Як перевірити, чи потрапила ваша електронна адреса у витік даних

Що витік даних насправді означає для вашої пошти

Коли компанія зазнає витоку даних, зловмисники рідко залишають вкрадене собі. Бази електронних адрес, паролів, імен, номерів телефонів та інших даних облікових записів копіюють, продають і зрештою публікують у так званих дампах витоків. З часом окремі дампи об'єднують у величезні зведені списки — їх часто називають комболістами, — які вільно циркулюють на форумах і файлообмінниках. Щоб опинитися в такому списку, ваша адреса зовсім не мусить належати до важливого облікового запису. Джерелом може стати форум, на якому ви зареєструвалися 2013 року, магазин, де ви зробили одну покупку, або сервіс, якого вже не існує. Витік стався на їхніх серверах, але розкритою виявилася ваша адреса.

Практична небезпека зазвичай криється не в самому витоку, а в тому, що відбувається далі. Зловмисники беруть ці списки й проводять атаки з підстановкою облікових даних: перебирають кожну пару «адреса — пароль» на сотнях інших сервісів, розраховуючи на те, що люди повторно використовують паролі. Якщо пароль зі зламаного форуму про домашніх тварин збігається з паролем від вашої основної поштової скриньки, витік на форумі щойно перетворився на захоплення вашої пошти. Розкриті адреси також живлять цільовий фішинг: зловмисник, який знає, якими сервісами ви користуєтеся, здатен скласти значно переконливіші підроблені листи. Саме тому знати, чи — і де саме — засвітилася ваша адреса, справді корисно, а не просто цікаво.

Як працюють сервіси перевірки витоків

Сервіси перевірки витоків розв'язують доволі просту задачу індексування. Дослідники отримують копії дампів, щойно ті з'являються, перевіряють справжність даних і завантажують уражені адреси до бази з пошуком. Коли ви вводите свою адресу, сервіс показує, у яких відомих витоках вона фігурувала, коли стався кожен із них і які категорії даних було розкрито — паролі, номери телефонів, поштові адреси тощо. Найвідоміший сервіс, Have I Been Pwned, зібрав мільярди скомпрометованих облікових записів із сотень інцидентів; ним користуються як приватні особи, так і компанії, що стежать за власними доменами.

Логічне заперечення: вводити свій пароль на сайті, щоб перевірити, чи він витік, звучить як жахлива ідея — і на неправильному сайті так воно і є. Функція перевірки паролів у Have I Been Pwned обходить цю проблему за допомогою методу k-анонімності. Ваш браузер обчислює хеш пароля локально, а потім надсилає на сервер лише перші п'ять символів цього хешу. Сервер повертає всі відомі хеші з витоків, що починаються з цих п'яти символів — зазвичай кілька сотень варіантів, — і браузер шукає збіг локально. Сервіс ніколи не бачить ані вашого пароля, ані навіть достатньої частини хешу, щоб його впізнати. Автор сервісу опублікував повний опис цієї схеми, і відтоді її перейняли менеджери паролів та браузери для власних функцій перевірки витоків.

Модель k-анонімності, що лежить в основі Pwned Passwords, детально пояснює Трой Гант, який керує Have I Been Pwned: Трой Гант — Pwned Passwords і модель k-анонімності ↗

Покрокова перевірка вашої адреси

Почніть із Have I Been Pwned на haveibeenpwned.com. Введіть свою електронну адресу в поле пошуку й надішліть запит. Результат буде або заспокійливо порожнім, або хронологічним списком витоків, які містили вашу адресу, з коротким описом кожного інциденту та переліком розкритих класів даних. Уважно читайте ці класи: витік, у якому засвітилися лише адреси, — це прикрість, а витік паролів чи їхніх хешів вимагає негайних дій. Повторіть перевірку для кожної адреси, якою ви активно користуєтеся, включно зі старими адресами, що досі пересилають вам пошту: облікові записи, зареєстровані на них, так само вразливі.

Заразом підпишіться на сповіщення про витоки. Have I Been Pwned дозволяє зареєструвати адресу й надсилає лист, щойно вона з'явиться у щойно завантаженому витоку, — так ручна перевірка, про яку легко забути, перетворюється на автоматичне попередження. Служба сповіщень спершу підтверджує, що адреса належить саме вам, тож підписатися на чужі адреси неможливо. Для більшості людей саме цей крок дає основну користь: витоки виявляють постійно, і адреса, чиста сьогодні, може опинитися в дампі вже наступного місяця.

Mozilla Monitor (раніше Firefox Monitor) — надійний другий варіант, побудований на тих самих даних про витоки. Він пропонує такий самий пошук за адресою плюс постійний моніторинг, прив'язаний до безкоштовного облікового запису Mozilla, і подає результати з покроковими порадами щодо кожного витоку. Користування обома сервісами нічого не коштує й забирає кілька хвилин. Якщо у вас є власний домен, Have I Been Pwned додатково пропонує моніторинг усього домену: він показує кожну адресу вашого домену, яка фігурує в будь-якому витоку, — корисно, бо передбачувані адреси на кшталт info@ чи contact@ накопичують розкриття непомітно для вас.

