Najszybszy sposób to wpisanie adresu e-mail w serwisie haveibeenpwned.com – baza zawiera prawie 8 miliardów skompromitowanych kont i w kilka sekund powie ci, w których wyciekach pojawiły się twoje dane. Dla polskich wycieków działa osobny serwis rządowy: bezpiecznedane.gov.pl. Jeśli któreś narzędzie zwróci trafienie, nie oznacza to automatycznie, że ktoś ma dziś dostęp do twojego konta – to, co robisz dalej, zależy od tego, jak stary jest wyciek i czy od tamtej pory zmieniłeś hasło.
Jak sprawdzić wyciek hasła i adresu e-mail – krok po kroku
Zacznij od haveibeenpwned.com, sprawdź też bezpiecznedane.gov.pl oraz wbudowane narzędzia przeglądarki lub menedżera haseł. Każde pokrywa inny zakres danych.
Have I Been Pwned – sprawdzenie adresu e-mail
Wejdź na haveibeenpwned.com, wpisz adres e-mail i kliknij „pwned?”. Serwis sprawdza go w bazie prawie 8 miliardów skompromitowanych kont i zwraca listę wycieków z nazwą serwisu, datą i rodzajem danych (hasła, adresy, numery telefonów).
Zakładka „Passwords” pozwala sprawdzić konkretne hasło. Nie jest ono wysyłane w całości – serwis pobiera tylko pięć pierwszych znaków skrótu SHA-1, resztę sprawdza lokalnie. Baza HIBP nie obejmuje wszystkich incydentów na świecie, tylko te zgłoszone do serwisu.
bezpiecznedane.gov.pl – polskie narzędzie CERT Polska
Serwis CERT Polska skupia się na wyciekach dotyczących polskich użytkowników. Wpisujesz adres e-mail lub numer telefonu i sprawdzasz, czy pojawiły się w polskich incydentach. Pokrywa inny zestaw źródeł niż HIBP – warto użyć obu.
Wbudowane narzędzia przeglądarek i menedżerów haseł
Chrome sprawdza zapisane hasła w Ustawienia → Hasła → „Sprawdź hasła”. Firefox robi to samo w sekcji Prywatność i bezpieczeństwo → Naruszenia danych. Oba porównują dane logowania z bazą HIBP. Menedżery haseł takie jak Bitwarden czy 1Password mają zakładkę raportów bezpieczeństwa z listą kont widocznych w wyciekach. Wszystkie te narzędzia sprawdzają tylko zapisane hasła – konta logowane z pamięci pozostają poza ich zasięgiem.
Wyciek hasła a rzeczywiste zagrożenie konta – co to naprawdę oznacza
Znalezienie swojego e-maila w bazie wycieków nie oznacza, że ktoś teraz loguje się na twoje konto. Baza rejestruje fakt, że dane kiedyś wyciekły – nie to, że zostały wykorzystane.
Wyciek danych to incydent po stronie serwisu, który przechowywał twoje dane. Twoje konto w tym serwisie mogło zostać ujawnione, ale samo konto nie jest automatycznie przejęte. Przejęcie wymaga dalszych kroków ze strony atakującego: pobrania bazy, wyodrębnienia twoich danych i próby logowania.
Realne zagrożenie pojawia się przy tzw. credential stuffing – atakujący biorą pary e-mail i hasło z wycieku i testują je automatycznie na innych serwisach. To groźne, gdy używałeś tego samego hasła w wielu miejscach. Jeśli hasło było unikalne dla danego serwisu, wyciek stamtąd nie daje dostępu do żadnego innego konta.
Stary wyciek niesie mniejsze ryzyko, jeśli od tamtej pory zmieniłeś hasło. Baza HIBP zawiera incydenty sprzed wielu lat – trafienie na wyciek z 2015 roku przy haśle, które zmieniłeś w 2018 roku, nie wymaga żadnej pilnej reakcji. Kluczowe pytanie brzmi: czy to hasło jest nadal aktywne gdziekolwiek.
Inaczej wygląda sytuacja, gdy wyciek jest świeży – sprzed kilku miesięcy lub tygodni. Dane z nowych wycieków są aktywnie sprzedawane i testowane, zanim właściciele kont zdążą zareagować. Tu czas ma znaczenie.
Co zrobić, gdy okaże się, że hasło wyciekło
Zmień hasło w serwisie, którego dotyczy wyciek, a następnie sprawdź, czy tego samego hasła nie używałeś nigdzie indziej. To dwa pierwsze i najważniejsze kroki.
Nowe hasło powinno być unikalne dla tego jednego konta – co najmniej 12 znaków, losowe. Jeśli trudno zapamiętać wiele takich haseł, to właściwy moment, żeby zacząć korzystać z menedżera haseł.
