Co zrobić, jeśli Twój adres e-mail znalazł się w wycieku danych

Co zrobić, jeśli Twój adres e-mail znalazł się w wycieku danych

To, że Twój adres e-mail pojawia się w wycieku danych, samo w sobie nie oznacza, że ktoś dostał się na Twoje konto e-mail. Najpierw zweryfikuj powiadomienie na oficjalnej stronie internetowej firmy i sprawdź, co jeszcze zostało ujawnione. Jeśli wyciekło hasło, zmień je wszędzie, gdzie go używałeś, i włącz silniejszą ochronę logowania. Jeśli wyciekły dane karty, konta bankowego lub numer ubezpieczenia społecznego, wykonaj odpowiednie kroki w banku, biurze kredytowym lub na IdentityTheft.gov.

• Tylko adres e-mail: spodziewaj się większej liczby spamu i phishingu wymierzonego w Ciebie. To nie jest dowód, że ktoś uzyskał dostęp do Twojej skrzynki pocztowej.
• Hasło ujawnione lub oznaczone jako przejęte: zmień je na dotkniętym koncie oraz na wszystkich innych kontach, na których używałeś tego samego hasła.
• Oznaki przejęcia konta (nieznane logowania, zmienione dane do odzyskiwania konta, reguły przekazywania wiadomości, których nie utworzyłeś, wiadomości, których nie wysłałeś): skorzystaj z procesu odzyskiwania przejętego konta oferowanego przez Twojego dostawcę poczty.
• Ujawnione dane karty, konta bankowego, numeru ubezpieczenia społecznego lub dokumentu tożsamości: wykonaj konkretne kroki dotyczące tych danych, a nie ogólną listę kontrolną dla e-maila.

Jak sprawdzić, czy Twój adres e-mail znalazł się w wycieku danych

Potwierdź powiadomienie na oficjalnej stronie internetowej lub w aplikacji dotkniętej firmy, a następnie sprawdź wiarygodną wyszukiwarkę wycieków oraz alerty dotyczące zapisanych haseł. Żadna pojedyncza wyszukiwarka nie zawiera wszystkich wycieków, więc przeczytaj także powiadomienie firmy o incydencie, aby dowiedzieć się, jakie dane zostały ujawnione wraz z Twoim adresem.

Zweryfikuj powiadomienie bez korzystania z jego linków

Powiadomienia o wyciekach to ulubiona przykrywka phishingu, więc nie klikaj linków ani nie dzwoń na numery telefonów podane w wiadomości. Brytyjskie Narodowe Centrum Cyberbezpieczeństwa (NCSC) zaleca kontakt z organizacją za pośrednictwem jej oficjalnej strony internetowej lub aplikacji. Wpisz adres samodzielnie lub otwórz aplikację, której już używasz, a następnie poszukaj strony firmy poświęconej incydentowi lub artykułu w centrum pomocy.

Poszukaj opisu incydentu przygotowanego przez firmę oraz kategorii danych, które według niej zostały objęte wyciekiem, takich jak adresy e-mail, hasła, numery telefonów czy dane płatności. Jeśli powiadomienie jest niejasne, zapytaj zespół wsparcia firmy za pośrednictwem oficjalnego kanału, jakie Twoje dane zostały objęte incydentem.

Sprawdź Have I Been Pwned oraz alerty dotyczące zapisanych haseł

Have I Been Pwned to bezpłatna usługa wyszukiwania wycieków prowadzona przez badacza bezpieczeństwa Troya Hunta. Wpisujesz adres e-mail, a usługa wymienia znane wycieki ze swojego zbioru danych, które obejmują ten adres. W sekcji FAQ podano, że wyszukiwania adresów e-mail nie są rejestrowane, a usługa oferuje bezpłatne powiadomienie „Powiadom mnie”, wysyłane wyłącznie na monitorowany adres.

Czysty wynik nie dowodzi, że Twój adres nigdy nie wyciekł. Have I Been Pwned może zgłaszać tylko wycieki, które zindeksowała, a niektóre zbiory danych są obsługiwane inaczej lub nigdy nie trafiają do publicznej wiadomości.

