Допустим, будний вечер, и вам приходит письмо от сайта по продаже билетов, которым вы пользовались три года назад. В теме написано: «Важно: ваши данные могли быть раскрыты». Вы почти не помните этот аккаунт, понятия не имеете, какой пароль там использовали, а в письме красуется большая кнопка «Защитить аккаунт». Ближайший час важнее всей остальной недели, и первое, что в нём нужно сделать, — не трогать эту кнопку.
Коротко: убедитесь в подлинности уведомления, самостоятельно зайдя на сайт компании, выясните, какие именно данные похищены, прежде всего защитите свой основной почтовый ящик, затем смените утёкший пароль везде, где вы его использовали, и включите двухфакторную аутентификацию или ключ доступа (passkey). Утечка данных почты означает, что компания, хранившая ваш адрес, потеряла над ним контроль, обычно вместе с другими сведениями. Отменить утечку нельзя. Но можно сделать так, чтобы она осталась досадной неприятностью и не переросла в украденный аккаунт.
Первый час: что делать по порядку
Порядок ниже вытекает из одной мысли: через почтовый ящик можно сбросить почти любой ваш пароль, поэтому его защищают раньше, чем аккаунт, который на самом деле пострадал. Время указано приблизительно. Если пароли в утечке не участвовали, шаги 4 и 5 можно пропустить и уложиться в пятнадцать минут.
- Ничего не открывайте в самом письме (первые 2 минуты). Никаких ссылок, вложений и телефонных номеров из уведомления. Поддельные письма об утечках — обычное продолжение настоящих утечек, а настоящее письмо ничего не потеряет, если вы проигнорируете его кнопку.
- Проверьте уведомление независимо (следующие 5 минут). Введите адрес сайта компании в браузере или откройте старую закладку и поищите сообщение о безопасности или баннер. Поищите название компании со словом «утечка» и посмотрите, пишут ли об этом надёжные СМИ или сама компания.
- Узнайте, что украдено (следующие 5 минут). Типы данных перечислены в уведомлении, в заявлении компании или на сервисе проверки. Пароли, данные карт и документы, удостоверяющие личность, требуют разных действий, и таблица ниже их раскладывает.
- Защитите основной почтовый ящик (следующие 15 минут). Задайте ему длинный пароль, который нигде больше не используется, завершите остальные сеансы, включите двухфакторную аутентификацию или ключ доступа и проверьте правила пересылки и данные для восстановления. Шаги для Gmail, Outlook и iCloud приведены в разделе о почтовом ящике ниже.
- Разберитесь с утёкшим паролем (следующие 20 минут). Смените его на пострадавшем сайте через его собственную страницу входа. Затем вспомните, где ещё вы использовали такой же или похожий пароль, и смените его и там, начиная с банка, мобильного оператора, облачного хранилища и магазинов, где сохранена карта.
- Запишите, что вы сделали (последние 5 минут). Отметьте компанию, дату, затронутые данные и пароли, которые вы сменили. Если через три месяца произойдёт что-то странное, эта заметка подскажет, связано ли это с утечкой.
Если не хватает времени или сил, остановитесь после шага 4. Защищённый почтовый ящик сохраняет вам большую часть возможностей: злоумышленнику, который не может читать вашу почту, гораздо труднее сбросить что-либо ещё.
Настоящее ли это уведомление?
Компании действительно рассылают такие письма, а во многих странах обязаны это делать. Согласно статье 34 европейского GDPR, организация должна без неоправданных задержек сообщить пострадавшим, если утечка, вероятно, создаёт для них высокий риск, а в каждом штате США действует свой закон об уведомлении об утечках со своими условиями. Правила различаются, поэтому одна компания может написать вам через несколько дней, другая — через месяцы, а третья — вообще не напишет. Наш обзор законов о конфиденциальности электронной почты подробнее освещает юридическую сторону.
Мошенники знают, что люди ждут таких писем. Вот придуманный пример поддельного уведомления, на который стоит обращать внимание:
Пример поддельного уведомления (придуман для иллюстрации):
Тема: СРОЧНО: инцидент безопасности в вашем аккаунте
Уважаемый клиент, ваш пароль был раскрыт в недавнем инциденте. Ваш аккаунт будет закрыт в течение 12 часов, если вы не подтвердите текущий пароль и номер карты с помощью безопасной кнопки ниже.
