Únik dat: zjištění, zda se týká i vašeho účtu

Zda se vaše e-mailová adresa objevila v některém známém úniku dat, zjistíte během minuty ve službě Have I Been Pwned nebo v kontrole, kterou mají vestavěnou správci hesel a prohlížeče. Pokud ano, není důvod k panice, ale je důvod změnit heslo u dotčené služby a všude, kde jste použili stejné. Většina škod po únicích vzniká právě opakovaným heslem.

Jak k únikům dochází

Služba, u které máte účet, uchovává vaše údaje v databázi. Útočníci se k ní dostanou chybou v softwaru, ukradenými přístupovými údaji zaměstnance nebo špatně nastaveným úložištěm, které zůstalo dostupné z internetu. Někdy data vynese i někdo zevnitř.

Uniklá data se prodávají a po čase bývají zveřejněna volně. Obsahují obvykle e-mailové adresy, hesla v zašifrované nebo jinak chráněné podobě a podle typu služby také jména, telefony a adresy.

Kde si únik ověřit

Služba Have I Been Pwned shromažďuje data z veřejně známých úniků a po zadání e-mailu ukáže, ve kterých se adresa vyskytuje a jaké typy údajů unikly. Provozuje ji uznávaný bezpečnostní odborník a využívají ji i vlády a firmy. Lze si nastavit upozornění e-mailem pro případ budoucího nálezu.

Podobnou kontrolu nabízejí prohlížeče a správci hesel. Ti porovnávají přímo uložená hesla se seznamy uniklých, a to způsobem, při kterém heslo neopustí zařízení v čitelné podobě. Na problém vás upozorní sami.

Opatrnost je namístě u neznámých webů, které slibují kontrolu výměnou za zadání hesla. Legitimní služba po vás heslo k cizímu účtu nikdy nechce.

Co výsledek znamená

Nález říká, že vaše adresa byla součástí uniklé sady. Neříká, že se někdo do účtu dostal. Záleží na tom, co uniklo. Jen e-mail znamená hlavně víc nevyžádané pošty a podvodných zpráv. E-mail s heslem je vážnější, zvlášť bylo-li heslo slabé nebo použité jinde.

Čistý výsledek naopak není zárukou. Služba zná jen úniky, které se dostaly na veřejnost, a mnoho jich nikdy objeveno není.

Co udělat po nálezu

Změňte heslo u služby, které se únik týká. Potom u všech dalších, kde jste totéž heslo nebo jeho obměnu používali, počínaje e-mailem. Tady se ukáže cena opakování: jeden únik znamená práci na deseti místech.

Zapněte dvoufázové ověření tam, kde ho ještě nemáte. S ním je uniklé heslo samo o sobě k ničemu. Možnosti rozebírám v textu o dvoufázovém ověření přes SMS, aplikaci a klíč.

Podívejte se v nastavení účtu na seznam přihlášených zařízení a nedávnou aktivitu. Neznámá zařízení odhlaste. U e-mailu zkontrolujte, zda někdo nenastavil přeposílání pošty jinam, protože to bývá způsob, jak si útočník udrží přístup i po změně hesla.

Pokud by únik zahrnoval citlivější údaje, například čísla dokladů nebo údaje o platbách, postupujte podle pokynů, které dotčená služba zveřejnila, a obraťte se na instituci, která doklad či platební prostředek vydala. Ta nejlépe ví, jaké kroky jsou namístě.

Zvýšená ostražitost vůči zprávám

Po úniku přichází vlna podvodných e-mailů a zpráv, které využívají uniklé údaje k tomu, aby působily věrohodně. Oslovují jménem, zmiňují službu, které se únik týkal, a vyzývají k ověření účtu přes odkaz. Na odkazy v takových zprávách neklikejte. Na web služby přejděte vlastní cestou, ze záložky nebo napsáním adresy.

Rozšířeným trikem je vyděračský e-mail, který jako důkaz uvede vaše staré heslo. To heslo pochází z úniku, ne z vašeho počítače. Zprávu smažte a ujistěte se, že ono heslo už nikde nepoužíváte.

Co musí udělat služba

Evropské nařízení o ochraně osobních údajů ukládá správcům ohlásit porušení zabezpečení dozorovému úřadu a ve vážnějších případech informovat i dotčené osoby. Od seriózní služby byste se tedy o úniku měli dozvědět přímo. Pravost takového oznámení si ověřte na webu služby, protože podvodníci tato oznámení napodobují.

Jak snížit dopad příště

Únikům u cizích služeb nezabráníte. Můžete ovlivnit, kolik škody napáchají. Unikátní heslo pro každý účet znamená, že únik zůstane omezen na jednu službu. Méně účtů znamená méně míst, odkud mohou data uniknout, a proto se vyplatí rušit ty, které nepoužíváte.

Někdo používá pro registrace e-mailové aliasy, tedy pro každou službu jinou adresu směrující do stejné schránky. Když na alias začne chodit spam, je jasné, odkud adresa unikla, a alias lze vypnout.

Udělejte to teď

Zadejte svou hlavní e-mailovou adresu do kontroly a zapněte upozornění na budoucí nálezy. Je to jednorázová věc. Pak spusťte kontrolu hesel ve správci nebo v prohlížeči a postupně vyřešte, co označí. Častou chybou je výsledek si prohlédnout, leknout se a nic neudělat. Seznam dotčených služeb je přitom přesný návod, kde začít. Jak vytvořit hesla, která únik přežijí bez následků, popisuje přehled o silném heslu, a kam je uložit, text o správcích hesel.

Zdroje

• Dokumentace služby Have I Been Pwned, Troy Hunt
• Nařízení (EU) 2016/679, obecné nařízení o ochraně osobních údajů
• Informace k ohlašování porušení zabezpečení osobních údajů, Úřad pro ochranu osobních údajů
• Doporučení pro uživatele po úniku dat, Národní úřad pro kybernetickou a informační bezpečnost