Have I Been Pwned: bezpečnost a návod k použití

Někdy stačí jeden uniklý e-mail a vaše přihlašovací údaje se octnou v rukách útočníků. Have I Been Pwned je bezplatná služba, která vám během pár vteřin prozradí, jestli váš účet patří mezi oběti některého ze stovek známých úniků dat.

Počet kontrolovaných účtů: více než 13 miliard ·
Počet datových úniků v databázi: přes 700 ·
Rok založení služby: 2013 ·
Zakladatel: Troy Hunt ·
Hodnocení na Trustpilot: 4,7 z 5 hvězdiček

Je Have I Been Pwned legitimní stránka?

Jedna z prvních otázek, kterou si lidé položí, zní: můžu téhle službě vůbec věřit? Odpověď je jednoznačná – ano, ale pojďme si říct proč.

Kdo službu provozuje a jak je financována?

• Zakladatelem je Troy Hunt, bezpečnostní expert a MVP společnosti Microsoft
• Službu provozuje Superlative Enterprises Pty Ltd v Queenslandu, Austrálie
• Financování zahrnuje API přístup pro organizace a firemní licence

Jaké má služba reference a hodnocení?

• Hodnocení 4,7 z 5 hvězdiček na Trustpilot
• Doporučována firmami jako 1Password a bezpečnostními experty
• Používána univerzitami – např. Tilburg University vyzvala studenty ke kontrole

Zde jsou základní fakta o službě Have I Been Pwned.

The implication: Služba je důvěryhodná a její používání je bezpečné.

Je bezpečné zadat svůj e-mail nebo heslo do Have I Been Pwned?

Druhá nejčastější otázka se týká samotné bezpečnosti používání. Odpověď se liší podle toho, zda zadáváte e-mail nebo heslo.

Jak služba zpracovává e-mailové adresy?

• E-mailové adresy nejsou ukládány ani sdíleny podle politiky ochrany soukromí HIBP
• Veřejná kontrola e-mailu je navržena jako bezplatný nástroj pro posouzení rizika
• Vyhledání neodhaluje heslo, pouze informaci, zda byl účet nalezen v úniku

Je bezpečné zadávat hesla?

• Pwned Passwords používá k-anonymitu: odesílá se pouze prvních 5 znaků SHA-1 hashe
• Veřejný endpoint vrací pouze suffixy hashů a počty výskytů, nikoli samotné heslo
• Služba je používaná i komerčními platformami jako 1Password pro kontrolu hesel v reálném čase

Jak chránit své soukromí při používání?

• Používejte oficiální web haveibeenpwned.com – vyhněte se phishingovým kopiím
• Pro větší bezpečnost lze použít anonymní režim prohlížeče nebo VPN
• Registrace k notifikacím vyžaduje e-mail, údaje nejsou sdíleny třetím stranám

The pattern: Bezpečnostní opatření HIBP chrání soukromí uživatelů.

Co znamená Pwned a má to souvislost s hackingem?

Slovo „pwned“ zní možná záhadně, ale jeho původ je překvapivě jednoduchý.

Původ termínu pwned v herní komunitě

• Termín pochází z hráčského slangu pro „owned“ (poražený)
• Vznikl jako překlep při psaní „owned“ – písmeno „p“ je blízko „o“ na klávesnici

Význam v kontextu úniků dat

• V kontextu HIBP znamená, že účet byl kompromitován únikem dat
• Služba ukazuje detaily o incidentu, typy uniklých dat a datum úniku
• Pokud jste „pwned“, vaše přihlašovací údaje jsou v rukou útočníků

What this means: Termín pwned je varováním, že data unikla.

Jak používat Have I Been Pwned krok za krokem?

Praktický návod v češtině, který vás provede celým procesem – od zadání e-mailu až po registraci k notifikacím.

1. Navštivte haveibeenpwned.com a zadejte svůj e-mail do vyhledávacího pole.
2. Klikněte na tlačítko „pwned?“ a zobrazte výsledky.
3. Pro kontrolu hesla přejděte na stránku Pwned Passwords a zadejte heslo.
4. Zaregistrujte se k notifikacím kliknutím na „Notify me“ a zadejte svůj e-mail.