Выдают его три признака. Срок исчисляется часами, письмо требует ваш текущий пароль и просит номер карты, который не нужен ни одной настоящей процедуре сброса. Настоящее уведомление объясняет, что произошло, и предлагает сменить пароль на сайте. В нашем руководстве по распознаванию фишинговых писем описано гораздо больше признаков, но сравнения ниже охватывают те, что относятся именно к утечкам.
| На что смотреть | Настоящее уведомление обычно | Поддельное уведомление обычно |
|---|---|---|
| Указания | Советует сменить пароль на сайте или сообщает, что сброс выполнен принудительно | Подталкивает нажать кнопку и перейти на страницу входа |
| Подробности | Называет инцидент, примерные даты и типы данных | Остаётся расплывчатым в том, что произошло |
| Запросы | Не просит ничего конфиденциального по почте | Просит пароль, номер карты или код, пришедший на телефон |
| Вложения | Редко содержит их | Содержит «отчёт» в виде ZIP-архива, документа с макросом или файла вроде report.pdf.exe |
| Публичный след | Совпадает с заявлением на сайте компании | Не оставило никакого публичного следа |
| Предложения | Может предлагать мониторинг личных данных у названного провайдера с кодом для сайта этого провайдера | Требует плату или просит банковские реквизиты, чтобы выплатить вам компенсацию |
Письмо может пройти все технические проверки и всё равно оказаться нежеланным. В Gmail в меню с тремя точками есть пункт Показать оригинал, где видны результаты SPF, DKIM и DMARC. Пометка dmarc=fail на письме от имени крупной компании — серьёзное предупреждение. Успешная проверка говорит лишь о том, что письмо пришло с показанного домена, а этот домен может оказаться похожим на настоящий и зарегистрированным на прошлой неделе.
Уведомления иногда приходят от неизвестного вам имени: инцидент произошёл у подрядчика — службы поддержки, маркетинговой платформы или платёжного процессора, работающих на знакомую вам компанию. Тогда поищите подтверждение у компании, которую вы знаете. Если ничего не нашли, напишите в её службу поддержки через её собственную страницу контактов и спросите.
Прочитайте список данных: он определяет объём работы
Адрес электронной почты почти никогда не бывает единственным. Что это будет стоить — десять минут или целый день, — зависит от того, что лежало рядом с ним в украденной таблице. Допустим, сайт продажи билетов из нашего примера сообщает об «именах, адресах электронной почты и хешированных паролях». Это ставит вас в третью строку таблицы ниже с частью работы из второй.
| Что утекло вместе с адресом | Что с этим могут сделать | Что делать вам |
|---|---|---|
| Ничего больше | Рассылать спам и целевой фишинг, связывать ваши записи из разных утечек, проверять, не повторяется ли пароль на других сайтах | Осторожно относиться к письмам, где упоминается этот сервис; подумать о переносе аккаунта на другой адрес |
| Пароль в открытом виде | Сразу войти на этот сайт и попробовать ту же пару на других | Сменить везде, где он использовался, сегодня же |
| Хешированный пароль | Пытаться подобрать его офлайн; слабые и распространённые пароли поддаются первыми | Считать его открытым |
| Имя, номер телефона, домашний адрес | Писать убедительные сообщения, звонить с мошенническими целями, пытаться подменить SIM-карту | Установить у оператора PIN-код или защиту от переноса номера; осторожно относиться к неожиданным звонкам и сообщениям |
| Дата рождения, ответы на секретные вопросы | Злоупотребить восстановлением аккаунта, пройти слабую проверку личности | Заменить ответы на случайные и сохранить их в менеджере паролей |
| Часть данных карты | Придать мошенничеству правдоподобие («мы видим вашу карту, оканчивающуюся на 1234») | Следить за выписками; звонящий, знающий эти цифры, ничего этим не доказал |
| Полный номер карты | Пытаться совершать мошеннические покупки | Позвонить в банк по номеру на карте и попросить перевыпуск |
| Номера государственных документов | Пытаться совершить кражу личных данных | Следовать рекомендациям государственных органов вашей страны; см. раздел о личных данных ниже |
| IP-адрес, данные об устройстве | Примерно определить ваше местоположение, подогнать мошенническую схему | Напрямую сделать почти ничего нельзя |
| Личные сообщения или файлы | Шантажировать или позорить, раскрыть чужие данные | Понять, что в них было и кого ещё это касается; о шантаже сообщить в полицию |
Пара слов о «хешировании», поскольку компании любят им успокаивать. Хеш — это односторонняя «мешанина» из вашего пароля, и степень защиты зависит от метода. Медленные алгоритмы с «солью», такие как bcrypt или Argon2, делают подбор дорогим, так что длинный случайный пароль, хранящийся таким образом, может так и не быть восстановлен. Быстрые хеши вроде MD5 или SHA-1 без соли можно атаковать с огромной скоростью, а короткие или распространённые пароли быстро поддаются при любом методе. По уведомлению редко можно оценить это, поэтому в любом случае смените пароль.
