Adobe, LinkedIn, Yahoo, Facebook — firmy, którym zaufaliśmy nasze dane, przeszły przez poważne naruszenia bezpieczeństwa. W prawie każdym przypadku adresy e-mail są jednymi z pierwszych kradzionych rzeczy, ponieważ są kluczem do wszystkiego w Twoim cyfrowym życiu: resetowania haseł, uwierzytelniania dwuskładnikowego, powiadomień bankowych.
Możesz sprawdzić, czy Twój adres pojawił się w znanych wyciekach, używając Have I Been Pwned, bezpłatnego narzędzia stworzonego przez badacza bezpieczeństwa Troy'a Hunta. Według Statista około 45-50% wszystkich wysyłanych e-maili to spam.
Pełny łańcuch ataków po wycieku danych
Szkody z wycieku danych nie następują od razu. W ciągu godzin lub dni po dużym wycieku skradzione dane pojawiają się na rynkach dark web. Twój adres e-mail — i możliwie Twoje zahashowane hasło — jest sprzedawany w dużych ilościach. Następnie zaczynają się kampanie spamowe. Potem następuje niebezpieczniejszy credential stuffing: zautomatyzowane narzędzia próbują Twojego e-maila i skradzionego hasła na setkach innych usług.
Bardziej wyrafinowany jest ukierunkowany phishing. Atakujący używają danych z wycieku do tworzenia przekonujących e-maili odwołujących się do prawdziwych informacji o Tobie. Electronic Frontier Foundation obszernie pisała o tym, jak agregacja danych z wielu wycieków tworzy szczegółowe profile osób.
Dlaczego Twój adres e-mail jest tak cenny
Skradzioną kartę kredytową można zablokować w kilka minut. Skradzione hasło można zmienić. Ale Twój adres e-mail? Jest półtrwały. Używasz go od lat, może dziesięcioleci. Dziesiątki usług jest na nim zarejestrowanych. RODO daje mieszkańcom UE prawo do żądania usunięcia danych, ale nie pomaga przy danych, które zostały już sprzedane.
Problem powierzchni ataku
Każda usługa posiadająca Twój prawdziwy adres e-mail to potencjalny punkt wycieku. Używanie tymczasowego e-maila do nieistotnych rejestracji fundamentalnie zmienia równanie. Jeśli ta baza danych zostanie później skompromitowana, Twój prawdziwy adres po prostu w niej nie ma.
Co zrobić, jeśli Twój e-mail wyciekł
- Sprawdź dokładnie, który wyciek jest zaangażowany i jakie dane były zawarte
- Natychmiast zmień hasło w tej usłudze
- Sprawdź, czy używałeś tego samego hasła gdzie indziej — zmień je wszędzie
- Włącz uwierzytelnianie dwuskładnikowe na dotkniętych kontach
- Ustaw bezpłatne alerty o wyciekach na Have I Been Pwned
- Uważaj na e-maile phishingowe odwołujące się do naruszonej usługi
Budowanie lepszych nawyków
Zmniejszenie powierzchni ataku adresu e-mail jest najskuteczniejszym środkiem zapobiegawczym. Twój prawdziwy adres powinien istnieć tylko w usługach, którym naprawdę ufasz. Do wszystkiego innego jednorazowy adres trzyma Twój prawdziwy poza zasięgiem. Usługi takie jak Proton Mail lub SimpleLogin mogą pomóc.
W przypadku naprawdę jednorazowych interakcji tymczasowy e-mail jest najczystszym rozwiązaniem — bez konfiguracji, bez konta, bez prawdziwej tożsamości.