Ako zistiť, či ti unikli heslá
Kontrola trvá minútu a odpovie na otázku, ktorú si väčšina ľudí nikdy nepoloží: koľko z mojich hesiel je už roky verejne dostupných? Odpoveď býva nepríjemná, ale riešiteľná.
Ako kontrola funguje
Keď je nejaká služba napadnutá, jej databáza používateľov sa skôr či neskôr objaví verejne. Existujú projekty, ktoré tieto zverejnené úniky zbierajú, spracujú a umožnia v nich vyhľadávať. Najznámejším je Have I Been Pwned, ktorý pracuje s tisíckami únikov a používajú ho aj prehliadače a správcovia hesiel na pozadí.
Kontrolovať sa dá dvoma spôsobmi. Podľa e-mailovej adresy zistíš, v ktorých únikoch sa tvoja adresa objavila a aké typy údajov boli vystavené. Podľa hesla zistíš, či sa konkrétne heslo nachádza medzi miliardami uniknutých — bez ohľadu na to, ku ktorému účtu patrilo.
Prečo je bezpečné to zadať
Prirodzená námietka znie: zadať svoje heslo cudzej stránke je predsa presne to, čo sa nemá robiť. Pri korektne postavenej kontrole sa heslo neodosiela. Funguje to takto:
- Z hesla sa priamo v tvojom prehliadači vypočíta odtlačok (hash), z ktorého sa pôvodné heslo spätne nedá získať.
- Na server sa pošle len prvých päť znakov tohto odtlačku.
- Server vráti všetky uniknuté odtlačky, ktoré týmito piatimi znakmi začínajú — sú ich stovky — a porovnanie prebehne u teba v prehliadači.
Prevádzkovateľ tak nikdy nevie, ktoré heslo si kontroloval. Tomuto princípu sa hovorí k-anonymita. Kontrola priamo v prehliadači alebo v správcovi hesiel funguje na rovnakom základe a nemusíš pri nej opúšťať aplikáciu.
Kde kontrolu nájdeš
- V prehliadači. Väčšina moderných prehliadačov má v nastaveniach hesiel funkciu kontroly bezpečnosti, ktorá označí uniknuté a opakované heslá.
- V správcovi hesiel. Robí to isté priebežne a upozorní ťa sám. Ako si ho vybrať, je v ako vybrať správcu hesiel.
- Na verejnej kontrolnej službe podľa e-mailovej adresy — na jednorazové overenie adresy, ktorú nikde uloženú nemáš.
Čo robiť podľa toho, čo uniklo
Výsledok kontroly zvyčajne uvádza, aké typy údajov boli v úniku obsiahnuté. Podľa toho sa líši aj reakcia:
- Len e-mailová adresa. Nepríjemné, nie vážne: čakaj viac spamu a cielenejšie podvodné správy. Účet netreba riešiť, ale oplatí sa vedieť, čo znamená únik samotnej adresy — rozvádza to tvoj e-mail unikol z databázy.
- Adresa a heslo. Konaj hneď. Zmeň heslo v dotknutej službe a všade, kde si ho použil znova. To druhé je dôležitejšie: útočníci skúšajú uniknuté dvojice hromadne na desiatkach iných služieb.
- Adresa a osobné údaje (meno, telefón, adresa bydliska, dátum narodenia). Heslo meniť netreba, ale rátaj s tým, že podvodné správy budú zrazu vierohodné, lebo pisateľ pozná skutočné detaily. Ako ich rozpoznať, je v čo je phishing.
- Platobné údaje. Kartu zablokuj a nechaj si vydať novú, aj keď zatiaľ nič nezmizlo.
Po zmene hesla ešte dve veci
Samotná zmena hesla nestačí, ak sa niekto medzitým prihlásil. V nastaveniach účtu ukonči všetky aktívne relácie a prezri si zoznam prihlásených zariadení. A zapni dvojfaktorové overenie aspoň na hlavnom e-maile — schránka je kľúč ku všetkým ostatným účtom cez obnovu hesla, takže je to jediný najúčinnejší krok.
