Najszybciej zweryfikujesz to w serwisie Have I Been Pwned lub na rządowej stronie Bezpieczne Dane. Wpisujesz tam swój adres e-mail lub login i od razu widzisz, czy trafił do znanych baz wycieków. To zajmuje kilkanaście sekund – nie musisz instalować żadnego oprogramowania ani podawać haseł. Sprawdźmy więc, które narzędzia są warte zaufania i co zrobić, gdy okaże się, że twoje dane już krążą po sieci.
Skala problemu – dlaczego wycieki dotykają niemal każdego
Koniec maja 2023 roku przyniósł Polakom brutalną lekcję cyberhigieny. W sieci pojawił się potężny zbiór danych logowania, a zespół CERT Polska – należący do NASK – ustalił w nim ponad milion unikalnych rekordów z loginem i hasłem do różnych stron. Eksperci szybko wykazali, że nie był to pojedynczy włam, lecz kompilacja wielu mniejszych zbiorów. Wszystkie pochodziły ze złośliwego oprogramowania typu „information stealer”.
Oznacza to jedno – przestępcy przechwytywali znaki wpisywane na klawiaturze, ale też wyciągali dane logowania zapisane w przeglądarkach i menedżerach haseł. Nie trzeba było atakować serwerów banku ani wielkiego portalu. Wystarczył trojan na komputerze ofiary. Właśnie dlatego nawet najbardziej ostrożny użytkownik może pewnego dnia odkryć swój adres w bazie Have I Been Pwned.
Skalę zjawiska pokazują liczby. Kompilacja Collection No. 1 z 2019 roku ujawniła 773 miliony loginów i haseł. Potem przyszły kolejne „kolekcje”. W 2024 roku media opisywały „matkę wszystkich wycieków” – zbiór liczący 26 miliardów rekordów, w tym dane logowania z popularnych serwisów społecznościowych. Dla porównania – głośny wyciek z Yahoo z 2013 roku naruszył bezpieczeństwo wszystkich trzech miliardów kont. To już nie są incydenty – to stały element cyfrowego krajobrazu.
Jak sprawdzić, czy hasło wyciekło – dwa główne narzędzia
Nie potrzebujesz ani specjalistycznej wiedzy, ani płatnego oprogramowania. Wystarczy przeglądarka i adres e-mail, który chcesz sprawdzić. Poniżej znajdziesz dwa serwisy, które uzupełniają się nawzajem – jeden globalny i jeden krajowy.
Have I Been Pwned
Stworzone przez badacza bezpieczeństwa Troya Hunta narzędzie działa nieprzerwanie od 4 grudnia 2013 roku. Witryna gromadzi informacje z publicznie znanych wycieków i pozwala sprawdzić zarówno adres e-mail, jak i samo hasło. To dziś jedno z najczęściej wykorzystywanych źródeł tego typu na świecie.
W przypadku analizy haseł zastosowano mechanizm k-anonimowości. W przeglądarce lokalnie generowany jest skrót SHA-1 wpisanego hasła, a na serwer trafia tylko 5-znakowy prefiks. Serwer zwraca listę pasujących sufiksów i dopiero lokalnie porównujesz pełny skrót. Dzięki temu Have I Been Pwned nigdy nie poznaje twojego hasła ani nie jest w stanie powiązać go z twoją osobą.
Bezpieczną weryfikację hasła wykonasz w sekcji „Passwords” serwisu Have I Been Pwned. Weryfikację adresu e-mail – bezpośrednio na stronie głównej.
Usługa nie działa jednak proaktywnie – chyba że włączysz powiadomienia w opcji „Notify me”. Wówczas dostaniesz e-mail natychmiast po dodaniu nowego wycieku do bazy. Serwisowi zaufało wiele instytucji rządowych na świecie. Jeśli obawiasz się, że ktoś mógłby sprawdzić twój adres, możesz skorzystać z opcji opt-out. Wymaga ona potwierdzenia, więc nikt postronny nie wypisze cię bez twojej wiedzy.
Bezpieczne Dane
Rządowy serwis bezpiecznedane.gov.pl powstał pod koniec maja 2023 roku jako odpowiedź na tamten wyciek. Stworzyło go COI, a resort cyfryzacji publicznie zachęcał do sprawdzenia swoich danych. Serwis jest rozwijany – obecnie zawiera informacje nie tylko o tamtym incydencie, ale też o innych naruszeniach dotyczących polskich użytkowników.
Korzystanie z niego wymaga uwierzytelnienia – najczęściej przez Profil Zaufany, aplikację mObywatel albo bankowość elektroniczną. Po zalogowaniu otrzymujesz spersonalizowaną listę naruszeń – bez konieczności ręcznego wpisywania adresów czy loginów. To szczególnie wygodne, jeśli masz kilka skrzynek pocztowych i nie pamiętasz wszystkich. CERT Polska zasila serwis danymi z kolejnych wycieków, więc oba narzędzia dobrze się uzupełniają.
