Jak zjistit, zda se vaše údaje objevily v úniku
Svou e-mailovou adresu můžete ověřit ve službě Have I Been Pwned. Zadejte ji na skutečné adrese služby a podívejte se, které úniky eviduje a jaké typy údajů obsahovaly. Pro kontrolu e-mailu nezadáváte heslo ke schránce.
Nalezený e-mail ještě nepotvrzuje, že se někdo dostal do vaší pošty. Mohl uniknout ze starého zákaznického účtu u jiného poskytovatele. Rozdíl vysvětluje provozovatel služby v odpovědích na časté otázky. Rozhodujte se podle konkrétního úniku, používaného hesla a známek neoprávněného přístupu.
Prázdný výsledek naopak nepotvrzuje bezpečnost účtu. Databáze neobsahuje všechny incidenty a některé nikdo neodhalil. Pokud vidíte cizí přihlášení nebo zprávy o změně nastavení, řešte je i bez záznamu v databázi úniků.
Jak zkontrolovat heslo bez posílání přístupů cizím lidem
Začal bych kontrolou v používaném správci hesel. Například Správce hesel Google upozorňuje na vyzrazená, slabá a opakovaně používaná hesla. Taková kontrola se vztahuje k heslům, která v něm máte uložená. Ostatní účty je potřeba projít zvlášť.
Have I Been Pwned provozuje také oddělenou službu Pwned Passwords. Ta zjišťuje, zda se určitý řetězec objevil mezi uniklými hesly. Neříká, ke kterému e-mailu nebo účtu patřil. Nález znamená, že takové heslo nemáte dál používat. Ani nenalezené heslo ale nemusí být silné.
Živá hesla neposílejte e-mailem, do chatu ani do náhodných „kontrolorů bezpečnosti“. Pokud vám někdo pošle výzvu k ověření, otevřete nastavení účtu vlastní cestou. V článku o phishingu najdete postup, jak podobné požadavky ověřit.
Která hesla změnit jako první
Pokud stále používáte uniklé heslo, změňte ho ve skutečné službě. Stejné heslo nahraďte i u dalších účtů, kde jste ho použili. Změna v jednom obchodě neochrání schránku, do které se přihlašujete stejným údajem.
Přednost bych dal e-mailu a účtům, přes které obnovujete ostatní přístupy. Pro každý účet vytvořte jiné heslo a uložte ho do správce hesel. Novou hodnotu nastavujete u poskytovatele služby. Pouhé přepsání položky ve správci hesel přihlášení na webu nezmění.
Modelový příklad: starý obchod a stejné heslo do pošty
Člověk zjistí, že se jeho e-mail objevil v úniku ze staršího internetového obchodu. V obchodě už nenakupuje, ale stejné heslo stále používá do e-mailu a jedné další služby. Ve schránce zatím nevidí cizí aktivitu.
-
Z důvěryhodného zařízení otevře skutečnou e-mailovou službu, nastaví nové jedinečné heslo a projde zabezpečení účtu.
-
Změní stejné heslo i u ostatních dotčených služeb. Pro každou zvolí jinou hodnotu. Nepoužívaný účet případně zruší podle možností poskytovatele.
-
Prověří přihlášená zařízení, obnovovací kontakty a dostupné vícefaktorové ověření. Zkontroluje, že se po změnách dokáže přihlásit i účet obnovit.
Co si odnést: V tomto příkladu je důležité opakované heslo. Zpráva o starém úniku dává důvod zabezpečit současné účty, sama ale nedokazuje převzetí schránky.
Co udělat, pokud už vidíte cizí přístup
Neznámé odeslané zprávy, změněný obnovovací kontakt nebo nečekané přihlášení vyžadují kontrolu účtu. Použijte důvěryhodné zařízení. Pokud podezření míří i na počítač, ze kterého běžně pracujete, nepoužívejte ho ke změně hesel, dokud jeho stav neprověříte. U pracovního účtu kontaktujte správce IT.
Projděte přihlášená zařízení a relace, tedy jednotlivé přístupy k účtu. Nepoznané přístupy odhlaste podle možností služby. Google popisuje kontrolu zařízení i odhlášení. Jeden telefon může vytvářet více relací, proto samotný počet položek není důkaz napadení.
Zkontrolujte také obnovovací kontakty, propojené aplikace a u pošty přeposílání nebo pravidla. Microsoft při obnově napadeného účtu doporučuje kontrolu nastavení. Útočník mohl nastavit další cestu k datům, kterou samotná změna hesla neodstraní. Pokud se už nepřihlásíte, použijte oficiální obnovu poskytovatele.
Jak omezit dopad dalšího úniku
Jedinečné heslo omezuje přenos problému mezi službami. Přidejte podporované vícefaktorové ověření a připravte záložní přihlášení. Kde je dostupný přístupový klíč neboli passkey, můžete ho zvážit jako náhradu hesla. FIDO Alliance vysvětluje jeho odolnost proti phishingu. Stále potřebujete chránit zařízení i náhradní cesty obnovy účtu.
Postup nastavení a přípravu na ztrátu telefonu rozebírá článek o MFA a passkeys. Ve firmě k tomu přidejte jasný kontakt pro hlášení problému. Člověk, který na únik upozorní, má vědět, komu zprávu předat a co do ní uvést, bez posílání samotného hesla.
Ověřené zdroje
Primární zdroje a jejich vztah k článku byly zkontrolovány .