Narzędzia do zarządzania zapisanymi hasłami również mogą oznaczać ujawnione hasła. Google Password Manager ma funkcję Password Checkup, która zgłasza zapisane hasła jako ujawnione, ponownie użyte lub słabe. Na iPhonie sekcja Bezpieczeństwo w aplikacji Hasła wskazuje hasła słabe lub przejęte, w tym hasła wykryte w znanych wyciekach danych. Niektóre inne menedżery haseł oferują podobny monitoring. Google zaleca otwarcie Password Checkup bezpośrednio, aby zweryfikować alert, zamiast korzystać z linku w powiadomieniu, co jest dobrym nawykiem w przypadku każdego ostrzeżenia o bezpieczeństwie.

To, co wyciekło, decyduje o tym, co powinieneś zrobić

Dostosuj swoją reakcję do danych, które zostały ujawnione. Wyciek adresu e-mail głównie zwiększa ryzyko phishingu, wyciek hasła wymaga ustawienia nowych haseł, a wyciek danych finansowych lub numeru ubezpieczenia społecznego wymaga podjęcia kroków w banku i biurze kredytowym.

Numer telefonu, adres lub data urodzenia nie oznaczają, że dojdzie do wymiany karty SIM. Te dane ułatwiają jednak inżynierię społeczną, a Federalna Komisja Handlu (FTC) zauważa, że ustawienie PIN-u lub hasła na koncie komórkowym może pomóc zablokować nieautoryzowane zmiany.

Jeśli firma twierdzi, że ujawniono skróty haseł

Wiele firm przechowuje hasła jako skróty (hashe), a nie jako czytelny tekst. Jeśli powiadomienie o naruszeniu mówi, że skradziono skróty haseł, postępuj zgodnie z instrukcjami resetowania podanymi przez firmę i zmień to hasło wszędzie, gdzie go ponownie używałeś. Haszowanie może zmniejszyć szansę na odzyskanie hasła, ale ochrona zależy od metody haszowania, jej konfiguracji i siły Twojego hasła. Nie zakładaj, że zahaszowane hasło jest od razu czytelne ani że jest trwale bezpieczne.

Jeśli alert wspomina o logu stealera lub złośliwym oprogramowaniu

Niektóre alerty o naruszeniach pochodzą z „logów stealerów”, czyli danych logowania zebranych przez złośliwe oprogramowanie na zainfekowanym urządzeniu, a nie skopiowanych z bazy danych firmy. Jeśli alert wyraźnie to stwierdza, zaktualizuj i przeskanuj dotknięte urządzenie zaufanym oprogramowaniem zabezpieczającym, a następnie zmień wrażliwe hasła z urządzenia, o którym wiesz, że jest czyste. Zwykłe naruszenie u firmy samo w sobie nie oznacza, że Twój telefon lub komputer zawiera złośliwe oprogramowanie.

Jeśli hasło zostało ujawnione lub użyte ponownie

Działaj szybko, gdy hasło zostało ujawnione, ponieważ ktoś może wypróbować tę kombinację adresu e-mail i hasła na naruszonym koncie lub na innych stronach. Zmień je na dotkniętym koncie, a następnie zastąp je wszędzie, gdzie nadal go używasz.

Zmień je na dotkniętym koncie

Zaloguj się, wpisując adres strony samodzielnie, a nie przez link w e-mailu, i ustaw nowe, długie i unikalne hasło. IdentityTheft.gov sugeruje też zmianę nazwy użytkownika, jeśli strona na to pozwala. Jeśli nie możesz się zalogować, skontaktuj się z firmą i zapytaj, jak odzyskać lub zamknąć konto.

Będąc zalogowanym, sprawdź, czy nie ma zmian, których nie wprowadziłeś, zwłaszcza na stronach zakupowych lub finansowych. Sprawdź adres dostawy, zapisane karty, powiązane konta oraz ostatnie zamówienia lub transakcje.

Zastąp je wszędzie, gdzie go ponownie używałeś

Każde inne konto, które nadal używa ujawnionego hasła, jest zagrożone, nawet jeśli ta usługa nie została naruszona. Zmień te hasła w następnej kolejności, zaczynając od kont, które mogą odblokować dostęp do innych usług lub narazić pieniądze czy wrażliwe informacje:

1. Twoje konta e-mail, ponieważ trafiają tam linki do resetowania hasła do niemal wszystkiego innego
2. Konta bankowe, płatnicze i inwestycyjne
3. Strony zakupowe, które przechowują dane karty
4. Media społecznościowe, przechowywanie w chmurze i konta u operatorów telefonicznych

Jeśli Twoje główne hasło do e-maila nie było ponownie używane, nie zostało oznaczone i nie wykazuje nietypowej aktywności, nie musi być zmieniane w pierwszej kolejności. Zmień je, gdy jest takie samo jak hasło do naruszonej strony lub gdy pojawia się w osobnym alercie o naruszeniu.

