Утечки данных давно стали обычным фоном интернета. Часто человек узнает о проблеме только после всплеска спама или писем о сбросе пароля от сервисов, которыми он не пользовался. Проверить, не всплывал ли адрес в известных утечках, можно бесплатно и за пару минут.
Ниже разберём, как проверить адрес через Have I Been Pwned, зачем нужен второй источник, как спокойно читать найденные совпадения и как маскирование почты помогает не тащить следующую утечку за собой по всем аккаунтам.
Шаг 1: начните с Have I Been Pwned
Have I Been Pwned (HIBP), проект Троя Ханта, считается главным публичным сервисом для такой проверки. Вводите адрес, а сайт показывает, встречался ли он в утечках, которые есть в базе HIBP.
База большая и постоянно меняется. Актуальные цифры и правила обработки данных лучше смотреть в разделах About и FAQs у самого проекта, а не в статье, которая быстро устаревает.
Практический сценарий:
- Откройте haveibeenpwned.com.
- Вставьте нужный адрес.
- Запустите поиск.
Если совпадения есть, HIBP покажет список инцидентов: кто потерял данные, когда это произошло и какие типы данных попали наружу: почта, пароли, телефоны и так далее. Если совпадений нет, сайт скажет об этом прямо.
Включите уведомления
Опция Notify me пришлёт письмо, если ваш адрес появится в будущей утечке. Это проще, чем каждый месяц вспоминать о ручной проверке.
Проверьте пароли, которые вы всё ещё вводите по привычке
Pwned Passwords проверяет, встречался ли пароль в утёкших базах. Сервис не хранит пароль рядом с вашей личностью и использует подход с хешами и k-anonymity. Один раз стоит прочитать объяснение на сайте, чтобы понимать, почему такая проверка устроена безопаснее, чем простая отправка пароля куда-то в форму.
Если пароль, которым вы ещё пользуетесь, найден в утечках, смените его везде, где он повторялся.
Шаг 2: добавьте второй источник
Ни один агрегатор не видит весь интернет. Разные проекты находят разные публичные базы.
Бесплатная проверка утечек почты Maskmail обращается к публичному API XposedOrNot. Проверьте адрес сначала в HIBP, потом на этой странице. Если результаты отличаются, это повод разобраться внимательнее, а не выбрать более приятный вариант.
Шаг 3: читайте совпадения спокойно
Каждая строка отвечает на три вопроса:
Кто потерял данные? Если аккаунт ещё нужен, именно там стоит сначала сменить пароль. Пароль должен быть действительно новым, а не перенесённым с соседнего сайта.
Насколько старая утечка? Возраст важен. Если после инцидента вы уже меняли пароль, старая запись чаще всего остаётся историческим следом. Если не меняли, считайте пароль того времени раскрытым.
Что именно утекло? Один адрес уже неприятен. Пароли, телефон или физический адрес расширяют ущерб. Если утекли пароли и вы повторяли их на других сайтах, считайте каждый такой сайт проблемным, пока не смените доступы.
Шаг 4: сузьте зону поражения
Когда адрес светится:
- Смените пароль на скомпрометированном сервисе. Новый пароль должен быть уникальным и сильным.
- Включите двухфакторную аутентификацию там, где она есть, чтобы украденный пароль не был единственным ключом.
- Найдите повторы. Один пароль на пяти сервисах означает, что одна утечка открывает пять дверей. Именно эту цепную реакцию обычно замечают слишком поздно.
Неудобная правда: один ящик, сотни связей
Большинство советов заканчиваются фразой «смените пароль». Но главная проблема остаётся: вы всё ещё вводите один и тот же личный адрес в каждом магазине, рассылке и приложении для парковки. Следующая утечка снова ударит по тому же идентификатору.
Этот адрес не должен быть публичным ключом ко всей вашей жизни в сети. Через него идут сбросы паролей, банковские уведомления, личная переписка. Когда брокеры и агрегаторы уже растащили его по своим таблицам, честной кнопки «удалить из интернета» не существует.
Поэтому маскирование почты важно не только после громкой утечки, но и перед новыми регистрациями.
Как маскирование ограничивает каскад
При маскировании каждый сервис получает отдельный адрес для пересылки в ящик, которым вы уже пользуетесь. Основной адрес ему не нужен. Подробнее о механике: как работает маскирование почты.
Когда утёк сервис, которому вы дали маску:
Зона поражения меньше. Злоумышленник получает одну маску, а не тот же адрес, который указан в банке, облаке и личной переписке.
Одну связь можно оборвать отдельно. Отключили утёкшую маску, и путь закрылся. Остальные маски и основной ящик продолжают работать.
Сразу видно источник. Одна маска, один сервис. Не нужно играть в детектива.
С Maskmail новую маску можно создать прямо тогда, когда форма просит почту. Письма почти сразу приходят в Gmail, Proton, iCloud или другой привычный ящик. Расширение для Chrome, Edge и Brave подставляет маску без переходов между вкладками.
Если у вас свой домен, его можно привязать к Maskmail и создавать адреса на лету. Catch-all принимает любой адрес на домене без ручного создания каждого псевдонима.
Скучная привычка, которая окупается
Сегодня: проверьте основной адрес через HIBP и через проверку Maskmail. Замените слабые пароли, уберите повторы, включите 2FA там, где она доступна.
Дальше: относитесь к основному адресу как к секрету, а не как к универсальному логину. Каждому новому сервису выдавайте свою маску. Если через год у него случится утечка, вы отключите одну пересылку и пойдёте дальше. Центральный ящик, сбросы паролей и важная почта останутся под вашим контролем.
Старая утечка уже случилась. Но от вас зависит, окажется ли в следующей снова ваш настоящий адрес.