Перевірити свою адресу та прочитати повне пояснення того, як обробляються дані витоків, можна в офіційному розділі поширених запитань: Have I Been Pwned — поширені запитання ↗

Безкоштовний сервіс моніторингу від Mozilla надає постійні сповіщення та поради щодо усунення наслідків: Mozilla Monitor — безкоштовний моніторинг витоків даних ↗

Що робити, якщо ваша адреса є у витоку

По-перше, змініть пароль у зламаному сервісі — і, що критично, у кожному іншому сервісі, де ви використовували той самий або схожий пароль. Зловмисники виходять із того, що паролі повторюються, а варіації на кшталт доданої цифри чи знака оклику не рятують від автоматичного перебору. Порядок має значення: спершу захистіть основну поштову скриньку, бо саме вона є механізмом відновлення для всього іншого. Той, хто контролює вашу пошту, може за бажанням скинути паролі до більшості ваших облікових записів.

По-друге, усуньте саму причину — повторне використання паролів: створюйте унікальний випадковий пароль для кожного облікового запису, що на практиці означає користуватися менеджером паролів. Одна ця зміна перетворює майбутні витоки з лавиноподібної кризи на локальний інцидент: розкритий пароль відмикає рівно один обліковий запис, а його заміна забирає хвилину. Там, де сервіси пропонують ключі доступу (passkeys), обирайте їх без вагань. Ключ доступу — це криптографічні облікові дані, прив'язані до вашого пристрою; у базі сервісу немає спільного секрету, який міг би витекти, тож злам сервісу не розкриє нічого, що зловмисник міг би відтворити проти вашого облікового запису. Для всього важливого, що досі тримається на паролях, увімкніть двофакторну автентифікацію — краще через застосунок-автентифікатор, ніж через SMS.

По-третє, тверезо оцініть розкриті дані. Пароль можна змінити, електронну адресу — ні. Щойно ваша адреса потрапила в обіг, чекайте на більше спаму й переконливіший фішинг — і надовго. Особливо насторожено ставтеся до листів, що згадують зламаний сервіс: саме такі приманки зловмисники розсилають за списками витоків. Якщо витік зачепив платіжні дані, стежте за виписками й подумайте про перевипуск картки. Якщо розкрито ідентифікаційні дані, як-от номер документа, дізнайтеся, які механізми блокування кредитної історії чи попередження про шахрайство доступні у вашій країні.

Як зменшити майбутні ризики за допомогою псевдонімів та одноразових адрес

Усе описане вище — реакція постфактум. Проактивна версія цієї гігієни полягає в тому, щоб від початку обмежити кількість баз даних, які містять вашу справжню адресу, адже адреса, якої ніхто не зібрав, ніколи не витече. Поштові псевдоніми (аліаси) — інструмент для сервісів, з якими у вас тривалі стосунки: постачальник псевдонімів видає кожному сервісу окрему адресу для пересилання, тож витік розкриває лише цей псевдонім, який ви потім вимикаєте. Скомпрометована адреса зникає, ваша справжня скринька залишається недоторканою, і ви точно знаєте, хто саме її злив.

Для одноразової взаємодії — завантажити документ, отримати промокод, спробувати сервіс, до якого ви більше не повернетеся, — краще пасує одноразова адреса. Тимчасова скринька в сервісі на кшталт PureTempMail існує хвилини чи години, приймає лист із підтвердженням, а потім зникає разом з усіма своїми даними. Коли цей сервіс за кілька років неминуче зламають, у дампі опиниться адреса, якої вже не існує і яка ніколи не була пов'язана з вами. Дані, яких ви нікому не давали, — єдині, що гарантовано ніколи не з'являться в результатах перевірки витоків.

Чого робити не варто

Ніколи не вводьте пароль, яким ви справді користуєтеся, на випадковому сайті «перевірки паролів». Саме схема k-анонімності, описана вище, робить перевірку в Have I Been Pwned безпечною, і той самий протокол використовують поважні менеджери паролів, — а от випадковий сайт із формою для пароля може просто збирати паролі. Якщо хочете перевірити паролі, робіть це безпосередньо через Have I Been Pwned або через вбудовану функцію перевірки витоків у вашому менеджері паролів чи браузері, де перевірка відбувається за хешами й сам пароль нікуди не передається.

З такою ж недовірою ставтеся до непроханих листів, які повідомляють про ваш злам, — особливо до тих, що ведуть на сторінку входу або вимагають оплати. Легітимні сповіщення про витоки не просять ваш пароль, а листи Have I Been Pwned ніколи не вимагають входити в систему, щоб побачити результати. Споріднене шахрайство — лист, у якому стверджують, що мають компромат, і як доказ наводять один із ваших справжніх паролів; пароль справді ваш, але походить зі старого дампа, а не з доступу до ваших пристроїв. Нарешті, оминайте платні продукти на кшталт «сканування даркнету», які лише перепаковують ті самі публічні дані про витоки, що їх безкоштовно дають ці сервіси.

Реалістичний розпорядок

Розкриття даних — це не одноразова подія, яку можна виправити, а фоновий стан, яким доводиться керувати. Розумний набір дій короткий: перевірте активні адреси в Have I Been Pwned, підпишіться на сповіщення там або в Mozilla Monitor, перейдіть на унікальні паролі через менеджер, використовуйте ключі доступу там, де їх пропонують, і давайте справжню адресу лише тим сервісам, яким справді потрібен довгостроковий спосіб із вами зв'язатися. Псевдоніми закривають довірену, але сегментовану середину, а одноразові адреси — усе тимчасове. Жоден із цих кроків не є складним, а разом вони перетворюють наступний гучний заголовок про витік з особистої надзвичайної ситуації на новину, що вас не стосується.

Зменшити кількість сервісів, які зберігають вашу справжню адресу, — найкращий довгостроковий захист. Практичні прийоми ми розглядаємо в супутній статті: Як захистити свою електронну адресу від спаму