Ваші дані злили: що робити в перші 48 годин після витоку

Коли через витік даних під загрозою опинився ваш акаунт, термінової роботи небагато: змініть злитий пароль усюди, де ви його використовували, першою захистіть пошту і готуйтеся до фішингу з тими даними, що витекли разом із паролем. Решта (2FA, моніторинг, заморожування кредитної історії) теж важлива, але може почекати, доки ви не закінчите з цим. Порядок має значення, бо автоматичний credential stuffing зазвичай починається задовго до того, як більшість людей прочитає повідомлення про витік.

Що робити після витоку даних, по порядку

1. Прочитайте, що саме витекло. У повідомленні або в записі про витік на Have I Been Pwned перелічено типи даних: email-адреси, хеші паролів, паролі у відкритому вигляді, номери телефонів, адреси, платіжні дані. Таблиця нижче показує, що робити з кожним із них.
2. Змініть пароль на сайті, з якого стався витік, а потім на кожному сайті, де стояв той самий або схожий пароль. Пошта йде першою, бо хто контролює вашу скриньку, той може скинути пароль до всього іншого.
3. У поштовому акаунті завершіть усі інші сеанси й перевірте правила пересилання та резервну адресу. Правило пересилання, яке непомітно додав атакувальник, переживе зміну пароля.
4. Увімкніть 2FA на пошті, у банку та в менеджері паролів, а де сервіс підтримує passkey, використовуйте їх.
5. Протягом наступних кількох місяців вважайте підозрілим будь-яке повідомлення, що цитує ваші злиті дані (номери замовлень, адресу, телефон).
6. Налаштуйте моніторинг, щоб про наступний витік ви дізналися раніше за ботів.

Більшу частину шкоди відвертає саме другий крок. Якщо пароль на зламаному сайті був унікальним, витік коштує вам однієї зміни пароля. Якщо ви використовували його повторно, кожен акаунт із тим самим паролем тепер за один скрипт від зламу.

Коли «витік» насправді лог стілера

Частина найбільших записів на Have I Been Pwned узагалі не є витоками з компаній. З лютого 2025 року сервіс завантажує логи стілерів: дані, які інфостілери зібрали із заражених комп'ютерів. Набір Synthient, доданий 21 жовтня 2025 року, містить 183 млн унікальних email-адрес, і кожен запис пов'язує адресу із сайтом, на якому ввели пароль, і з самим паролем.

Такий запис змінює порядок дій. Пароль не викрали з бази компанії: його перехопили на пристрої, з якого входили ви або хтось під вашим акаунтом. Якщо змінити пароль із того самого комп'ютера, новий пароль дістанеться тому самому шкідливому ПЗ. Тому:

1. Спершу знайдіть і очистьте заражений пристрій: повна перевірка антивірусом, видалення піратських програм і незнайомих розширень браузера, або перевстановлення системи, якщо певності немає.
2. Змініть паролі з чистого пристрою, почавши із сайту, указаного в записі, і з пошти.
3. Завершіть усі сеанси в цих акаунтах. Стілери копіюють і cookie сеансів, а дійсний cookie обходить і пароль, і 2FA.

Те саме шкідливе ПЗ спустошує сховища паролів у браузерах, про це я пишу в статті чи безпечні менеджери паролів у браузері.

Як швидко зламують злитий хеш пароля

Сервіс, з якого стався витік, зазвичай зберігає хеші, а не паролі, і саме хеш-функція визначає, скільки протримається ваш пароль, коли дамп опиниться офлайн. Для випадкового 8-символьного пароля з усіх 95 друкованих символів повний перебір на одній RTX 4090 (бенчмарки hashcat 6.2.6) виглядає так:

Цей час стосується випадкових паролів. Пароль, який ви вигадали самі, оминає математику брутфорсу: атакувальники спершу проганяють словники з мільярдів раніше злитих паролів і правила їх зміни, тож Summer2024! чи кличка собаки з роком народження падають за хвилини незалежно від хешу. Сіль не змінює швидкість однієї спроби. Вона лише не дає зламати однакові паролі всіх користувачів одночасно, тому швидкий хеш із сіллю залишається швидким хешем.

Ви рідко знаєте, який із цих рядків обрала компанія. Розраховуйте на найгірший випадок і змінюйте пароль, навіть якщо в повідомленні написано, що він був «зашифрований». Звідки беруться цифри в таблиці, я розібрав у статті скільки часу потрібно, щоб зламати пароль.

Насправді вас атакує credential stuffing

Злам хешів для атакувальника не обов'язковий. Зазвичай дамп першим ділом іде в credential stuffing (підстановку викрадених облікових даних): бот бере кожну пару email і пароль і пробує її на поштових сервісах, у магазинах, стрімінгах і банках, пропускаючи запити через резидентні проксі, щоб жодна IP-адреса не виглядала підозріло. Кожна спроба — справжній вхід зі справжнім паролем, тому вона не схожа на підбір і спрацьовує з першого разу всюди, де пароль повторювався.

З тієї ж причини «надійний» пароль тут не захищає. 20-символьний пароль, що стоїть на двох сайтах, так само вразливий, як 123456, щойно один із цих сайтів зіллє його у відкритому вигляді.

Знайти повторювані паролі простіше за допомогою менеджера паролів, ніж з пам'яті. Я користуюся Psono разом із вбудованим менеджером браузера. Перевірка паролів у Chrome і застосунок «Паролі» на пристроях Apple позначають паролі, які повторюються або є у відомих витоках. Якщо менеджера немає, пошукайте в пошті листи «welcome» і «verify your email», щоб відновити список акаунтів, які ви створювали.

