Usługa firmy F-Secure w kontrze do „Have I Been Pwned” umożliwia sprawdzanie wycieku danych osobowych z innych i nieznanych publicznie źródeł, ponieważ – jak informuje producent – używają zautomatyzowanych narzędzi do przeszukiwania Internetu pod kątem adresów e-mail, haseł, loginów, numerów kart kredytowych itd. Takimi ujawnionymi informacjami mogą być opublikowane bazy na forach przestępczych i posty zawierające niewielką część rekordów, jako dowód, że przestępca posiada sprzedawane wrażliwe dane. Wiele wskazuje na to, że F-Secure Identity Theft Checker może być lepszą usługą do identyfikowania źródła wycieku adresu e-mail, jak i innych informacji, które są powiązane z mailem użytkownika: imię i nazwisko, miejsca zamieszkania, hasło (jawne albo zakodowane), numeru telefonu, jak i pozostałe informacje, które dobrowolnie przekazujemy np. Facebookowi (z którego dane też dane wyciekają).
Jak sprawdzić wyciek danych lub adresu e-mail?
F-Secure Identity Theft Checker to bezpłatne narzędzie online. Jest dostępne również w pakiecie bezpieczeństwa F-Secure Total oraz występuje jako samodzielny produkt pod nazwą F-Secure ID Protection (do kupienia w międzynarodowej dystrybucji).
Sposób działania usługi jest bardzo intuicyjny:
- Wpisujemy e-mail, który chcemy sprawdzić (i do którego mamy dostęp – na ten adres otrzymamy powiadomienie od F-Secure).
- Usługa internetowa weryfikuje dostępność podanego maila w bazach firmy F-Secure.
- Jeżeli wynik jest pozytywny, to niestety doszło do ujawnienia wrażliwych danych, powiązanych z adresem e-mail użytkownika.
Jako wynik sprawdzenia otrzymujemy taką wiadomość:
Powyższy obrazek zawiera treść wiadomości z usługi F-Secure Identity Theft Checker. System wysyła informację, że nasze dane znajdują się w jednym z wycieków z sierpnia 2020 roku. Wyciek jest bliżej nieokreślony i utajniony przez F-Secure, aby nie naruszyć prawa, jeżeli sprawa została przekazana policji.
Z otrzymanej wiadomości dowiadujemy się, jakie dane wyciekły:
- Kraj pochodzenia użytkownika (jeżeli podał prawdziwe państwo).
- Adres e-mail.
- Imię i nazwisko.
Z innego wycieku adresu e-mail otrzymujemy podobne, lecz bardziej konkretne powiadomienie:
Tak zwane „Collection Combo List” to połączone dane o użytkowniku z kilku różnych źródeł. Te informacje (niestety) da się powiązać i utworzyć indywidualny profil konkretnego człowieka.
Na przykład z wycieku z serwisu X ujawniono e-mail, a z wykradzionej bazy z portalu Y, oprócz e-mail, ujawniono: hasło, miejsce zamieszkania, numer karty kredytowej. Łącząc dane z baz X+Y otrzymujemy cały komplet informacji. A gdy zagregujemy informacje X+Y+Z+…N, przestępca może o nas wiedzieć zupełnie wszystko.
Interesujące jest też to, że F-Secure Identity Theft Checker ujawnia nam tzw. Combo Listy, które to zawierają informację o wycieku ze stycznia 2021 oraz z kwietnia 2021 roku. Wycieki te nie znajdują odzwierciedlenia w najbardziej popularnej usłudze Have I Been Pwned.
F-Secure Identity Theft Checker vs. Have I Been Pwned
Podsumowując czy to usługa F-Secure Identity Theft Checker, czy Have I Been Pwned – niektóre serwisy tego rodzaju mogą bazować na danych archiwalnych. Nie jest więc wykluczone, że Have I Been Pwned korzysta ze starszych baz, które są dodawane przez administratora dopiero po pewnym czasie. Stąd najprawdopodobniej te rozbieżności w wynikach wyszukiwania.
Warto kierować się ograniczonym zaufaniem i nie zawierzać na oślep bezpieczeństwa swojej cyfrowej tożsamości serwisowi „Have I Been Pwned”. Ten jeden tylko przykład udowodnił, że serwis bazuje na starszych danych niż podobna usługa od firmy F-Secure. Aktualizacja takich informacji musi być dokonywana przez administratora strony internetowej, niekiedy dopiero po tygodniach albo miesiącach od dnia cyberataku. Gdy nie dzieje się nic niepokojącego, to nie należy wpadać w panikę i traktować przekazywane dane do sieci z ograniczonym zaufaniem – oraz nie używać dwóch takich samych haseł (od tego są menadżery haseł).
Kiedy dochodzi do ujawnienia danych osobowych, może to oznaczać, że cyberprzestępcy już nielegalnie uzyskali dostęp do wrażliwych informacji. Takie bazy danych są sprzedawane na forach i używane do nielegalnych działań, takich jak: oszustwa, kradzież tożsamości, szantaż.
Jeśli Twoje dane były częścią wycieku, zaleca się natychmiastową zmianę hasła w serwisie, którego wyciek dotyczy, a także już teraz włączenie dwuskładnikowego logowania, wszędzie tam, gdzie jest ono dostępne.