Menedżer haseł ułatwia to w praktyce, tworząc i przechowując inne hasło dla każdego konta. Niektóre menedżery haseł potrafią też oznaczać zapisane hasła, które są używane ponownie lub znane jako ujawnione. Menedżer haseł nie zapobiegnie naruszeniu u firmy, ale unikalne hasła sprawiają, że jedno ujawnione hasło nie odblokowuje innych kont.

Przejdź na klucz dostępu lub dodaj silniejszą ochronę logowania

Jeśli strona obsługuje klucze dostępu, rozważ użycie klucza zamiast hasła. W przeciwnym razie użyj unikalnego hasła i włącz uwierzytelnianie wieloskładnikowe (MFA). W przypadku ważnych kont silniejszym wyborem jest aplikacja uwierzytelniająca lub klucz bezpieczeństwa. Kody wysyłane w wiadomościach tekstowych nadal zwiększają ochronę, ale FTC ostrzega, że mogą nie powstrzymać wymiany karty SIM.

Zanim usuniesz starą metodę logowania, upewnij się, że Twój zapasowy adres e-mail, zapasowy numer telefonu, kody zapasowe i zaufane urządzenia są pod Twoją kontrolą. Nie wyłączaj weryfikacji przez wiadomości tekstowe, dopóki inna metoda nie zostanie skonfigurowana i nie zacznie działać, bo możesz zablokować sobie dostęp do konta.

Jeśli są oznaki, że ktoś uzyskał dostęp do Twojego konta e-mail

Naruszenie dotyczące innej firmy niekoniecznie oznacza, że ktoś wszedł do Twojej skrzynki pocztowej. Poniższe kroki dotyczą tylko sytuacji, gdy zauważysz oznaki przejęcia konta e-mail, takie jak:

• Nie możesz się zalogować albo Twoje hasło lub nazwa użytkownika zostały zmienione bez Twojego udziału
• Powiadomienia o logowaniu z urządzeń lub miejsc, których nie rozpoznajesz
• Dodane bez Twojej wiedzy adresy e-mail lub numery telefonów do odzyskiwania konta
• Wysłane wiadomości, których nie napisałeś, lub znajomi zgłaszający dziwne maile od Ciebie

Odzyskaj konto przez swojego dostawcę

Skorzystaj z oficjalnej strony odzyskiwania konta swojego dostawcy, otwierając ją przez wpisanie adresu lub uruchomienie jego aplikacji. Gdy odzyskasz dostęp, zmień hasło, wyloguj się ze wszystkich innych sesji i urządzeń oraz włącz MFA, jeśli było wyłączone. FTC zaleca również zaktualizowanie oprogramowania zabezpieczającego i przeprowadzenie skanowania.

Sprawdź urządzenia, dane do odzyskiwania, reguły przekazywania i połączone aplikacje

Włamywacz może zmienić ustawienia, aby zachować dostęp lub otrzymywać kopie Twoich wiadomości po zmianie hasła. Wytyczne Google dotyczące przejętych kont wskazują poniższe kontrole; stosuj równoważne ustawienia bezpieczeństwa i poczty oferowane przez Twojego dostawcę.

• Urządzenia i sesje: przejrzyj ostatnią aktywność związaną z bezpieczeństwem i usuń każde urządzenie, którego nie rozpoznajesz.
• Dane do odzyskiwania: popraw każdy adres e-mail do odzyskiwania, numer telefonu lub nazwę konta, których nie ustawiłeś.
• Przekazywanie, filtry i delegaci: usuń reguły przekazywania, filtry i delegatów poczty, których nie utworzyłeś. Sprawdź foldery wysłanych i usuniętych wiadomości pod kątem wiadomości wysłanych lub przeczytanych przez kogoś innego.
• Połączone aplikacje: usuń aplikacje innych firm mające dostęp do Twojego konta, których nie rozpoznajesz lub których już nie używasz.

Ostrzeż swoje kontakty, jeśli wysłano wiadomości

Jeśli ktoś wysłał wiadomości z Twojego konta, powiedz swoim kontaktom, aby nie klikali w linki ani nie odpowiadali na prośby o pieniądze, które wyglądają, jakby pochodziły od Ciebie.

