Co dělat, pokud možná unikly vaše přihlašovací údaje

Úniky hesel a přihlašovacích údajů patří mezi nejčastější kybernetické incidenty, se kterými se dnes mohou setkat běžní uživatelé i firmy. Nemusí přitom jít jen o hackerský útok na velkou internetovou službu. Přihlašovací údaje se často dostanou do oběhu také přes phishing, škodlivý software, špatně zabezpečené databáze nebo opakované používání stejného hesla na více stránkách.

Pro uživatele to může vypadat nevinně: jeden starý účet, jedna zapomenutá registrace, jedno heslo použité před lety. Pro útočníka však může být i takový údaj vstupní bránou k e-mailu, sociálním sítím, firemním systémům, internetovému bankovnictví nebo dalším službám.

Dobrá zpráva je, že riziko lze výrazně snížit. Stačí rozumět tomu, jak úniky přihlašovacích údajů fungují, co se může stát po úniku hesla a jaké kroky je třeba udělat hned.

Co znamená únik hesel?

Únik hesel znamená, že se přihlašovací údaje uživatelů dostaly mimo systém, ve kterém měly být bezpečně uloženy. Může jít o samotná hesla, e-mailové adresy, uživatelská jména, telefonní čísla, IP adresy, cookies, session tokeny nebo další osobní údaje.

Ne každý únik je stejný. Někdy uniknou hesla v čitelné podobě, což je nejhorší scénář. Jindy jsou hesla uložena jako tzv. hash, tedy technicky zpracovaná hodnota, která by měla ztížit jejich zneužití. Pokud je však hashování zastaralé nebo slabé, útočníci mohou část hesel zpětně prolomit.

V praxi je důležité především jedno: pokud se vaše heslo objevilo v uniklé databázi a používáte ho i jinde, ohrožený nemusí být jen jeden účet

Jak se přihlašovací údaje dostanou k útočníkům?

K únikům přihlašovacích údajů dochází více způsoby. Některé jsou technické, jiné využívají nepozornost nebo důvěřivost uživatelů.

Nejčastější příčiny jsou:

• špatně zabezpečené servery nebo databáze,
• neaktualizovaný software s bezpečnostními zranitelnostmi,
• phishingové e-maily a falešné přihlašovací stránky,
• škodlivý software v počítači nebo mobilu,
• slabá nebo opakovaně používaná hesla,
• nedostatečně chráněné firemní účty,
• chybějící dvoufaktorové ověření.

Velkým problémem jsou také tzv. infostealery, tj. škodlivé programy, které po infikování zařízení sbírají uložená hesla, cookies, údaje z prohlížeče nebo přihlašovací relace. Uživatel si přitom nemusí všimnout ničeho podezřelého.

Proč je opakované používání hesel tak nebezpečné?

Mnoho lidí používá stejné nebo velmi podobné heslo na více stránkách. Je to pohodlné, ale nebezpečné.

Pokud například unikne heslo ze starého e-shopu, útočník ho může automatizovaně zkusit použít i v e-mailu, na sociálních sítích, v cloudových službách nebo pracovních nástrojích. Tento typ útoku se nazývá credential stuffing, útočníci zkoušejí známé kombinace e-mailů a hesel na dalších službách.

Proto se i únik ze služby, kterou už roky nepoužíváte, může stát problémem. Ne proto, že by byl důležitý samotný starý účet, ale proto, že stejné heslo může odemknout mnohem citlivější služby.

Co vám hrozí, pokud uniknou vaše přihlašovací údaje?

Uniklá hesla mohou být zneužita různými způsoby. Nejčastější rizika jsou:

• neoprávněné přihlášení do účtu,
• změna hesla a ztráta přístupu ke službě,
• zneužití e-mailu k resetování dalších účtů,
• krádež identity,
• finanční podvody,
• objednávky nebo platby vaším jménem,
• vydírání nebo podvodné zprávy vašim kontaktům,
• cílený phishing,
• průnik do firemních systémů.

Nejcitlivějším účtem je často e-mail. Pokud se útočník dostane do vaší e-mailové schránky, může přes ni obnovovat hesla do dalších služeb. Proto by měl mít e-mail vždy silné, unikátní heslo a zapnuté vícefaktorové ověření.

Jak zjistíte, zda vaše údaje unikly?

Ke kontrole můžete použít veřejně dostupné služby, které sledují známé úniky dat. Nejznámější je Have I Been Pwned, kde si můžete ověřit, zda se vaše e-mailová adresa objevila ve známých únicích. Služba zároveň provozuje databázi kompromitovaných hesel, kterou mohou systémy používat k blokování hesel známých z předchozích úniků.

Při kontrole hesel buďte opatrní. Nikdy nezadávejte své aktuální heslo na neznámé stránky. Pokud si nejste jistí důvěryhodností služby, raději heslo rovnou změňte.

Co dělat, pokud zjistíte, že vaše heslo uniklo?

Pokud máte podezření, že vaše přihlašovací údaje unikly, postupujte rychle, ale systematicky.

1. Okamžitě změňte heslo v dotčené službě

Pokud víte, kterého účtu se únik hesla týká, změňte heslo přímo v dané službě. Nepoužívejte starou variaci stejného hesla. Vytvořte nové, dlouhé a unikátní heslo.