Что можно сделать с одним утёкшим адресом
«Пострадал только ваш адрес электронной почты» звучит как хорошая новость, и по сравнению с утечкой пароля так оно и есть. Адрес — не секрет, и в аккаунт по одному адресу никто не войдёт. И всё же он меняет ваше положение несколькими способами, которые стоит понимать.
Адрес реального сервиса заведомо принадлежит человеку, который где-то регистрируется, поэтому для спамеров он ценнее угаданного. Списки объединяют и перепродают, так что рост спама может начаться через месяцы после инцидента и не иметь очевидной связи с ним.
Утечка также подсказывает преступникам, где у вас есть аккаунт. Обычное сообщение «проблема с вашим заказом» легко отбросить. Сообщение же, в котором назван магазин, которым вы действительно пользуетесь, обращение идёт по имени из той же утечки, а пришло оно в тот момент, когда магазин в новостях, заметить гораздо сложнее. Это главная практическая причина оставаться внимательным несколько недель после уведомления.
Ваш адрес служит и ключом для сопоставления. Допустим, одна утечка связывает его с игровым именем пользователя, другая — с номером телефона, а третья — с городом проживания. Тот, у кого есть все три, может выстроить их по общему адресу и составить досье, которое никто никогда не передавал целиком. Использование одного адреса везде делает это возможным, и это та часть, которую вы можете изменить.
А адрес — это половина большинства логинов, что подводит к атаке, из-за которой утечки обходятся так дорого.
Как одна утечка превращается в несколько
Ущерб часто возникает не там, где произошла утечка. Credential stuffing — это автоматическая проверка утёкших пар «адрес — пароль» на других сервисах. Пары из многих утечек собираются в большие «комбо-списки», а программы прогоняют их через почтовые сервисы, магазины, стриминговые сервисы, игровые платформы и облачные хранилища. Большинство попыток неудачны. Но успешных хватает, чтобы это окупалось: удачный вход можно использовать, чтобы купить товары с сохранённой карты, обнулить бонусные баллы, рассылать спам с доверенного аккаунта или запускать сброс паролей в связанных сервисах.
Всё это держится на повторном использовании паролей. Возьмём, например, человека, который использовал Harbour2019! на сайте продажи билетов, в магазине и в почте. Утечка с сайта билетов раскрывает один пароль и три аккаунта. Если бы на каждом сайте был свой случайный пароль, та же утечка раскрыла бы один аккаунт, которым человек почти не пользуется. Небольшие изменения мало помогают, потому что инструменты злоумышленников перебирают очевидные варианты: смену года, добавление цифры, замену восклицательного знака.
Password spraying — это зеркальное отражение. Вместо проверки одного известного пароля на человека злоумышленник пробует несколько самых распространённых паролей на длинном списке действительных адресов. Чтобы это сработало, ваш пароль не должен был утечь. Достаточно, чтобы он был распространённым, а адрес предоставила утечка.
Ещё один источник украденных паролей заслуживает упоминания, потому что он меняет совет. Вредоносные программы, известные как инфостилеры, копируют сохранённые пароли и файлы cookie входа прямо с заражённого устройства, и украденные логи ходят по рукам почти так же, как данные утечек. Если пароль, которым вы нигде не пользовались повторно, оказывается среди скомпрометированных, или аккаунт взломали, несмотря на надёжный пароль и отсутствие известных утечек, источником может быть ваше устройство. Проверьте его надёжным антивирусом и меняйте пароли с чистого устройства, потому что смена пароля на заражённом компьютере может выдать и новый.
Проверка вашей собственной уязвимости
Уведомление говорит об одной компании. Чтобы увидеть более широкую картину, используйте не один источник, поскольку ни одна база не охватывает все инциденты.
Have I Been Pwned (haveibeenpwned.com), которым руководит исследователь безопасности Трой Хант, — самый известный сервис проверки. Вводите адрес, и он показывает известные утечки с этим адресом, с датами и типами данных. Функция уведомлений присылает вам письмо, когда ваш адрес появляется в новой загруженной утечке; её стоит настроить один раз и забыть. Некоторые утечки, считающиеся конфиденциальными, скрыты от публичного поиска и показываются только после подтверждения владения адресом. Mozilla Monitor предлагает похожую проверку и оповещения на данных Have I Been Pwned, а для постоянных оповещений требуется аккаунт Mozilla.
Пустой результат не означает, что вы в безопасности. Многие утечки так и не обнаруживаются или не попадают в такие сервисы. Длинный список тоже не значит, что у вас беда: старые записи часто относятся к паролям, которые вы давно сменили. Смотрите на даты и типы данных и действуйте по всему, что ещё может использоваться.
