Elke paar weke vanjaar het nog ’n opskrif oor ’n datalek opgelewer. Die instink is om vaagweg blootgestel te voel en dan niks te doen nie, omdat dit nie duidelik is wat “blootgestel” persoonlik vir jou beteken nie. Daar is ’n vinnige manier om daardie vae bekommernis in ’n spesifieke antwoord te omskep: kyk of jou eie e-posadres of wagwoord in ’n bekende datalek verskyn, met ’n gratis hulpmiddel wat presies hiervoor gebou is. Hier is hoe om dit behoorlik te doen, en — die deel wat die meeste mense oorslaan — wat om werklik te doen sodra jy die resultate het.

Wat Have I Been Pwned werklik is

Have I Been Pwned (HIBP) is ’n gratis diens om na datalekke te soek, wat deur sekuriteitsnavorser Troy Hunt gebou en onderhou word. Dit werk deur data uit datalekke wat reeds plaasgevind het — maatskappy-openbaarmakings, sekuriteitsnavorsers en soms gesteelde datastelle wat in die openbaar sirkuleer — in te samel en te indekseer watter e-posadresse en wagwoorde daarin verskyn, sodat jy kan soek sonder om self enigiets af te laai. Dit is nie ’n regeringshulpmiddel nie, maar regerings vertrou dit: vanaf vanjaar word dit deur 47 nasionale regerings gebruik om hul eie amptelike domeine vir blootstelling te monitor, met Nepal as die mees onlangse land wat aangesluit het. Dit is ’n redelike aanduiding dat dit ’n wettige, wyd gebruikte diens is eerder as ’n foefiewebwerf — wat saak maak, omdat nabootsings en soortgelyke werwe vir die nagaan van datalekke wel bestaan (meer daaroor hieronder).

Stap 1: Gaan elke e-posadres wat jy werklik gebruik, na

Gaan direk na haveibeenpwned.com — tik die URL self in eerder as om op ’n skakel uit ’n e-pos of advertensie te klik. Voer jou e-posadres in en doen ’n soektog. Doen dit vir elke adres wat jy gebruik, nie net jou hoofadres nie: jou ou Hotmail- of Yahoo-rekening van ’n dekade gelede, jou werk-e-posadres, die weggooibare adres waarmee jy by forums geregistreer het. Ou, halfvergete rekeninge is dikwels dié wat in die oudste, swakste beskermde datalekke voorkom, en as jy ooit ’n wagwoord van een daarvan êrens anders hergebruik het, is daardie hergebruik die werklike risiko.

Stap 2: Lees wat die datalek werklik blootgestel het — moenie net die telling vlugtig bekyk nie

Om te sien “hierdie e-posadres het in 6 datalekke verskyn” is op sigself nie nuttig nie. Klik op elkeen. HIBP lys watter kategorieë data deur daardie spesifieke datalek blootgestel is — byvoorbeeld e-posadresse, wagwoorde (gewoonlik as hashes gestoor, soms in gewone teks, afhangend van hoe swak die maatskappy sekuriteit hanteer het), name, telefoonnommers, fisiese adresse of IP-adresse. ’n Datalek wat slegs jou e-posadres aan ’n bemarkingslys uitgelek het, is ’n ander probleem as een wat jou e-posadres plus ’n wagwoord in gewone teks plus jou huisadres uitgelek het. Prioritiseer volgens wat werklik gesteel is, nie volgens hoe bekend die datalek se naam is nie.

Let ook daarop dat HIBP ’n aparte kategorie vir “sensitiewe” datalekke handhaaf — werwe waar dit op sigself sensitief is om as ’n lid gelys te word (byvoorbeeld volwasse-inhoud- of gesondheidsverwante dienste). Dit word nie in die verstekresultate gewys nie; jy moet uitdruklik instem om dit te sien, wat ’n doelbewuste privaatheidskeuse aan HIBP se kant is, nie ’n fout nie.

Stap 3: Gaan jou wagwoorde apart van jou e-posadres na

HIBP het ’n tweede, afsonderlike hulpmiddel genaamd Pwned Passwords, en dit beantwoord ’n ander vraag: het hierdie spesifieke wagwoord ooit in ’n datalek-korpus verskyn, ongeag aan watter webwerf dit gekoppel was? Dit maak saak omdat ’n wagwoord in die gedrang kan wees selfs al was jou spesifieke rekening nie die een wat gekraak is nie — as jy dieselfde wagwoord êrens anders gebruik het wat getref is. Die hulpmiddel is so gebou dat jy nooit jou volledige wagwoord hoef te stuur om dit na te gaan nie: dit gebruik ’n tegniek (k-anonimiteit) waar slegs ’n klein gedeeltelike fragment van die wagwoord se hash gestuur word, en die passing plaasvind sonder dat HIBP ooit die geheel daarvan sien. In die praktyk is die gevolgtrekking eenvoudiger as die meganisme: dit is veilig om ’n wagwoord daar na te gaan, maar tik nooit ’n werklike wagwoord in enige ander webwerf vir die nagaan van datalekke wat nie HIBP self is nie.

