Varannan vecka ungefär har i år kommit med ännu en rubrik om ett dataintrång. Instinkten är att känna sig vagt utsatt och sedan inte göra någonting, eftersom det inte är tydligt vad ”utsatt” ens betyder för just dig. Det finns ett snabbt sätt att omvandla den vaga oron till ett konkret svar: kontrollera om din egen e-postadress eller ditt lösenord förekommer i ett känt dataintrång med hjälp av ett gratisverktyg som är byggt för just detta. Så här gör du på rätt sätt, och – den del som de flesta hoppar över – vad du faktiskt ska göra när du har fått resultaten.

Vad Have I Been Pwned faktiskt är

Have I Been Pwned (HIBP) är en kostnadsfri tjänst för att söka efter dataintrång, skapad och underhållen av säkerhetsforskaren Troy Hunt. Den fungerar genom att samla in data från dataintrång som redan har inträffat – företagsmeddelanden, säkerhetsforskares uppgifter och ibland stulna dataset som cirkulerar offentligt – och indexera vilka e-postadresser och lösenord som förekommer i dem, så att du kan söka utan att själv ladda ner något. Det är inget myndighetsverktyg, men det är betrott av myndigheter: i år används det av 47 nationella regeringar för att övervaka sina egna officiella domäner efter exponering, där Nepal är det senaste landet att ansluta sig. Det är en rimlig signal om att detta är en legitim och brett använd tjänst snarare än en gimmicksida – vilket spelar roll, eftersom kopior och efterapningar av tjänsten faktiskt finns (mer om det nedan).

Steg 1: Kontrollera varje e-postadress du faktiskt använder

Gå direkt till haveibeenpwned.com – skriv in webbadressen själv i stället för att klicka på en länk från ett e-postmeddelande eller en annons. Ange din e-postadress och sök. Gör detta för varje adress du använder, inte bara din huvudadress: ditt gamla Hotmail- eller Yahoo-konto från tio år sedan, din jobbmejl och den tillfälliga adress du använde när du registrerade dig på forum. Gamla, halvt bortglömda konton är ofta de som finns i de äldsta och sämst skyddade dataintrången, och om du någonsin återanvände ett lösenord från något av dem någon annanstans är det återanvändningen som utgör den verkliga risken.

Steg 2: Läs vad dataintrånget faktiskt exponerade – skumma inte bara antalet

Att se ”den här e-postadressen förekom i 6 dataintrång” är inte i sig användbart. Klicka dig in på vart och ett. HIBP listar vilka datakategorier just det dataintrånget exponerade – till exempel e-postadresser, lösenord (som vanligtvis lagras som hashvärden, ibland i klartext beroende på hur dåligt företaget hanterade säkerheten), namn, telefonnummer, fysiska adresser eller IP-adresser. Ett dataintrång där endast din e-postadress läckte till en marknadsföringslista är ett annat problem än ett där din e-postadress, ett lösenord i klartext och din hemadress läckte. Prioritera utifrån vad som faktiskt stals, inte utifrån hur välkänt dataintrångets namn är.

Observera också att HIBP har en separat kategori för ”känsliga” dataintrång – webbplatser där det i sig är känsligt att vara registrerad som medlem (till exempel tjänster med vuxeninnehåll eller hälsorelaterade tjänster). De visas inte i standardresultaten; du måste aktivt välja att visa dem, vilket är ett medvetet integritetsval från HIBP:s sida och inte ett fel.

Steg 3: Kontrollera dina lösenord separat från din e-post

HIBP har ett andra, separat verktyg som heter Pwned Passwords, och det besvarar en annan fråga: har just det här lösenordet någonsin förekommit i ett dataintrång, oavsett vilken webbplats det var kopplat till? Det spelar roll eftersom ett lösenord kan vara komprometterat även om det inte var just ditt konto som utsattes – om du använde samma lösenord någon annanstans som drabbades. Verktyget är byggt så att du aldrig skickar hela lösenordet när du kontrollerar det: det använder en teknik (k-anonymitet) där endast en liten del av lösenordets hash skickas, och matchningen sker utan att HIBP någonsin ser hela lösenordet. I praktiken är slutsatsen enklare än mekanismen: det är säkert att kontrollera ett lösenord där, men skriv aldrig in ett riktigt lösenord på någon annan ”kontrolltjänst för dataintrång” som inte är HIBP självt.

