwykle nie musisz zgłaszać wycieku w firmie, bo firma ma własne obowiązki wobec organów nadzorczych. Zgłoś go, jeśli straciłeś pieniądze albo jesteś szantażowany: najpierw bankowi, potem policji lub krajowej służbie przyjmującej zgłoszenia oszustw. W UE i Wielkiej Brytanii możesz złożyć skargę do organu ochrony danych, jeśli firma źle obchodzi się z incydentem albo ignoruje twoje żądania.
Więcej o tym, jak działają tymczasowe skrzynki i jak długo przechowywane są wiadomości, znajdziesz w FAQ VookMail.