Co dělat, když unikly vaše osobní údaje

Interaktivní nástroj: co udělat po úniku osobních údajů

Zprávy o úniku dat se v posledních letech objevují stále častěji - od menších e-shopů po velké mezinárodní platformy. Pokud vám dorazí oznámení, že vaše osobní údaje byly součástí úniku, panika není řešení, ale rychlá a systematická reakce ano. Tento článek popisuje přesně to, co a v jakém pořadí udělat.

Co je únik dat (data breach)

Únik dat nastává, když se neoprávněná osoba dostane k datům, které měla chránit nějaká organizace - typicky kvůli napadení serveru, chybě v zabezpečení nebo lidské chybě. Může uniknout jen e-mail, nebo i hesla (ideálně zahashovaná), platební údaje, telefonní číslo či adresa. Podle GDPR má organizace povinnost ohlásit vážnější únik Úřadu pro ochranu osobních údajů do 72 hodin od zjištění a dotčené osoby informovat, pokud hrozí vysoké riziko.

Krok za krokem: co dělat hned po oznámení úniku

1. Změňte heslo u postižené služby

I kdyby unikla jen e-mailová adresa, je rozumné heslo změnit - zejména pokud existuje podezření, že unikla i hesla (byť zahashovaná, dnešní výkon hardwaru dokáže slabší hashe časem prolomit).

2. Změňte stejné heslo i jinde

Pokud jste stejné heslo použili i u jiných služeb (e-mail, banka, sociální sítě), změňte ho i tam - útočníci běžně zkoušejí uniklé kombinace e-mail/heslo na desítkách dalších webů (technika zvaná credential stuffing).

3. Zapněte dvoufaktorovou autentizaci

Pokud postižená služba nabízí 2FA a ještě jste ji nezapnuli, udělejte to - i kdyby útočník heslo znal, bez druhého faktoru se nepřihlásí.

4. Zkontrolujte aktivitu na účtu

Řada služeb nabízí přehled posledních přihlášení nebo aktivních zařízení - pokud tam vidíte neznámou lokalitu nebo zařízení, odhlaste je a změňte heslo znovu.

5. Dávejte pozor na navazující phishing

Uniklá data se často zneužívají k cílenějším phishingovým útokům ("vím o vás X, tak vám napíšu věrohodněji"). Buďte obezřetní u e-mailů a SMS, které odkazují na "ověření účtu" nebo "bezpečnostní problém".

6. Sledujte bankovní výpisy

Pokud únik zahrnoval platební údaje, průběžně kontrolujte výpisy z karty a v případě podezřelé transakce kontaktujte banku - karty lze nechat zablokovat a vydat novou.

Jak zjistit, že jste byli součástí úniku

Existují veřejné služby (např. Have I Been Pwned), kde lze zadat e-mailovou adresu a zjistit, zda se objevila v některé ze známých zveřejněných databází úniků. Tyto služby nevyžadují heslo, jen e-mail, a výsledek porovnávají s already zveřejněnými daty z minulých incidentů.

Právní rovina - co může udělat organizace a co vy

Pokud máte podezření, že organizace únik zamlčela nebo nedostatečně zabezpečila vaše data, můžete podat podnět k Úřadu pro ochranu osobních údajů (ÚOOÚ). Pokud vám únik způsobil konkrétní škodu (např. zneužití platební karty), máte právo požadovat náhradu škody podle obecných právních předpisů.

Nejčastější dotazy o úniku dat (FAQ)

Musím po úniku dat měnit všechna svá hesla?

Ne všechna - jen heslo u postižené služby a kdekoli, kde jste použili stejné nebo podobné heslo. Proto se dlouhodobě doporučuje mít pro každou službu unikátní heslo, ideálně se správcem hesel.

Je Have I Been Pwned bezpečné použít?

Jde o dlouhodobě zavedenou a důvěryhodnou veřejnou službu provozovanou bezpečnostním expertem Troyem Huntem - stačí zadat e-mail, heslo se nikam nezadává.

Co když unikla jen moje e-mailová adresa, nic víc?

I samotný e-mail má hodnotu pro útočníky kvůli cílenému phishingu a spamu - doporučuje se zvýšená obezřetnost u příchozích zpráv, změna hesla je na místě jen pokud je podezření, že unikla i další data.

Musím únik dat nahlásit policii?

Pokud vám vznikla konkrétní finanční škoda (např. zneužitá karta), ano, je vhodné podat trestní oznámení. Samotný fakt, že vaše data byla součástí úniku u třetí strany, policii obvykle neřešíte vy, ale postižená organizace má ohlašovací povinnost vůči ÚOOÚ.

Jak dlouho jsou uniklá data zneužitelná?

Prakticky neomezeně dlouho - jednou zveřejněná data kolují na různých fórech a databázích roky. Proto je důležité heslo změnit jednou a trvale, ne jen dočasně.

Pomůže správce hesel předejít dopadům úniku?

Ano výrazně - pokud má každá služba unikátní heslo, únik u jedné služby neohrožuje účty u ostatních. Podrobně to popisuje samostatný článek o správcích hesel na tomto webu.

Dostanu po úniku dat vždy oznámení?

Ne vždy a ne vždy rychle - záleží na tom, jak organizace únik zjistí a jak dodrží oznamovací povinnost. Proto se vyplatí pravidelně (např. jednou za pár měsíců) sám zkontrolovat, zda se váš e-mail neobjevil v nějaké veřejně zdokumentované databázi úniků.