Для проверки по почте нужен только ваш адрес. С паролями нужно быть осторожнее. В Google Password Manager есть Проверка паролей, в приложении «Пароли» на устройствах Apple — раздел Безопасность, который отмечает скомпрометированные и повторяющиеся пароли, и у сторонних менеджеров есть похожие отчёты, например Watchtower в 1Password и отчёт о раскрытых паролях в Bitwarden. Они работают по вашему сохранённому списку, а это ещё и самый быстрый способ найти, где пароль повторялся.
Функция Pwned Passwords показывает, как проверка может обойтись без раскрытия пароля. Ваше устройство вычисляет SHA-1-хеш пароля и отправляет только первые пять символов. Сервис возвращает все утёкшие хеши, начинающиеся с этих символов, а остальное ваше устройство сравнивает локально. Сервис никогда не получает ни пароль, ни даже его полный хеш; этот метод называется k-анонимностью.
Никогда не вводите пароль на случайном сайте, который предлагает сообщить, взломан ли он. Инструменты, встроенные в ваш менеджер паролей или браузер, подходят. А страница проверки, на которую вы попали из письма или рекламы, может просто собирать пароли.
Многое можно узнать и из собственной почты. Поищите в ящике «welcome», «verify your email», «confirm your account» и «your password has been changed». Найденное станет примерным списком сервисов, где есть ваш адрес, и о некоторых вы успели забыть. Этот список пригодится в разделе об очистке ниже.
Тщательная проверка почтового ящика
Одной смены пароля недостаточно, если кто-то уже был внутри. Тот, кто получил доступ к ящику, часто настраивает что-то, что переживёт смену пароля, поэтому проверьте четыре вещи: открытые сеансы, пересылку, фильтры и данные для восстановления. Названия меню со временем меняются, но пути ниже должны привести примерно туда, куда нужно.
Gmail и аккаунты Google
В веб-версии Gmail нажмите значок шестерёнки, затем Все настройки. В разделе Пересылка и POP/IMAP проверьте, нет ли адреса пересылки, который вы не добавляли, а в Фильтры и заблокированные адреса — правил, удаляющих или пересылающих почту. В правом нижнем углу ящика ссылка Подробнее под сведениями о последней активности в аккаунте показывает недавние входы. На странице Безопасность в вашем аккаунте Google перечислены устройства, недавние действия по безопасности, телефон и почта для восстановления и сторонние подключения. Завершите сеанс на любом устройстве и удалите любое приложение, которого не узнаёте.
Outlook.com и аккаунты Microsoft
В веб-версии Outlook откройте Параметры, затем Почта. Проверьте Пересылка и Правила. В вашем аккаунте Microsoft перейдите в Безопасность, чтобы просмотреть историю входов, и посмотрите, какие способы проверки и приложения подключены.
Apple и iCloud Mail
На iPhone откройте Настройки, нажмите на своё имя, затем Вход и безопасность, чтобы проверить доверенные номера телефонов и способы восстановления. Список устройств ниже показывает всё, что выполнило вход в вашу учётную запись Apple. Правила и пересылку для iCloud Mail можно проверить в настройках почты на iCloud.com.
Как выглядит ящик, в который вмешались
Адрес пересылки, который вы не добавляли, — самый ясный признак, поскольку он тихо отправляет копии вашей почты, включая сообщения о сбросе пароля, кому-то другому. Следом идёт фильтр, который отправляет письма со словами вроде «безопасность», «пароль» или названием вашего банка сразу в корзину или архив. Незнакомые отправленные письма, неизвестный телефон для восстановления или подключённое приложение, которое вы не одобряли, указывают в ту же сторону.
Если вы нашли что-то из этого, считайте ящик взломанным. Удалите найденное, снова смените пароль с надёжного устройства, завершите все сеансы и затем просмотрите сами письма. Поищите сообщения о сбросе пароля, которые вы не запрашивали, поскольку они показывают, какие ещё аккаунты были мишенью. Если вы потеряли доступ, правильный путь — процедура восстановления аккаунта у вашего провайдера, и добраться до неё нужно через справочные страницы самого провайдера. Результаты поиска по запросу «телефон поддержки почты» — известное место охоты мошенников.
