Jak to funguje
Tento nástroj zjišťuje, zda se heslo objevuje v databázi uniklých přihlašovacích údajů Have I Been Pwned. Hashuje heslo pomocí SHA-1 ve vašem prohlížeči a do API odešle jen prvních pět znaků tohoto hashe. Služba vrátí všechny odpovídající konce hashů a váš prohlížeč najde shodu lokálně — heslo, a dokonce ani jeho úplný hash, nikdy neopustí vaše zařízení. Tato technika se nazývá k-anonymita.
Pokud se zde heslo objeví, přestaňte ho všude používat: uniklá hesla jsou první, co útočníci zkoušejí. Heslo, které se v databázi nenajde, přesto není bezpečné, pokud je krátké nebo předvídatelné — použijte kontrolu síly a správce hesel.
Co dělat, když bylo vaše heslo nalezeno
Shoda znamená, že přesně toto heslo je již na seznamech útočníků. Jednejte hned:
- Změňte ho všude, kde jste ho použili, ze zařízení, kterému důvěřujete, v tomto pořadí: nejprve e-mail (může resetovat vše ostatní), poté bankovnictví a vše s uloženou kartou, poté sociální účty.
- Pokud jste ho opakovaně používali, považujte za napadený každý účet, který toto heslo měl — nejen ten, který unikl.
- Nastavte jedinečné vygenerované heslo pro každý web a zapněte dvoufaktorové ověřování (autentizační aplikaci nebo hardwarový klíč, ne SMS).
- Vyhledejte na Have I Been Pwned také svou e-mailovou adresu — únik obvykle odhalí víc než jen heslo.
- V následujících týdnech počítejte s phishingem: útočníci nyní mají váš e-mail a staré heslo a použijí je jako návnadu. Nikdy nejednejte na základě neočekávaného odkazu s „bezpečnostním upozorněním“.
Heslo, které nebylo nalezeno, přesto není bezpečné, pokud je krátké nebo předvídatelné — chrání ho délka a náhodnost.
Vygenerovali jste silné heslo? Potřebujete bezpečné místo, kam ho uložit →
Související pojmy: Credential stuffing · Únik dat · Hash · Sůl (salting) · Správce hesel