Wat om werklik met die resultate te doen

Dit is die stap wat mense oorslaan — hulle doen die nagaan, voel kortstondig ontsteld en maak die oortjie toe. Werk deur hierdie lys vir enigiets wat na vore gekom het:

  • Wagwoord as blootgestel aangedui: Verander dit nou op daardie spesifieke webwerf — en op elke ander webwerf waar jy dieselfde of ’n soortgelyke wagwoord gebruik het. Wees hier eerlik met jouself; die hergebruik van wagwoorde is vandag die grootste enkele rede waarom een ou datalek in verskeie gekompromitteerde rekeninge ontaard.
  • Enige rekening met ’n blootgestelde wagwoord: Skakel tweefaktorverifikasie (2FA) aan of, waar dit aangebied word, skakel oor na ’n toegangssleutel. Dit is die stap wat die skade werklik beperk as ’n wagwoord in die toekoms weer uitlek — dit hou langer as enige individuele wagwoordverandering.
  • Sekuriteitsvrae of -antwoorde was deel van die datalek: Behandel daardie spesifieke antwoorde voortaan as permanent openbaar. Moenie die werklike antwoord elders hergebruik nie; as die webwerf dit toelaat, vervang dit met ’n ewekansige string wat in ’n wagwoordbestuurder gestoor word, eerder as ’n ware feit oor jouself.
  • Finansiële besonderhede, staats-ID-nommers of SSN was deel van die datalek: Dit gaan verder as ’n wagwoordverandering. Vind by die groot kredietburo’s uit oor die plaas van ’n kredietbevriesing of bedrogwaarskuwing, en monitor state van daardie rekening vir onbekende aktiwiteit in die daaropvolgende maande.
  • Die datalek is oud en jy het die wagwoord sedertdien reeds verander: Jy hoef waarskynlik nie weer op te tree nie — maar dit is die moeite werd om dubbel seker te maak dat jy nooit daardie ou wagwoord na ’n nuwer rekening oorgedra het nie.
  • Jy het verskeie ou, hergebruikte wagwoorde gevind: Dit is die oomblik om ’n wagwoordbestuurder te begin gebruik om voortaan unieke wagwoorde te genereer en te stoor, sodat hierdie oefening nie volgende jaar weer ’n noodsituasie hoef te wees nie.

Stel waarskuwings op sodat jy dit nie vir altyd handmatig hoef te doen nie

HIBP het ’n gratis “stel my in kennis”-intekening: registreer jou e-posadres(se), en dit sal jou outomaties per e-pos in kennis stel as hulle in ’n toekomstige datalek verskyn, eerder as om daarop staat te maak dat jy onthou om te kyk. Dit is die moeite werd om dit te doen vir elke e-posadres wat jy in Stap 1 nagegaan het — dit omskep ’n eenmalige kontrole in deurlopende dekking sonder enige herhalende moeite van jou kant.

Wat hierdie hulpmiddel nie vir jou kan vertel nie

Dit is die moeite werd om eerlik te wees oor die beperkings hier. HIBP kan slegs verslag doen oor datalekke wat ontdek en openbaar gemaak is en in sy databasis gelaai is — dit het geen insig in data wat gesteel maar nog nie gevind is nie, privaat verkoop word of in uitlek-logboeke van steelders lê wat nooit openbaar geword het nie. ’n Skoon resultaat (“goeie nuus — geen pwnage gevind nie!”) beteken dat geen *bekende* openbare datalek daardie e-posadres insluit nie; dit is nie ’n waarborg dat jou rekeninge onaangeraak is nie, en dit vervang nie basiese goeie praktyke soos unieke wagwoorde en 2FA nie. Beskou ’n skoon soektog as een datapunt, nie as ’n skoon gesondheidsverklaring nie.

Nog een ding: vertrou slegs die regte webwerf

Omdat bekommernis oor datalekke juis iets is wat swendelaars uitbuit, wees doelbewus oor waar jy nagaan. Gebruik haveibeenpwned.com direk, nie ’n skakel wat in ’n e-pos of teksboodskap aangestuur is en beweer dat dit ’n “datalekwaarskuwing” is nie — dit is ’n klassieke uitvissingsopstelling. Die wettige hulpmiddel om wagwoorde na te gaan, het nooit jou volledige wagwoord nodig om sy werk te doen nie; as ’n webwerf jou vra om ’n volledige wagwoord in te tik om te “kyk of dit uitgelek het”, is dit ’n rooi vlag, nie ’n funksie nie.

Vinnige kontrolelys

  • Soek elke e-posadres wat jy al gereeld gebruik het op haveibeenpwned.com
  • Maak elke resultaat van ’n datalek oop en lees watter data werklik gesteel is
  • Kontroleer jou wagwoorde wat jy gereeld gebruik in die afsonderlike Pwned Passwords-nutsding
  • Verander enige blootgestelde wagwoord oral waar jy dit hergebruik het
  • Skakel 2FA of toegangsleutels op jou belangrike rekeninge aan, veral e-pos
  • Laat jou krediet vries as finansiële of identiteitsdata blootgestel is
  • Teken in op gratis kennisgewings oor toekomstige datalekke vir elke e-posadres
  • Begin ’n wagwoordbestuurder gebruik as jy dit nog nie doen nie