Выбор второго фактора
Двухфакторная аутентификация останавливает большую часть credential stuffing, потому что утёкший пароль сам по себе уже никого не пускает. Но методы сильно различаются, и после утечки разумно перевести важные аккаунты вверх по этой таблице, где это возможно.
| Метод | Насколько надёжен | Где слабое место |
|---|---|---|
| Коды в SMS | Гораздо лучше, чем один пароль | Подмена SIM-карты; коды можно ввести на поддельном сайте и передать дальше |
| Коды по электронной почте | Слабая защита для самых важных аккаунтов | Бесполезны, если взломан сам ящик, и бессмысленны при входе в сам ящик |
| Приложение-аутентификатор (TOTP) | Хороший вариант, не зависит от номера телефона | Коды всё равно можно выманить на убедительной поддельной странице входа; сделайте резервные копии на случай смены телефона |
| Подтверждение пуш-уведомлением | Хорошо, если нужно сопоставить число | Без сопоставления числа повторяющиеся запросы могут утомить человека, и он нажмёт «Подтвердить» |
| Ключ доступа (passkey) или аппаратный ключ безопасности | Самый надёжный вариант для большинства людей | Требует небольшой настройки и второго ключа или синхронизируемого устройства в качестве резерва; поддерживается не везде |
Ключи доступа в этом контексте заслуживают дополнительного внимания. Ключ доступа — это учётные данные на основе криптографии с открытым ключом, привязанные к домену одного сайта. Сайт хранит только открытую половину, поэтому в украденной таблице пользователей нет ничего, с чем можно войти под вашим именем. Поддельный фишинговый сайт тоже ничего не получит, потому что ваше устройство не предложит учётные данные не тому домену. Если ваш почтовый провайдер и банк поддерживают ключи доступа, уведомление об утечке — хороший повод их настроить. Каким бы методом вы ни пользовались, сохраняйте коды восстановления, когда их предлагают, — в менеджере паролей или на бумаге в безопасном месте дома.
Если затронуты платёжные или личные данные
Простая утечка адреса и пароля не требует ничего из этого. Если в списке есть полные номера карт, банковские реквизиты или государственные идентификационные номера, дальнейшие шаги зависят от страны, где вы живёте, и от того, что предлагает компания.
По картам позвоните в банк по номеру, напечатанному на карте, и спросите, нужно ли её заменить. Проверьте последние выписки на небольшие тестовые списания, которые часто предшествуют крупным. Если компания предлагает бесплатный мониторинг личных данных, подключиться к нему можно через её официальный сайт, и учтите, что мониторинг сообщает о проблемах лишь после их начала.
В США самый сильный бесплатный инструмент — заморозка кредитной истории. Федеральный закон делает бесплатным замораживание и разморозку вашего досье в каждом из трёх общенациональных бюро (Equifax, Experian и TransUnion), и заморозка, как правило, не даёт открыть новый кредит на ваше имя, пока вы её не снимете. К каждому бюро нужно обращаться отдельно. Предупреждение о мошенничестве — более мягкий вариант, который просит кредиторов проверять вашу личность; оно действует год, и если оформить его в одном бюро, оно передаётся остальным. Если вашими данными воспользовались, сайт FTC IdentityTheft.gov составит план восстановления и отчёт, который можно использовать в банках и бюро.
В других странах варианты иные. В Великобритании можно проверить своё досье в кредитных бюро и спросить в банке, что он рекомендует, а платная защитная регистрация доступна в службе предотвращения мошенничества Cifas. В ЕС и многих других странах обратитесь в свой банк и изучите рекомендации национального органа по защите прав потребителей или данных. Если был похищен скан паспорта или национального удостоверения, выдавший орган подскажет, уместна ли замена.
У утёкшего номера телефона есть своё решение. Попросите у мобильного оператора PIN-код для аккаунта, PIN для переноса номера или блокировку номера — в зависимости от того, как это у него называется. Они затрудняют подмену SIM-карты, при которой злоумышленник убеждает оператора перенести ваш номер на его SIM и затем получает ваши коды из SMS. Возможности у операторов разные, так что спрашивайте напрямую.
Неудобные ситуации
Утечка на сайте, которым вы не пользовались
Объяснений может быть несколько. Кто-то мог опечататься в вашем адресе или указать его намеренно, данные могли прийти от подрядчика названной компании, утечка может быть собранным или объединённым списком, или вы просто забыли аккаунт многолетней давности. Чтобы выяснить, воспользуйтесь функцией «забыли пароль» на официальном сайте. Если пришло письмо о сбросе, значит, аккаунт существует, и вы можете его защитить или закрыть. Если вы его не создавали, свяжитесь с компанией, потому что к вашему адресу могли привязать чужие данные.
Старый пароль, которым вы больше не пользуетесь
Это хорошая новость при условии, что «больше не пользуетесь» верно везде. Забытые аккаунты обычно хранят старые пароли, и любой новый пароль, построенный по той же схеме, тоже стоит сменить. Поищите его в менеджере паролей, если он у вас есть.