Zadání e-mailové adresy

• Navštivte haveibeenpwned.com
• Do vyhledávacího pole zadejte svůj e-mail
• Klikněte na tlačítko „pwned?“ – výsledek se zobrazí okamžitě
• Pokud je účet v úniku, uvidíte seznam incidentů s detaily

Zadání hesla pro kontrolu

• Přejděte na stránku Pwned Passwords
• Zadejte heslo, které chcete zkontrolovat
• Služba pomocí k-anonymity ověří, zda se heslo vyskytuje v únicích
• Výsledek ukáže, kolikrát bylo heslo „pwned“

Registrace k upozorněním na nové úniky

• Klikněte na tlačítko „Notify me“ v horní liště
• Zadejte svůj e-mail a ověřte ho odkazem v přijaté zprávě
• Budete dostávat upozornění, pokud se váš účet objeví v novém úniku
• Registrace je zdarma a e-mail není sdílen třetím stranám

The catch: Pravidelná kontrola je klíčová pro ochranu účtů.

Jaké jsou nejčastěji prolomená hesla?

Každý rok vznikají seznamy nejpoužívanějších hesel a bohužel se na nich opakují stejné chyby.

Seznam nejpoužívanějších a nejslabších hesel

• Nejčastější hesla: 123456, password, 123456789
• Slabá hesla jsou snadno uhodnutelná a často se objevují v únicích
• Podle dat z Pwned Passwords se tato hesla vyskytují v milionech úniků

Jak vytvořit silné heslo?

• Používejte hesla o délce alespoň 12 znaků s kombinací velkých a malých písmen, číslic a symbolů
• Vyhněte se osobním údajům (datum narození, jméno, adresa)
• Používejte správce hesel – např. 1Password, který integruje kontrolu HIBP
• Každý účet by měl mít unikátní heslo

Nejčastější hesla a jejich výskyt v únicích.

The implication: Slabá hesla jsou snadno zneužitelná.

Jaké alternativy k Have I Been Pwned existují?

HIBP není jediná služba svého druhu. Zde je přehled nejznámějších alternativ a jejich srovnání.

DeHashed

• Komerční vyhledávač úniků dat s rozsáhlou databází
• Umožňuje vyhledávat podle e-mailu, uživatelského jména, IP adresy nebo telefonního čísla
• Placená služba s omezenou bezplatnou verzí

Leakcheck

• Umožňuje kontrolu více databází úniků
• Nabízí bezplatné i placené vyhledávání
• Méně transparentní ohledně zdrojů dat než HIBP

IntelX

• Vyhledávač pro dark web a úniky dat
• Umožňuje vyhledávat podle e-mailu, hesla, domény nebo IP
• Částečně placená služba

Cit0day

• Fórum pro sdílení úniků dat
• Méně regulované a bez jasných bezpečnostních standardů
• Není doporučováno pro běžné uživatele

Srovnání alternativních služeb k HIBP.

What this means: HIBP je pro běžné uživatele nejbezpečnější volbou.

Potvrzená fakta

• Have I Been Pwned je legitimní a bezpečná služba
• Služba kontroluje účty proti databázi známých úniků
• Zadání e-mailu je bezpečné, pokud je použita oficiální stránka

Co není jasné

• Zda některé alternativní služby (Cit0day) dodržují stejné bezpečnostní standardy
• Jak často jsou nové úniky přidávány do databáze

„Službu HIBP jsem vytvořil jako bezplatný zdroj, aby si lidé mohli rychle posoudit, zda je jejich účet v ohrožení kvůli úniku dat.“

Troy Hunt, zakladatel Have I Been Pwned

„Pwned Passwords je samostatná služba HIBP pro kontrolu, zda heslo nebylo vystaveno v úniku dat – a dělá to bezpečně díky k-anonymitě.“

Bezpečnostní expert z 1Password

Používání Have I Been Pwned není jen o zvědavosti – je to praktický nástroj, který vám může ušetřit hodiny starostí. Pro české uživatele je doporučení jasné: zkontrolujte svůj e-mail alespoň jednou za čtvrt roku, při každé změně hesla ho otestujte přes Pwned Passwords. Pokud zjistíte, že jste byli pwned, okamžitě změňte heslo na všech účtech, kde se stejné heslo opakuje, a zapněte dvoufaktorové ověření. Alternativní služby jako DeHashed nebo Leakcheck mohou nabídnout více funkcí, ale za cenu nižší transparentnosti – pro běžného uživatele zůstává HIBP nejbezpečnější volbou.

Často kladené otázky