Vad du faktiskt ska göra med resultaten

Det här är steget som folk hoppar över – de kontrollerar, blir kortvarigt oroliga och stänger fliken. Gå igenom den här listan för allt som kom fram:

  • Lösenordet visas som exponerat: Byt det nu på den specifika webbplatsen – och på alla andra webbplatser där du använde samma eller ett liknande lösenord. Var ärlig mot dig själv här; återanvändning av lösenord är den överlägset största orsaken till att ett gammalt dataintrång i dag leder till flera komprometterade konton.
  • Ett konto med ett exponerat lösenord: Aktivera tvåfaktorsautentisering (2FA) eller byt till en passnyckel där det erbjuds. Det här är steget som faktiskt begränsar skadan om ett lösenord läcker igen i framtiden – det är mer hållbart än att byta ett enskilt lösenord.
  • Säkerhetsfrågor eller svar ingick i dataintrånget: Betrakta de specifika svaren som permanent offentliga från och med nu. Återanvänd inte det riktiga svaret någon annanstans; om webbplatsen tillåter det kan du ersätta det med en slumpmässig teckensträng som lagras i en lösenordshanterare i stället för ett verkligt faktum om dig själv.
  • Ekonomiska uppgifter, statliga ID-nummer eller SSN ingick i dataintrånget: Det här går längre än att byta lösenord. Kontakta de större kreditupplysningsföretagen för att undersöka möjligheten att lägga in en kreditspärr eller bedrägerivarning, och håll utkik efter obekanta aktiviteter i kontoutdragen från det kontot under de följande månaderna.
  • Dataintrånget är gammalt och du har redan bytt lösenordet sedan dess: Du behöver troligen inte göra något igen – men det är värt att dubbelkolla att du aldrig förde det gamla lösenordet vidare till ett nyare konto.
  • Du hittade flera gamla, återanvända lösenord: Det här är rätt tillfälle att börja använda en lösenordshanterare för att skapa och lagra unika lösenord framöver, så att den här övningen inte behöver bli en brandövning igen nästa år.

Ställ in aviseringar så att du inte behöver göra detta manuellt för alltid

HIBP har en kostnadsfri prenumeration på ”avisera mig”: registrera din eller dina e-postadresser så skickar tjänsten automatiskt ett e-postmeddelande om de dyker upp i ett framtida dataintrång, i stället för att du själv måste komma ihåg att kontrollera dem. Det är värt att göra för varje e-postadress du sökte på i steg 1 – det omvandlar en engångskontroll till löpande bevakning utan någon återkommande insats från din sida.

Vad det här verktyget inte kan berätta för dig

Det är värt att vara ärlig om begränsningarna här. HIBP kan bara rapportera om dataintrång som har upptäckts, offentliggjorts och lagts in i dess databas – tjänsten har ingen insyn i data som har stulits men ännu inte upptäckts, sålts privat eller ligger i dumpningar av stealer-loggar som aldrig blev offentliga. Ett rent resultat (”goda nyheter – ingen pwnage hittades!”) betyder att inget *känt* offentligt dataintrång innehåller den e-postadressen; det är ingen garanti för att dina konton är orörda och det ersätter inte grundläggande säkerhetsrutiner som unika lösenord och 2FA. Se en ren sökning som en datapunkt, inte som ett friskintyg.

En sak till: lita bara på den riktiga webbplatsen

Eftersom oro över dataintrång i sig är något som bedragare utnyttjar bör du vara noga med var du kontrollerar. Använd haveibeenpwned.com direkt, inte en länk som vidarebefordrats i ett e-postmeddelande eller sms och påstås vara en ”varning om dataintrång” – det är ett klassiskt nätfiskeförsök. Det legitima verktyget för lösenordskontroll behöver aldrig ditt fullständiga lösenord för att fungera; om en webbplats ber dig skriva in ett helt lösenord för att ”kontrollera om det har läckt” är det en varningssignal, inte en funktion.

Snabb checklista

  • Sök efter alla e-postadresser du någonsin har använt regelbundet på haveibeenpwned.com
  • Öppna varje resultat från en dataläcka och läs vilka uppgifter som faktiskt stals
  • Kontrollera dina vanligaste lösenord i det separata verktyget Pwned Passwords
  • Byt alla avslöjade lösenord överallt där du återanvänt dem
  • Aktivera 2FA eller lösenordsnycklar på dina viktiga konton, särskilt e-postkonton
  • Spärra kreditupplysningar om ekonomiska uppgifter eller ID-uppgifter har läckt
  • Registrera dig för kostnadsfria aviseringar om framtida dataläckor för varje e-postadress
  • Börja använda en lösenordshanterare om du inte redan gör det