Письмо с вымогательством, где указан ваш пароль
Эта афера распространена и в первый раз пугает. Отправитель в доказательство приводит ваш настоящий старый пароль, заявляет, что записал вас через веб-камеру, и требует криптовалюту. Обычно пароль взят из списка утечки, а записи нет. Не платите и не отвечайте. Смените этот пароль везде, где он у вас ещё используется, сообщите о письме и заблокируйте отправителя. Если в сообщении есть настоящие личные материалы или угроза, которую вы воспринимаете всерьёз, сохраните копию и обратитесь в полицию.
В утечке оказался ваш рабочий адрес
Сообщите в IT-отдел или службу безопасности, даже если это кажется мелочью. Им могут понадобиться проверка на повторное использование в корпоративных системах, сброс учётных данных или наблюдение за целевым фишингом. Прежде чем регистрироваться в сервисах мониторинга с рабочим адресом, ознакомьтесь с политикой работодателя, а личные аккаунты в дальнейшем держите на личном адресе.
Уведомление получил родитель или родственник
Пройдите с ним тот же порядок, сосредоточившись на его основном почтовом ящике и повторяющихся паролях. Пожилые родственники часто становятся мишенью звонков, в которых упоминается утечка, поэтому полезное правило, о котором стоит договориться: ни одна настоящая компания не попросит их зачитать код. Если звонящий говорит иное, можно повесить трубку и перезвонить по номеру с банковской карты или выписки.
Сообщение о мировом соглашении или компенсации
После крупных утечек могут приходить сообщения о коллективных исках или программах компенсаций. Какие-то из них настоящие, а какие-то — подделки, цель которых получить банковские данные. Прежде чем что-то заполнять, проверьте соглашение на официальной странице суда, регулятора или компании. Не платите за получение компенсации.
В следующие недели
Когда срочная часть закончена, утечка — хороший повод исправить то, что сделало её опасной. Всё это не нужно делать за один присест.
Начните с менеджера паролей, если вы им не пользуетесь. Он создаёт случайный пароль для каждого сайта и откажется подставлять его на похожем домене, что даёт вам и небольшую защиту от фишинга. Выберите известный продукт, защитите его длинной парольной фразой и вторым фактором и сначала перенесите самые важные аккаунты. Остальные можно перенести по мере входа в них. Руководство NIST по цифровой идентичности не советует заставлять менять пароли регулярно ради самого этого и рекомендует сверять пароли с известными утечками, так что вам не нужно менять всё по расписанию. Меняйте то, что раскрыто, слабо или повторяется.
Затем пройдитесь по списку забытых аккаунтов из поиска по почте. Каждый неиспользуемый аккаунт — это хранимые данные, ждущие следующего инцидента. Войдите, удалите из профиля всё, что можно, сотрите сохранённую карту и закройте аккаунт. Если кнопки удаления нет, напишите на контакт по вопросам конфиденциальности из политики конфиденциальности сайта. По GDPR и некоторым другим законам, в том числе калифорнийскому, у многих людей есть право требовать удаления, хотя компания может сохранять записи, которые обязана хранить, а эти права зависят от места вашего проживания.
Далее секретные вопросы. «Девичью фамилию матери» и «первую школу» часто можно узнать из данных утечек или социальных сетей. Если сайт заставляет их использовать, давайте случайный ответ и сохраняйте его в менеджере паролей как пароль.
И наконец, ещё какое-то время сохраняйте бдительность. Утёкшие данные продолжают ходить по рукам годами, а целевой фишинг часто приходит гораздо позже, когда шумиха стихла. Не отключайте оповещения об утечках, раз в несколько месяцев просматривайте отчёт менеджера паролей и не спешите доверять любому сообщению, где упоминается пострадавший сервис.
Как сделать следующую утечку меньше
Вы не контролируете безопасность компании. Но вы контролируете, сколько она о вас хранит и как далеко от этой записи может разойтись утечка. Цель в том, чтобы каждое следующее уведомление означало быструю проверку пароля и больше ничего.