Jeśli ujawniono dane karty, banku lub numer ubezpieczenia społecznego

Dane finansowe i tożsamości wymagają działań, których nie obejmie samo nowe hasło. Kroki opisane w tej sekcji są zgodne z wytycznymi FTC IdentityTheft.gov i dotyczą Stanów Zjednoczonych. W innych krajach skorzystaj z krajowych organów ds. cyberprzestępczości, ochrony danych i raportowania kredytowego oraz ze swojego banku.

Karta kredytowa lub debetowa

Skontaktuj się z wydawcą karty, dzwoniąc pod numer z tyłu karty lub z wyciągu, a nie pod numer z wiadomości o naruszeniu. Poproś o anulowanie karty i wydanie nowej. Przejrzyj ostatnie transakcje, zgłoś te, których nie rozpoznajesz, i zaktualizuj płatności automatyczne o nowy numer karty.

Konto bankowe lub inwestycyjne

Poinformuj swój bank lub biuro maklerskie o tym, co się stało, korzystając z danych kontaktowych, o których już wiesz, że są prawdziwe. IdentityTheft.gov sugeruje zamknięcie konta i otwarcie nowego, ale postępuj zgodnie z konkretnymi instrukcjami swojej instytucji. Następnie regularnie przeglądaj transakcje i aktualizuj wszelkie płatności automatyczne.

Numer ubezpieczenia społecznego

Ujawniony numer ubezpieczenia społecznego można wykorzystać do zaciągnięcia kredytu, złożenia deklaracji podatkowej lub podjęcia pracy na Twoje nazwisko. Oto główne kroki ochronne:

• Zamroź swoją historię kredytową w Equifax, Experian i TransUnion. Musisz skontaktować się z każdym biurem osobno. Zamrożenie jest bezpłatne, trwa do momentu jego zniesienia i nie wpływa na Twoją ocenę kredytową. Każdy może je założyć w dowolnym momencie, ale ma ono największe znaczenie, gdy wycieknie Twój numer Social Security lub inne dane tożsamości. Blokuje ono otwieranie nowych kont kredytowych; nie powstrzymuje jednak nadużyć na istniejących kartach ani kontach.
• Rozważ alert o oszustwie. Początkowe powiadomienie jest bezpłatne, trwa rok i wymaga tylko jednego telefonu: biuro, z którym się kontaktujesz, musi poinformować pozostałe dwa.
• Sprawdź swoje raporty kredytowe na AnnualCreditReport.com, gdzie co tydzień możesz bezpłatnie zobaczyć online raporty ze wszystkich trzech biur.
• Zaakceptuj bezpłatne monitorowanie kredytu, jeśli oferuje je firma, której dotyczyło naruszenie. Monitorowanie ostrzega o aktywności w Twoich raportach, ale nie blokuje oszustw tak jak zamrożenie kredytu.
• Uzyskaj PIN IRS Identity Protection. Pomaga on zapobiec temu, by ktoś inny użył Twojego numeru Social Security do złożenia fałszywego federalnego zeznania podatkowego, a nowy IP PIN jest generowany co roku.
• Przejrzyj swoją historię zatrudnienia na koncie my Social Security, aby sprawdzić, czy ktoś użył Twojego numeru do pracy.

Jeśli znajdziesz konta, długi lub zeznania podatkowe, których nie rozpoznajesz, zgłoś je na IdentityTheft.gov. Strona tworzy osobisty plan odzyskiwania na podstawie tego, co się wydarzyło.

Dane dziecka

Jeśli numer Social Security dziecka lub inne dane tożsamości zostały ujawnione, rodzic lub opiekun może poprosić o bezpłatne zamrożenie kredytu dziecka w każdym z biur. Każde biuro ma własną procedurę dla nieletnich, inną niż zamrożenie dla dorosłych.

