Пришло письмо, что мой старый аккаунт мог попасть в какую-то утечку данных несколько лет назад. Вообще не помню, на каких сайтах я использовала этот пароль. Можно как-то проверить, не гуляют ли мои пароли в открытом доступе, или мне остаётся только всё менять?
Используй сервис вроде Have I Been Pwned, чтобы проверить, есть ли твой email или username в известных утечках. Зайди на сайт, введи свой адрес электронной почты, и он покажет, в каких утечках твой аккаунт засветился. Это не раскрывает твой реальный пароль - просто показывает, была ли эта почта в утечке, которая задокументирована. Если твой email всплывёт, значит, с этим аккаунтом что-то произошло.
Хитрость в том, что сами пароли обычно не плывут в открытом доступе в доступных для поиска базах. В утечках обычно попадают хешированные пароли - перемешанные версии, которые сложнее (но не невозможно) подобрать. Так что в большинстве случаев свой пароль в открытом виде ты там не найдёшь. Но если это была действительно старая утечка и хеширование было слабым, кто-то мог его к этому моменту подобрать - но сам ты этого легко не проверишь.
Лучше всего сразу же поменять пароль на этом аккаунте, и если ты использовал один и тот же пароль ещё где-то, измени его и там. Вот здесь парольный менеджер действительно пригодится, если у тебя его ещё нет - он позволяет генерировать и хранить разные надёжные пароли для всего без того, чтобы твой мозг плавился при попытке их все запомнить. И дальше, если использовать уникальные пароли для каждого сайта, одна утечка не откроет доступ ко всем твоим аккаунтам.
Сервисы уведомления об утечках покрывают адреса электронной почты в открытых базах данных, но вот в чём суть - они не могут сказать тебе, есть ли твой конкретный пароль в открытом доступе, только то, что твой аккаунт был скомпрометирован. Куда важнее, использовал ли ты этот пароль ещё где-то, потому что злоумышленники будут проверять скомпрометированные учётные данные на множестве сайтов.
У меня когда-то давно один старый email попал в утечку, и я действительно нашёл его на этих сервисах проверки, но что реально помогло - это просмотр своего менеджера паролей и выявление того, какие аккаунты использовали тот же пароль. Сначала я их переменил, потом прошёлся по остальным. Если ты не помнишь, на каких сайтах ты использовал этот пароль, то честно говоря может быть имеет смысл полностью переустановить пароли для всего важного - аккаунты с информацией о платежах, доступом для восстановления почты, такое вот. Открытые текстовые пароли почти никогда не утекают в виде, полезном для злоумышленников; обычно воруют хеши, так что даже если твой пароль где-то и есть, его расшифровка потребует серьёзных усилий.
Что никто особо не рассказывает - даже если твой email всплыл в утечке, твой пароль обычно не лежит там в открытом виде. На большинстве сайтов пароли хешируют, то есть скремблируют так, что развернуть это очень сложно. Поэтому когда приходит уведомление, это обычно значит, что утекли email и username, а не сам пароль - если только сайт не был совсем небрежен с безопасностью.
Но это всё равно нужно воспринимать серьёзно, потому что хакеры будут пробовать твой email + частые пароли или пароли из других утечек на твоих других аккаунтах. В прошлом году я узнал, что старый форум, на котором я сидел годы назад, взломали, и хотя сами пароли не утекли, кто-то пытался залогиниться в мой email, используя утёкшие данные с какого-то другого сайта. Поймал на alert'ах о входах, но это было серьёзным звонком будильника.
Что действительно важно: если ты этот пароль использовал где-то ещё, измени его сначала на этих аккаунтах, начиная с email и банковских сервисов. После этого да, прокинь его через Have I Been Pwned, как упоминалось в предыдущих ответах - но концентрируйся на стороне email/username, не пытайся проверить, утёк ли сам пароль. В будущем просто используй password manager, чтобы не переиспользовать пароли, и тебе не придётся ломать голову, какие сайты с какими данными скомпрометировали. Это минут двадцать на настройку, а спасает от этой головной боли в будущем.
Как только ты проверил те базы данных взломов и узнал, какие аккаунты пострадали, практичнее всего сначала поменять пароль на том сайте, а потом везде, где ты использовал тот же пароль - вероятно, поэтому ты и волнуешься. Хорошая новость в том, что даже если в базе данных хранились хеши паролей, они просто так не читаются в каком-нибудь текстовом файле; реальный риск возникает, если кто-то запустит их через программу для подбора паролей, но это требует времени и усилий для старых взломов. Главное - переиспользовал ли ты тот пароль на важных сервисах типа почты или банка, потому что они становятся целью в первую очередь.
Войдите, чтобы ответить.