Замінюйте паролі згенерованими

Кожен новий пароль беріть із генератора, а не як варіацію старого. MyDog2019!, що перетворився на MyDog2024!, — це перша зміна, яку спробує файл правил. Генератор паролів працює повністю у вашому браузері й бере символи з Web Crypto API, тож новий пароль нікуди не надсилається. Для всього, що зберігається в менеджері, я б брав 16–20 випадкових символів: ви їх однаково не вводите.

Єдиний пароль, який ви таки вводите, майстер-пароль менеджера, краще зробити парольною фразою: шість випадкових слів зі списку EFF дають близько 77,5 біта, що недосяжно для офлайн-зламу і все ще зручно набирати. Якщо хочете перевірити наявний пароль, Перевірка стійкості пароля рахує все локально; тільки пам'ятайте, що пароль, який уже був у витоку, скомпрометований незалежно від оцінки.

Другий фактор: спершу passkey, SMS в останню чергу

Другий фактор робить злитий пароль марним самого по собі, але методи нерівноцінні:

• Passkey (ключі доступу, WebAuthn/FIDO2) прив'язані до домену справжнього сайту, тому фішингова сторінка не може перехопити нічого придатного для повторного використання. Вмикайте їх там, де вони є, починаючи з пошти й менеджера паролів. Перевірка Passkey покаже, чи підтримують їх ваш браузер і пристрій.
• Застосунки-автентифікатори (TOTP) тримають коди поза мобільною мережею, що захищає від SIM-swap (перевипуску SIM-картки шахраями). Але стійкими до фішингу вони не є: фальшива сторінка входу може попросити 6-значний код і використати його протягом 30-секундного вікна.
• SMS-коди — найслабший варіант, вразливий і до SIM-swap, і до такого самого фішингу в реальному часі. Проте це значно краще, ніж нічого.

Детальніше про компроміси у статті 2FA чи MFA.

Якщо витекли й особисті дані

Якщо у витоку були ваше ім'я, адреса, дата народження чи номери документів, ризик зміщується від захоплення акаунта до шахрайства від вашого імені. У Сполучених Штатах заморожування кредитної історії в Equifax, Experian і TransUnion безкоштовне з вересня 2018 року й не дає відкрити нові кредитні лінії, доки ви його не знімете. В інших країнах найближчий аналог — попередити свій банк і уважніше стежити за виписками.

Очікуйте, що злиті дані використають для фішингу. Повідомлення, яке знає ваш справжній номер замовлення чи адресу доставки, переконливіше, але не надійніше. Звертайтеся до компанії через її застосунок або номер, який у вас уже є, і ніколи через посилання в повідомленні.

Дві звички зменшують шкоду від наступного витоку. Безкоштовна служба сповіщень Have I Been Pwned надсилає лист, щойно вашу адресу знаходять у новому витоку, доданому до бази. Поштові аліаси (Hide My Email від Apple, SimpleLogin, Firefox Relay) дають кожному сайту окрему адресу, тож витік розкриває лише цей аліас, і його можна вимкнути.

Якщо витік стався у вашому сервісі

Хешуйте паролі через Argon2id, scrypt або bcrypt (cost від 10), як радить OWASP Password Storage Cheat Sheet, і примусово скиньте паролі всіх постраждалих акаунтів: NIST SP 800-63B вимагає зміни пароля, якщо є ознаки його компрометації. Анулюйте також сеанси та API-токени. Моя власна звичка проста: файли .env потрапляють у .gitignore ще до першого коміту, бо секрет в історії репозиторію — це витік, який ви створили самі. Ширший чекліст є у статті найкращі практики безпеки паролів.

FAQ

Що робити одразу після витоку даних?

Змініть злитий пароль на цьому сайті та всюди, де ви його повторювали, починаючи з пошти. Потім завершіть інші сеанси в поштовому акаунті, перевірте правила пересилання й параметри відновлення та ввімкніть 2FA. Моніторинг і заморожування кредитної історії — після цього.

Як хакери використовують паролі з витоків?

Паролі у відкритому вигляді відразу потрапляють в інструменти credential stuffing, які перевіряють їх на сотнях інших сайтів. Хешовані паролі спершу зламують офлайн; зі швидким хешем на кшталт MD5 поширені й короткі паролі відновлюють за години, і зламані теж потрапляють у списки для stuffing.

Скільки часу потрібно, щоб зламати злитий пароль?

На одній RTX 4090 випадковий 8-символьний пароль з усіх друкованих символів тримається близько 11 годин проти MD5 без солі і близько 36 600 років проти bcrypt з cost 10. Пароль на основі слова чи шаблону може впасти за секунди в обох випадках, бо атакувальники пробують списки злитих паролів раніше за брутфорс.

Чи безпечно вводити свій справжній пароль у перевірку надійності?

Лише в таку, що працює повністю на стороні клієнта. Переконайтеся, що сторінка не робить мережевих запитів, коли ви вводите пароль (це видно в інструментах розробника браузера). Перевірка на цьому сайті рахує все у вкладці браузера.

Що таке credential stuffing і чим він відрізняється від брутфорсу?

Брутфорс вгадує паролі, яких не знає. Credential stuffing використовує паролі, які вже має: узяті з одного витоку й перевірені на інших сайтах. Ліміти частоти запитів майже не сповільнюють його, бо на кожен акаунт припадає одна-дві спроби, і зупиняють його лише унікальні паролі.