Prawo jazdy, paszport lub dane ubezpieczenia zdrowotnego

Jeśli ujawniono dane prawa jazdy, skontaktuj się ze stanową agencją ds. pojazdów i zapytaj, czy może oznaczyć numer lub wydać nowy dokument. Jeśli ujawniono tylko numer paszportu USA, Departament Stanu podał, że nie zaleca zgłaszania paszportu jako zgubionego lub skradzionego; zrób to tylko wtedy, gdy fizyczna książeczka lub karta paszportowa rzeczywiście zaginęła lub została skradziona, ponieważ zgłoszenie ją unieważnia. Jeśli ujawniono dane Medicare, Medicaid lub ubezpieczenia zdrowotnego, skontaktuj się z programem lub ubezpieczycielem pod numerem, o którym wiesz, że jest prawdziwy, i przejrzyj swoje roszczenia oraz wyciągi Explanation of Benefits pod kątem świadczeń, których nie otrzymałeś. Jeśli którakolwiek z tych informacji zostanie wykorzystana w niewłaściwy sposób, zgłoś to na IdentityTheft.gov.

Uważaj na phishing wykorzystujący tematykę wycieków

Oszuści wykorzystują prawdziwe wycieki jako przynętę, a takie wiadomości mogą przychodzić długo po tym, jak wyciek trafi do mediów. Typowe motywy to „aktualizacja bezpieczeństwa” prosząca o zalogowanie, oferta rekompensaty, pilny reset hasła oraz ostrzeżenie, że Twoje dane są na sprzedaż w dark webie. Rada FTC dotycząca tego ostatniego dotyczy ich wszystkich: nie klikaj w link ani nie dzwoń pod numer podany w wiadomości. Wejdź bezpośrednio na stronę lub do aplikacji firmy.

Uważaj na kody weryfikacyjne lub e-maile o resecie hasła, o które nie prosiłeś. Mogą oznaczać, że ktoś wpisał Twój adres w formularzu logowania lub odzyskiwania, ale nie dowodzą, że ta osoba zna Twoje hasło. Nie udostępniaj kodu ani nie zatwierdzaj żądania. Przejrzyj ostatnią aktywność bezpieczeństwa konta i zmień hasło, jeśli jest ono ponownie używane, oznaczone jako przejęte lub towarzyszą mu oznaki nieautoryzowanego dostępu.

Zgłoś phishing przyciskiem zgłoszenia w aplikacji e-mail, aby jej filtry się poprawiły. W USA zgłaszaj oszustwa i wyłudzenia na ReportFraud.ftc.gov, a z IdentityTheft.gov korzystaj, jeśli ktoś faktycznie wykorzystał Twoje dane.

Jeśli konto należy do Twojej pracy lub szkoły

Jeśli ujawniony adres lub konto jest zarządzane przez pracodawcę lub szkołę, skontaktuj się z jej zespołem IT lub ds. bezpieczeństwa przez zatwierdzony kanał i postępuj zgodnie z jego instrukcjami, zanim zmienisz ustawienia zarządzane przez organizację. Udostępniaj zawiadomienie tylko upoważnionemu zespołowi lub adresowi do zgłoszeń, a nie szerokiej grupie współpracowników czy kolegów z klasy.

Ogranicz ekspozycję przed kolejnym wyciekiem

Nie zapobiegniesz temu, by każda firma padła ofiarą naruszenia, ale możesz ograniczyć, ile ujawni jeden wyciek i jak daleko się rozprzestrzeni. Unikalne hasła przechowywane w menedżerze haseł sprawiają, że jeden wyciek nie odblokowuje innych kont. Microsoft sugeruje też używanie osobnych adresów e-mail, na przykład jednego dla znajomych i rodziny, a drugiego do kont online.

W przypadku rejestracji o niskim ryzyku, takich jak newslettery, kupony i jednorazowe pobrania, osobny adres sprawia, że Twoja główna skrzynka nie trafia na kolejną listę klientów. Trwały alias sprawdza się w przypadku kont, które chcesz zachować, a tymczasowy adres e-mail przy jednorazowych rejestracjach; nasze porównanie tymczasowych aliasów mailowych z aliasami e-mailowymi wyjaśnia związane z tym kompromisy.

Tymczasowy e-mail nie naprawi wycieku, do którego już doszło, i nie jest przeznaczony do bankowości, pracy, opieki zdrowotnej, odzyskiwania konta ani żadnego konta, które musisz zachować. Tmailor działa tylko w trybie odbioru, nie przyjmuje załączników i usuwa wiadomości około 24 godzin po ich otrzymaniu. Niektóre strony blokują też jednorazowe adresy.

Ten przewodnik opisuje, co robić po wycieku danych. Jeśli chcesz ograniczyć swoją ekspozycję przed kolejnym, przeczytaj jak tymczasowa poczta ogranicza ujawnienie wycieku danych.