Разделите адреса по уровню доверия
Самое полезное изменение — перестать раздавать один адрес всем подряд. Простая схема из трёх уровней подходит большинству людей, а наша статья о том, как выстроить личную стратегию электронной почты, разбирает её шаг за шагом.
| Уровень | Для чего использовать | Тип адреса | Во что обойдётся утечка |
|---|---|---|---|
| Основной | Банк, госуслуги, здоровье, работа, менеджер паролей, главные соцсети | Долгосрочный адрес с надёжной защитой входа, которым редко делятся | Серьёзно, но на этом уровне утечки должны быть редкими, потому что адрес есть лишь у немногих компаний |
| Повседневный | Магазины, подписки, сервисы, которыми вы пользуетесь годами | Второй почтовый ящик или алиасы, пересылающие почту в ваш ящик | Ограниченно; можно отключить отдельный алиас или отфильтровать его |
| Разовый | Одна загрузка, форма, которой вы больше не воспользуетесь, проверка собственной страницы регистрации | Временный ящик, если условия сайта это допускают | Мало; адрес не связан с вашим именем, а ящик исчез |
Плюс-адресация, например name+shop@example.com, занимает место где-то посередине. Она работает в Gmail и Outlook.com и может показать, кто допустил утечку или продал ваш адрес. Но она ничего не скрывает, потому что любой может удалить метку и увидеть основной адрес, и инструменты злоумышленников делают именно это. Пересылающие алиасы, например от iCloud+, Proton или Firefox Relay, настоящий адрес скрывают как следует, ведь в алиасе нет ничего, что вело бы к нему. Покупкам здесь стоит уделить особое внимание, поскольку в базах магазинов рядом лежат адреса почты, номера телефонов и домашние адреса. Наше руководство по конфиденциальности почты при покупках разбирает этот случай, в том числе как хранить чеки.
Где помогает временный ящик
Временный ящик подходит для одного действия на сайте, с которым у вас нет долгих отношений, ради приватности и там, где условия сайта это допускают. VookMail — один из таких сервисов: адрес готов, как только загружается страница, без регистрации и пароля. Вы можете нажать Новый, ввести имя пользователя и выбрать один из более чем 30 доменов или нажать жёлтую кнопку «Случайный», чтобы получить случайный адрес. Письма, вложения и адреса удаляются примерно через сутки.
Именно эта короткая жизнь ограничивает будущую утечку. Если сайт, который вы посетили один раз, позднее потеряет таблицу пользователей, адрес из неё приведёт к ящику, где уже ничего нет и который никак не связан с вашим именем, телефоном или основной почтой. Пароль, который вы там создали, всё ещё имеет значение, так что делайте его уникальным. Данные, внесённые в профиль, тоже раскрываются, и это хороший повод заполнять только то, чего требует форма.
Ограничения столь же очевидны. Любой, кто знает или угадает временный адрес, может открыть этот ящик, так что случайный адрес безопаснее, а ничего личного там быть не должно. Нельзя надёжно получить сброс пароля через несколько недель, поэтому он не годится для любого аккаунта, который вам может понадобиться снова, и его ни в коем случае нельзя использовать для банка, госуслуг, здоровья, работы или основных соцсетей. Некоторые сайты отказывают одноразовым доменам. Это их право, и правильный ответ — уважать его и дать им постоянный адрес или алиас. Наши условия использования также запрещают применять сервис для мошенничества, злоупотреблений или обхода блокировки.
Отдавайте меньше с самого начала
Ущерб зависит от того, что было сохранено. Оставляйте необязательные поля пустыми. Не сохраняйте карту на сайте, которым редко пользуетесь. Осторожнее с кнопками «Войти через» на сервисах, которым вы не вполне доверяете, и смотрите, какой доступ к профилю они запрашивают. Не называйте номер телефона, если он не нужен сайту для безопасности. Дата рождения, которая нужна сайту лишь ради купона ко дню рождения, — это данные, которые можно просто оставить при себе, если форма позволяет.
Ваши данные хранятся в двух разных местах
Полезно различать два вида инцидентов, которые часто смешивают. Когда взламывают сервис, злоумышленник получает то, что этот сервис хранил: ваш адрес, профиль и всё остальное из его базы. Когда взламывают ваш ящик, злоумышленник получает нечто иное — каждое письмо, которое вы сохранили, включая старые чеки, ссылки для сброса пароля, отсканированные документы и личную переписку.
Второе обычно хуже, и поэтому это руководство всё время возвращает вас к почтовому ящику. Отсюда вытекает и скромная привычка: десять лет малоценной почты в основном аккаунте вам не нужны. Удаление старых уведомлений о доставке и рассылок уменьшает то, что может раскрыть взлом ящика, а сохранение важных документов в безопасном месте с собственной защитой обходится недорого.
Временные ящики находятся на дальнем краю этой идеи. В VookMail MX-записи каждого домена указывают на провайдера доставки почты, который принимает письмо по SMTP и пересылает его сервису по HTTPS. Поскольку письма и вложения удаляются примерно через сутки, длинный архив не накапливается. Как сервис обращается с данными, объясняется в политике конфиденциальности и на странице о методологии.
Как произошла сама утечка и почему это важно для вас
Компании не всегда подробно объясняют причину, но когда объясняют, это может подсказать, чего ждать.