2. Změňte heslo všude, kde jste používali stejnou kombinaci

Pokud jste stejné heslo používali i jinde, změňte ho na všech těchto účtech. Právě opakování hesel je důvod, proč se jeden únik může rozšířit na více služeb.

3. Zapněte dvoufaktorové nebo vícefaktorové ověření

Dvoufaktorové ověření přidává další vrstvu ochrany. I když útočník zná heslo, bez druhého faktoru se do účtu nemusí dostat. U citlivých účtů je vhodné používat vícefaktorové ověření, bezpečnostní klíče nebo passkeys.

4. Zkontrolujte aktivitu účtu

Podívejte se na historii přihlášení, připojená zařízení, nastavená přesměrování e-mailů, záložní e-mailové adresy a telefonní čísla. Útočníci si někdy po průniku nastaví zadní vrátka, aby se do účtu dokázali vrátit.

5. Odhlaste všechny aktivní relace

Mnoho služeb umožňuje odhlásit účet ze všech zařízení. Udělejte to zejména u e-mailu, sociálních sítí, cloudových úložišť a pracovních nástrojů.

6. Dejte si pozor na následný phishing

Po úniku dat mohou následovat podvodné e-maily nebo SMS zprávy, které působí velmi přesvědčivě. Útočník může znát vaše jméno, e-mail, telefon nebo službu, kterou používáte. Neklikejte na odkazy v podezřelých zprávách a přihlašujte se vždy přes oficiální stránku nebo aplikaci.

Jak si vytvořit bezpečné heslo?

Silné heslo nemusí být nezapamatovatelná směs náhodných znaků. Důležitější než složitost je délka, jedinečnost a nepoužívání známých nebo uniklých hesel.

Dobré heslo by mělo být:

• dlouhé,
• unikátní pro každý účet,
• těžko uhodnutelné,
• nepoužité v minulosti,
• neobsahující jméno, datum narození, název firmy ani jednoduché vzory.

Ještě lepším řešením je používat správce hesel. Ten vám dokáže vygenerovat silná hesla pro každý účet a bezpečně je uložit. Vy si pak pamatujete jen jedno hlavní heslo.

Je třeba hesla měnit pravidelně?

Staré doporučení znělo: měňte hesla každých pár měsíců. Dnes je bezpečnostní praxe přesnější.

Heslo byste měli změnit zejména tehdy, když:

• bylo součástí úniku dat,
• použili jste ho na více službách,
• máte podezření na neoprávněný přístup,
• klikli jste na phishingový odkaz,
• zařízení mohlo být infikováno škodlivým softwarem,
• jde o staré, slabé nebo snadno uhodnutelné heslo.

Moderní doporučení nepreferují automatické vynucené změny hesel bez důvodu, protože uživatelé si pak často vytvářejí slabší a předvídatelná hesla. Smysl má měnit heslo tehdy, když existuje důvodné podezření, že mohlo být kompromitováno.

Jak se chránit do budoucna?

Nejlepší ochrana je kombinace více jednoduchých návyků:

1. Používejte pro každý účet jiné heslo.
2. Ukládejte hesla ve správci hesel.
3. Zapněte dvoufaktorové ověření všude, kde je to možné.
4. Nejvíce chraňte e-mail, bankovnictví, sociální sítě a pracovní účty.
5. Neklikejte na podezřelé odkazy v e-mailech a SMS zprávách.
6. Pravidelně aktualizujte operační systém, prohlížeč a aplikace.
7. Nepoužívejte pracovní hesla v soukromých službách.
8. Při podezření na únik jednejte okamžitě.

Co by měly dělat firmy?

I když je tento článek určen především běžným uživatelům, úniky přihlašovacích údajů jsou vážným rizikem i pro firmy. Jeden kompromitovaný účet zaměstnance může útočníkovi otevřít cestu k interním systémům, e-mailové komunikaci, zákaznickým datům nebo finančním procesům.

Firmy by proto měly:

• používat vícefaktorové ověření,
• pravidelně aktualizovat systémy,
• školit zaměstnance v oblasti phishingu,
• monitorovat podezřelá přihlášení,
• omezovat přístupy podle pracovní role,
• používat bezpečnostní politiky pro hesla,
• zavést správu identit a přístupů,
• mít připravený postup reakce na incident.

Kybernetická bezpečnost není jen technické téma. Je to také otázka návyků, procesů a odpovědnosti.

Jedno uniklé heslo může stačit

Únik hesel nemusí znamenat okamžitou katastrofu. Je však signálem, že je třeba jednat. Největší riziko vzniká tehdy, když uživatelé používají stejná hesla na více službách, ignorují upozornění a nemají zapnuté dvoufaktorové ověření.

Digitální bezpečnost začíná u základních rozhodnutí: silná a unikátní hesla, správce hesel, vícefaktorové ověření a opatrnost u podezřelých zpráv. Tato opatření nezaručí absolutní ochranu, ale výrazně snižují pravděpodobnost, že se z úniku jednoho hesla stane vážný bezpečnostní problém.

Co udělat hned teď

Pokud máte jen 5 minut, udělejte tyto tři věci:

1. Zkontrolujte, zda se váš e-mail objevil ve známém úniku dat.
2. Změňte hesla, která používáte na více službách.
3. Zapněte dvoufaktorové ověření alespoň na e-mailu, bankovnictví a sociálních sítích.