Ako vymieňať heslá, aby to malo zmysel
Ak kontrola nájde desiatky zásahov, nemá zmysel meniť všetko naraz a vzdať to po piatich minútach. Postupuj podľa toho, čo strata účtu spôsobí:
- Hlavný e-mail. Je kľúčom ku všetkému ostatnému cez obnovu hesla, preto ide prvý — vždy.
- Banka a platobné služby.
- Účty s uloženou kartou (e-shopy, predplatné, doprava).
- Sociálne siete a komunikácia, odkiaľ sa dá podvádzať v tvojom mene.
- Zvyšok priebežne, ako sa do jednotlivých služieb prihlasuješ.
Každé nové heslo musí byť iné. Obmena typu „Heslo2024" na „Heslo2025" nepomôže — nástroje útočníkov takéto varianty skúšajú automaticky. Bez správcu hesiel sa to nedá udržať; ako si ho vybrať, je v ako vybrať správcu hesiel.
Priebežné sledovanie namiesto jednorazovej kontroly
Jednorazová kontrola je fotografia stavu. Únik, ktorý sa zverejní o pol roka, ti nikto neoznámi. Prihlás sa preto na upozornenia — kontrolné služby ich ponúkajú zadarmo pre adresu, ktorú si overíš, a správcovia hesiel to robia automaticky pre všetky uložené prihlasovacie údaje. Rozdiel je medzi „zistím to hneď" a „zistím to, keď mi niekto vyprázdni účet".
Prečo výsledok „nič sa nenašlo" neznamená, že si v bezpečí
Kontrolné služby poznajú len úniky, ktoré sa stali verejnými. Databázy, ktoré sa predávajú v uzavretých kruhoch alebo o ktorých napadnutá firma nikdy nepovedala, v nich nie sú. Čistý výsledok je preto dobrá správa, nie záruka. Rovnako platí opak: nález v úniku spred ôsmich rokov pri službe, ktorú si medzitým zrušil, nie je dôvod na paniku — pokiaľ to heslo nepoužívaš nikde inde.
Kontroluj aj staré adresy, nielen tú súčasnú. Adresa zo strednej školy býva stále prihlasovacím menom k účtom, na ktoré si dávno zabudol, a práve tie sú najzraniteľnejšie.
Vydieračské e-maily „mám tvoje heslo"
Skôr či neskôr príde správa, ktorá tvrdí, že odosielateľ ovládol tvoj počítač, nahral ťa kamerou a chce platbu v kryptomene. Ako dôkaz uvedie jedno tvoje skutočné heslo. Vyzerá to desivo, ale takmer vždy ide o blaf: heslo pochádza z toho istého verejného úniku, ktorý si práve skontroloval, a rozosiela sa hromadne na tisíce adries naraz.
Neplať, neodpovedaj. Ak je heslo v správe stále niekde v používaní, okamžite ho zmeň — to je jediná zmysluplná reakcia. Správu potom zmaž.
Ako zmenšiť ten ďalší únik
Zabrániť napadnutiu služieb nedokážeš. Dokážeš rozhodnúť, čo o tebe majú: unikátne heslo v každej službe a adresu, ktorá nie je tvoja hlavná, keď ide o jednorazovú registráciu. Potom je ďalší únik oznámením, nie problémom.
Časté otázky
Ako často má zmysel kontrolu opakovať?
Dvakrát do roka bohato stačí, plus vždy, keď sa objaví správa o úniku zo služby, ktorú používaš. Priebežné upozornenia sú pohodlnejšie: prídu samy vtedy, keď sa niečo naozaj stane.
Čo s adresou, ktorú už dávno nepoužívam?
Ak sa vieš prihlásiť, účty naviazané na ňu zruš alebo prepni na inú adresu. Podstatnejšie je heslo: pokiaľ sa rovnaké alebo podobné objavuje aj inde, vymeň ho všade, kde ho ešte máš.
Ukáže kontrola, aké presne heslo uniklo?
Nie, a je to tak správne. Dozvieš sa, v ktorej databáze sa adresa objavila a aké typy údajov únik obsahoval — samotné heslo ti seriózna služba nezobrazí ani neuloží.