- Взлом базы данных через такую уязвимость, как SQL-инъекция или неисправленный сервер, обычно означает, что таблица пользователей была скопирована целиком. Ожидайте адреса и хеши паролей и исходите из того, что данными будут торговать.
- Неправильно настроенное хранилище означает, что база данных или облачное хранилище были открыты в интернет. Возможно, никто ничего не «взламывал», и компания может не знать, кто это скачал, так что честный ответ на вопрос «украли ли мои данные?» может быть «мы не можем сказать».
- Инцидент у подрядчика означает, что взломана маркетинговая платформа, служба поддержки или инструмент аналитики. Так объясняются уведомления от незнакомых названий, и обычно раскрываются контактные данные и обращения в поддержку, а не пароли. В них может оказаться всё, что вы писали в обращении, так что вспомните, что вы им отправляли.
- Скрейпинг собирает публичные или полупубличные данные профилей в большом объёме через сайт или API. Компании иногда утверждают, что это не утечка, но ваш адрес всё равно попадает в продаваемый набор данных.
- Злоупотребление изнутри означает, что сотрудник или подрядчик выгрузил данные, которые не должен был. Это часто целенаправленно, поэтому необычным и личным сообщениям после этого стоит доверять ещё меньше.
Ошибки, которые легко совершить в спешке
Самая частая — сменить пароль только на пострадавшем сайте и оставить тот же на почте и в магазинах. Вторая по частоте — небольшая вариация старого пароля. Переход с Summer2024! на Summer2025! почти не прибавляет работы программе для подбора.
Люди также склонны останавливаться на одном изменении. Они пропускают правила пересылки, из-за которых тот, кто был внутри до смены пароля, продолжает получать почту и после неё. Если полагаться на коды из SMS, когда доступны приложение-аутентификатор или ключ доступа, на критичных аккаунтах остаётся брешь, хотя SMS всё же лучше, чем ничего, когда других вариантов нет.
Есть и обратная ошибка: считать каждое уведомление чрезвычайной ситуацией. Если утёк лишь адрес из аккаунта, который можно просто закрыть, менять адрес электронной почты не нужно, как и платить за продукт мониторинга только потому, что появилась пугающая реклама. Берегите силы для случаев, когда затронуты пароль, карта или идентификационный номер.
Вопросы, которые возникают после уведомления
Нужно ли удалить свой почтовый аккаунт?
Обычно нет. Основной адрес связан с годами сбросов паролей и контактов, а отказ от него создаёт свои риски, ведь забытый аккаунт бывает трудно вернуть. Лучше защитите его и перестаньте давать его сайтам с низким доверием. Новый адрес имеет смысл, только если старый безнадёжно раскрыт, и тогда переносите аккаунты постепенно и держите старый открытым какое-то время.
Компания говорит, что пароли были зашифрованы. Нужно ли всё равно менять свой?
Да. Не зная метода и того, украдены ли также ключи, оценить защиту нельзя, а смена пароля занимает меньше времени, чем выяснение. Смените его и везде, где вы использовали тот же.
Может ли временный адрес предотвратить утечку?
Ни один инструмент не мешает взлому компании. Временный адрес меняет то, что утечка раскрывает о вас. Если форум, на который вы вступили таким образом, потеряет таблицу пользователей, утёкший адрес не будет связан с вашей личностью, если вы больше ничего идентифицирующего не вводили.
Как часто нужно проверять?
Включите оповещения, чтобы проверка происходила без вашего участия. Ручного просмотра отчёта менеджера паролей раз в несколько месяцев вполне достаточно, плюс дополнительный просмотр, когда сервис, которым вы пользуетесь, попадает в новости.
Помогает ли платный мониторинг даркнета?
Это зависит от того, что вы покупаете. Эти продукты в основном сообщают, что ваши данные где-то появились, а это в основном можно узнать бесплатно через сервисы проверки, упомянутые выше. Страхование от кражи личных данных или помощь в восстановлении могут быть небесполезны, если раскрыты данные вашего государственного документа, так что прочитайте, что на самом деле покрывает план, прежде чем платить.
Кому об этом сообщить?
Обычно сообщать об утечке компании не нужно, потому что у самой компании есть обязанности перед регуляторами. Сообщите, если вы потеряли деньги или вас шантажируют: сначала в банк, затем в полицию или национальную службу по борьбе с мошенничеством. В ЕС и Великобритании можно пожаловаться в орган по защите данных, если компания неправильно обошлась с инцидентом или игнорирует ваши обращения.
Подробнее о том, как работают временные ящики и как долго хранятся письма, см. в часто задаваемых вопросах VookMail.