Co zrobić, gdy twoje dane są już w wycieku
Samo sprawdzenie to dopiero pierwszy krok – prawdziwa robota zaczyna się po czerwonym komunikacie na ekranie. Szybka reakcja potrafi uchronić przed kaskadą włamań na kolejne konta. Oto działania, które trzeba podjąć natychmiast:
- przeskanuj komputer aktualnym programem antywirusowym, a jeśli istnieje podejrzenie infekcji – rozważ przywrócenie systemu do stanu fabrycznego (antywirus może nie wykryć stealera),
- na czystym lub zabezpieczonym urządzeniu zmień hasła – zaczynając od konta, którego dotyczył wyciek,
- jeśli używałeś tego samego hasła na innych serwisach, zmień je tam również – nie powielaj haseł między stronami,
- włącz weryfikację dwuetapową wszędzie tam, gdzie serwis ją oferuje,
- regularnie sprawdzaj alerty o próbach logowania przesyłane na e-mail – reaguj natychmiast na podejrzane powiadomienia.
CERT Polska radzi, by nie polegać wyłącznie na antywirusie. Złośliwe oprogramowanie typu stealer potrafi ukrywać się głęboko. Dlatego przywrócenie systemu do ustawień fabrycznych – po uprzednim zabezpieczeniu najważniejszych plików – bywa jedynym pewnym rozwiązaniem. Warto też przejrzeć historię transakcji bankowych z ostatnich dni. Cyberprzestępcy nie czekają.
Jeśli do logowania na różnych serwisach wykorzystywałeś to samo hasło, zmień je na wszystkich pozostałych stronach – nawet jeśli nie dotyczą ich żadne znane wycieki. To najczęściej pomijany, a zarazem najważniejszy krok.
Gdzie jeszcze można sprawdzić bezpieczeństwo konta
Poza dwoma głównymi narzędziami istnieją też rozwiązania wbudowane w przeglądarki i menedżery haseł. Google Chrome oraz Firefox potrafią automatycznie ostrzec, jeśli zapisane hasło pojawiło się w znanym wycieku. Chrome dodatkowo sugeruje silniejsze kombinacje przy zakładaniu nowych kont. Przechowywanie haseł w przeglądarce ma jednak swoją ciemną stronę – ich zabezpieczenie jest powiązane z kontem systemowym, więc złośliwe oprogramowanie działające na twoim koncie potrafi je odczytać.
Dedykowany menedżer haseł ogranicza ten problem. Nie tylko szyfruje dane osobnym hasłem głównym, ale też generuje unikalne ciągi znaków dla każdego serwisu. Wbudowane funkcje monitorowania wycieków działają podobnie jak Have I Been Pwned, tyle że w tle i dla wszystkich kont jednocześnie. Niektóre menedżery integrują się też z aplikacjami do dwuetapowej weryfikacji. Warunek jest jeden – hasło główne musi być naprawdę mocne i nieużywane nigdzie indziej.
Firmy mają dodatkową opcję – Have I Been Pwned umożliwia sprawdzenie całej nazwy domeny. Administratorzy mogą w ten sposób błyskawicznie oszacować skalę wycieku w swojej organizacji i wymusić masową zmianę haseł wśród pracowników. CERT Polska udostępnia informacje o zdarzeniach bezpieczeństwa również przez platformę n6, kierowaną do właścicieli i operatorów sieci.
Jak nie dopuścić do kolejnego wycieku
Nie da się całkowicie wyeliminować ryzyka – dane przechowują firmy, na których zabezpieczenia nie masz wpływu. Ale możesz sprawić, że pojedynczy wyciek będzie jedynie drobną niedogodnością, a nie katastrofą. Zasada numer jeden brzmi: każde konto ma mieć własne, niepowtarzalne hasło. Bez tego nawet najlepszy menedżer haseł nie pomoże.
Unikaj prostych ciągów znaków – qwerty, 123456 czy „password” wciąż królują w corocznych zestawieniach najgorszych haseł. Nie używaj daty urodzenia, imion dzieci ani nazwiska panieńskiego matki. To wszystko można znaleźć w mediach społecznościowych w kilka minut. Na cudzych urządzeniach zawsze korzystaj z trybu prywatnego – przeglądarki potrafią zapamiętać hasła, a ty nawet tego nie zauważysz.
Weryfikacja dwuetapowa to dziś absolutne minimum. Najlepiej sprawdza się fizyczny klucz bezpieczeństwa lub aplikacja uwierzytelniająca. Kody SMS są lepsze niż nic, ale podatne na ataki typu SIM swapping. Rozważ też przejście na logowanie bezhasłowe – klucze dostępu i biometria eliminują problem wycieku haseł w ogóle.
Powielanie tego samego hasła w wielu serwisach to najczęstsza przyczyna tego, że pojedynczy wyciek zamienia się w lawinę przejętych kont.
Obserwowanie własnego adresu e-mail w serwisach typu Have I Been Pwned weszło już do kanonu cyfrowej higieny – tak jak mycie rąk przed jedzeniem. Skala majowego wycieku z 2023 roku pokazała, że polscy użytkownicy nie są odizolowani od globalnych zagrożeń. CERT Polska wysłał wtedy powiadomienia dotyczące ponad miliona unikalnych adresów i loginów – część adresatów dowiedziała się o problemie właśnie dzięki tym alertom. Nie chodzi o panikę. Chodzi o nawyk – sprawdzasz, reagujesz, zabezpieczasz.
