Únik dat: unikl mi e-mail nebo heslo – co teď udělat

Co přesně uniklo – na tom záleží

Únik dat znamená, že databáze nějaké služby (e-shopu, fóra, aplikace, firmy) se dostala k někomu, kdo ji mít neměl. Z praxe v SOC: z velké části úniků nikdo nevykrade váš účet hned. Data se prodávají, slučují s jinými úniky a používají se měsíce až roky – hlavně na dvě věci, které Policie ČR mezi útoky na přístupové údaje jmenuje výslovně: úniky databází a zkoušení hesel z jiných služeb.

Co v konkrétním úniku bylo, napíše firma v oznámení. U úniků v databázi Have I Been Pwned je to u každého úniku uvedené („Compromised data“).

Co udělat hned

1. Ověřte zprávu o úniku mimo e-mail. Otevřete web nebo aplikaci firmy sami. Britské NCSC radí nepoužívat odkazy ani kontakty z došlé zprávy – oznámení o úniku je oblíbená maska phishingu.
2. Změňte heslo u postižené služby, pokud uniklo heslo nebo to firma neví. NCSC doporučuje, kde to jde, rovnou přejít na přístupový klíč (passkey).
3. Změňte ho všude, kde bylo stejné nebo podobné. Tohle je nejdůležitější krok. Policie ČR popisuje přesně tenhle scénář: heslo uniklé z méně zabezpečené služby pachatel vyzkouší i jinde. Začněte e-mailem a bankou, pak sociální sítě a e-shopy s uloženou kartou. SK-CERT radí změnit heslo na ohrožených účtech i na ostatních klíčových účtech.
4. Zapněte dvoufázové ověření, hlavně u e-mailu. S ním samotné heslo podvodníkovi nestačí. Postup: Dvoufázové ověření: jak ho zapnout.
5. Unikla karta? Volejte do banky na číslo z karty nebo z aplikace a kartu zablokujte.

Během týdne: zkontrolujte účty

NCSC doporučuje projít účty, kde bylo stejné heslo, a hledat znaky neoprávněného přístupu:

• nemůžete se přihlásit nebo se změnilo nastavení zabezpečení (záchranný telefon, e-mail),
• v odeslané poště nebo na sociální síti jsou zprávy, které jste nepsali,
• v přehledu přihlášení jsou zařízení nebo místa, která neznáte, nebo přihlášení v nezvyklou dobu,
• u e-mailu přeposílání nebo filtr, který jste nevytvořili.

Když něco z toho najdete, nejde už jen o únik – účet je napadený. Pokračujte návodem Někdo mi ukradl účet.

Zjistěte, kde všude vaše adresa unikla

Have I Been Pwned (HIBP) je bezplatná služba, kterou NCSC k tomu doporučuje. Zadáte e-mail a uvidíte známé úniky, ve kterých se objevil, a jaké údaje v každém byly. Pár věcí, které stojí za to vědět:

• Nález neznamená napadení. HIBP ukazuje, že vaše adresa byla v uniklé databázi, ne že je někdo ve vašem účtu.
• Upozornění na nové úniky. HIBP umí poslat zprávu, když se adresa objeví v dalším úniku. Hlídat jde jen adresu, ke které máte přístup – potvrzení chodí na ni.
• Kontrola hesel je navržená bezpečně. Pwned Passwords podle dokumentace HIBP pošle jen prvních 5 znaků otisku SHA-1 hesla a zbytek porovná u vás. Heslo nalezené v úniku už podle HIBP nepoužívejte.
• Na jiných webech hesla nezadávejte. Stránka, která chce celé heslo, „aby ověřila únik“, může být sama past.

Podobnou kontrolu úniků nabízí i řada antivirů a správců hesel – NCSC je zmiňuje jako alternativu.

Na co se připravit: podvody po úniku

Uniklé údaje jsou palivo pro cílené podvody. Zpráva nebo hovor, který zná vaše jméno, telefon nebo poslední nákup, je věrohodnější. NCSC upozorňuje, že phishing navazující na únik může přijít i dlouho poté, co se o úniku psalo.

• Falešné „oznámení o úniku“ s odkazem na změnu hesla nebo „ověření účtu“ – přihlášení vždy jen přes web nebo aplikaci, kterou otevřete sami.
• Vyděračský e-mail s vaším starým heslem („mám vaše video“). Heslo pochází z úniku, žádné video neexistuje. Postup: Vyděračský e-mail „mám vaše video“.
• Volání „z banky“ nebo „od policie“, které zná vaše údaje. Banka ani policie vás nebude žádat o přihlašovací údaje ani o převod peněz – návod Volal mi falešný bankéř.
• SMS o balíku nebo platbě na číslo z úniku e-shopu – Podvodná SMS o balíku.

Odkaz ze zprávy, kterou si nejste jistí, vložte do Kontroly odkazu – ukáže, kam doopravdy vede a jestli adresa nenapodobuje známou značku.

Unikly osobní údaje nebo doklad

Když unikla adresa, datum narození, rodné číslo nebo kopie dokladu, hlídejte, jestli na vás někdo nesjednává úvěr: výpis z bankovního a nebankovního registru klientských informací (BRKI, NRKI) si můžete objednat online u CRIF. Pokud unikla kopie občanky, postupujte podle návodu Poslal jsem fotku občanky podvodníkovi – postup u ohlášení dokladu je stejný.

Co musí udělat firma a kde si stěžovat

Podle GDPR (shrnutí Evropského sboru pro ochranu osobních údajů):

• únik osobních údajů musí firma ohlásit dozorovému úřadu do 72 hodin od zjištění, pokud nejde o únik bez rizika pro lidi,
• vás musí informovat bez zbytečného odkladu, když únik pravděpodobně povede k vysokému riziku,
• oznámení má srozumitelně popsat pravděpodobné důsledky, co firma udělala, co doporučuje vám, a uvést kontakt (pověřence pro ochranu osobních údajů nebo jiné kontaktní místo).

Když firma mlčí nebo nereaguje na vaši žádost do měsíce, můžete podat stížnost u Úřadu pro ochranu osobních údajů (ÚOOÚ): zdarma, datovou schránkou (ID qkbaa2n), e-mailem s elektronickým podpisem na posta@uoou.gov.cz nebo poštou. Uveďte firmu, o jaké údaje jde a důkazy, které máte (podle Portálu veřejné správy). Na Slovensku je dozorovým úřadem Úrad na ochranu osobných údajov SR.

Když únik vedl ke škodě – někdo vám vybral účet nebo se za vás vydával – oznamte to policii (158 v Česku i na Slovensku) a bance.

Jak se připravit na další únik

Úniky se budou dít dál a vy je neovlivníte. Ovlivníte, kolik vás budou stát:

1. Každá služba vlastní heslo. Uniklé heslo pak otevře jen jeden účet. Bez správce hesel to v praxi nejde.
2. Dvoufázové ověření nebo přístupový klíč u e-mailu, banky a sociálních sítí.
3. Upozornění HIBP na vaše hlavní adresy.
4. Méně údajů, méně úniků. Účty, které nepoužíváte, zrušte; do registrací nevyplňujte víc, než služba opravdu potřebuje.
5. Přihlášení jen přes vlastní cestu – záložka, aplikace, ručně napsaná adresa. Nikdy přes odkaz ze zprávy.