Przeszukaj pamięć (lub bazę menedżera haseł) pod kątem wszystkich miejsc, gdzie używałeś tego samego ciągu znaków. Credential stuffing działa właśnie na tej zasadzie: jedno hasło z wycieku testowane jest automatycznie na dziesiątkach innych serwisów. Konta bankowe, skrzynka e-mail i sklepy internetowe z zapisaną kartą to pierwsza kolejność do sprawdzenia.
Włącz weryfikację dwuetapową (2FA) na koncie, którego dotyczył wyciek, i na każdym innym, gdzie jeszcze jej nie masz. Nawet jeśli atakujący ma hasło, 2FA blokuje logowanie bez dostępu do twojego telefonu lub klucza sprzętowego.
Przez kolejne tygodnie sprawdzaj historię logowań w serwisie. Większość platform pokazuje listę ostatnich sesji z datą, godziną i lokalizacją. Nieznane urządzenie albo logowanie z innego kraju to sygnał, że konto zostało użyte przez kogoś innego – w takim wypadku wyloguj wszystkie sesje i natychmiast zmień hasło ponownie.
Jeśli wyciek dotyczył polskiego serwisu lub firmy przetwarzającej twoje dane na terenie Polski, możesz zgłosić naruszenie do Urzędu Ochrony Danych Osobowych (UODO) przez formularz na stronie uodo.gov.pl. Obowiązek zgłoszenia wycieku do UODO spoczywa co prawda na administratorze danych, ale osoba fizyczna ma prawo złożyć skargę, jeśli uważa, że jej dane zostały przetworzone niezgodnie z przepisami.
Co zrobić, gdy e-mail wyciekł, ale hasło jest bezpieczne
Jeśli narzędzie potwierdza wyciek adresu e-mail, ale bez powiązanego hasła, zagrożenie jest niższe – adres sam w sobie nie wystarczy do zalogowania. Mimo to kilka działań jest uzasadnionych.
Twój adres może trafić na listy używane do spamu, phishingu i prób wyłudzenia danych. Atakujący wiedzą, że konto istnieje i z jakiego serwisu pochodzi wyciek – mogą podszywać się pod ten serwis w e-mailach z prośbą o „potwierdzenie hasła”. Bądź szczególnie ostrożny wobec wiadomości dotyczących kont powiązanych z wyciekiem.
Sprawdź, czy wyciek nie objął innych danych poza adresem. Niektóre bazy zawierają też numer telefonu, imię i nazwisko, adres zamieszkania lub datę urodzenia. HIBP pokazuje przy każdym wycieku, jakie kategorie danych zostały ujawnione. Im więcej danych osobowych wyciekło, tym większe ryzyko phishingu celowanego, który wygląda bardziej wiarygodnie.
Włącz 2FA na koncie, które widnieje w wycieku, jeśli jeszcze tego nie zrobiłeś. Nawet gdy hasło jest bezpieczne teraz, dodatkowa warstwa blokuje ewentualne przyszłe próby.
Dalszych działań, takich jak zmiana hasła czy monitorowanie historii logowań, ten scenariusz nie wymaga – chyba że wyciek jest bardzo świeży i dotyczył serwisu, w którym masz zapisane dane płatnicze. Wtedy warto raz sprawdzić historię logowań i upewnić się, że nie było nieautoryzowanych sesji.
Typowe błędy po odkryciu wycieku i kiedy zagrożenie jest mniejsze niż myślisz
Najczęstszy błąd to panika lub jej odwrotność – zignorowanie wycieku, bo „był dawno temu”. Szybka reakcja jest potrzebna, gdy hasło z wycieku wciąż gdzieś aktywnie używasz. Jeśli już je zmieniłeś wszędzie, gdzie było używane, stary wyciek nie wymaga żadnych dodatkowych działań.
Zmiana hasła w serwisie, którego wyciek nie dotyczył, nic nie daje. Jeśli wyciek pochodzi z jednego portalu, wystarczy zmienić hasło tam i w miejscach, gdzie używałeś tego samego ciągu znaków. Masowa zmiana haseł wszędzie bez planu prowadzi do chaosu i często kończy się ustawieniem słabszych haseł, bo trudno zapamiętać wiele nowych naraz.
Drugi błąd to zakładanie, że samo usunięcie konta cofa wyciek. Dane, które już trafiły do bazy, pozostają tam niezależnie od tego, co zrobisz z kontem dziś. Usunięcie konta ma sens profilaktycznie, żeby nie gromadzić kolejnych danych w serwisie, który raz już je utracił.
Stary wyciek z hasłem, które od tamtej pory zmieniłeś, nie wymaga działania. Ryzyko rośnie dopiero wtedy, gdy hasło wciąż jest aktywne – nieważne, jak stary jest wyciek.
Jeśli narzędzie pokazuje wyciek z serwisu, którego nazwy nie rozpoznajesz, sprawdź przy wycieku, jakie dane zostały ujawnione. Gdy to tylko adres e-mail bez hasła i bez danych osobowych, żadne pilne działanie nie jest konieczne.