Twój e-mail wyciekł z bazy? Postępuj tak
Wycieki baz danych zdarzają się regularnie i najczęściej nie z Twojej winy — wystarczy, że firma, w której miałeś konto, nie zabezpieczyła serwera. Ważne jest to, co zrobisz potem. Poniżej kolejność działań od najpilniejszych.
Jak sprawdzić, czy Twój adres wyciekł
Najprostszy sposób to wpisanie adresu w serwisie haveibeenpwned.com, który zbiera ujawnione bazy i pokazuje, w których się pojawiłeś. Podobną funkcję oferują menedżery haseł i część przeglądarek — potrafią ostrzec, że hasło do konkretnej strony pojawiło się w wycieku.
Sygnałem bywa też nagły wzrost ilości spamu albo phishingu, który zwraca się do Ciebie imieniem. To znak, że gdzieś krąży baza zawierająca więcej niż sam adres.
Krok 1: zmień hasło tam, gdzie doszło do wycieku
Nowe hasło musi być długie i nieużywane nigdzie indziej. Jeśli tego samego hasła używałeś w innych serwisach, zmień je również tam — to najczęstsza droga, którą pojedynczy wyciek zamienia się w serię przejętych kont.
Krok 2: włącz logowanie dwuskładnikowe
Zacznij od poczty, banku i menedżera haseł. Drugi składnik sprawia, że nawet znajomość hasła nie wystarcza do zalogowania. Kody z aplikacji uwierzytelniającej są pewniejsze niż SMS-y.
Krok 3: sprawdź, czy nikt nie majstrował przy koncie
W ustawieniach poczty przejrzyj: reguły przekierowania (klasyczny ruch napastnika — kopia całej poczty leci gdzie indziej), adres do odzyskiwania konta, numer telefonu i listę aktywnych sesji. Wszystko, czego nie rozpoznajesz, usuń i wyloguj.
Krok 4: przygotuj się na phishing „na wyciek”
Po każdym większym wycieku pojawia się fala wiadomości udających reakcję na incydent: „Twoje konto zostało naruszone, kliknij, aby zabezpieczyć”. To wykorzystanie Twojego zaniepokojenia. Hasła zmieniaj wyłącznie wchodząc na stronę samodzielnie, nigdy z linku w mailu. Sygnały ostrzegawcze zebraliśmy w poradniku o phishingu.
Krok 5: skorzystaj ze swoich praw
Firma, u której doszło do naruszenia, ma obowiązek zgłosić je organowi nadzorczemu, a jeśli ryzyko dla Ciebie jest wysokie — poinformować także Ciebie. Możesz zażądać dostępu do swoich danych i ich usunięcia. Jak to zrobić, opisujemy w poradniku RODO a Twój e-mail. Jeśli firma nie reaguje, skargę składasz do Prezesa UODO.
Krok 6: ogranicz zasięg następnym razem
Wycieków nie unikniesz, ale możesz zmniejszyć liczbę baz, w których w ogóle jesteś. Do jednorazowych rejestracji używaj adresu tymczasowego, a do usług, z których korzystasz dłużej — osobnego aliasu na każdą. Wtedy kolejny wyciek dotyczy jednego adresu, a nie całego Twojego życia w sieci.
Kiedy zawiadomić policję
Jeśli w wyniku wycieku ktoś zaciągnął zobowiązanie na Twoje dane, wykonał transakcję albo przejął konto — zgłoś sprawę na policję i powiadom bank. Przy podejrzeniu wyłudzenia kredytu warto zastrzec numer PESEL i sprawdzić raport w BIK.
Częste pytania
Czy da się usunąć adres z wykradzionej bazy?
Nie. Kopie takich baz krążą w wielu miejscach i nikt ich nie kontroluje. Da się natomiast unieważnić to, co jest w nich wartościowe — czyli hasła.
Czy muszę zmieniać adres e-mail?
Zwykle nie. Wystarczy zmienić hasła i włączyć drugi składnik. Zmiana adresu ma sens dopiero wtedy, gdy ilość phishingu staje się nie do zniesienia.
Jak często sprawdzać wycieki?
Raz na pół roku w zupełności wystarczy. Serwisy monitorujące potrafią też wysłać powiadomienie, gdy Twój adres pojawi się w nowej bazie.
Wypróbuj od razu
Tymczasowy adres utworzysz jednym kliknięciem — za darmo i bez rejestracji.
Utwórz adres