--- id: CP-349 slug: have-i-been-pwned-sprawdzic-wyciek-adres-e-mail lang: pl title: Jak sprawdzić, czy adres e-mail pojawił się w wycieku description: Wyciek danych wprowadza Pana/Pani hasło do obiegu. Jak zareagować od razu i dlaczego brak adresu w bazie niczego nie dowodzi. canonical_url: https://startbrain.io/cyberpedia/pl/articles/have-i-been-pwned-sprawdzic-wyciek-adres-e-mail/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/have-i-been-pwned-sprawdzic-wyciek-adres-e-mail.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Jak sprawdzić, czy adres e-mail pojawił się w wycieku”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/have-i-been-pwned-sprawdzic-wyciek-adres-e-mail/ (CC BY 4.0) wing: 5 theme: master_passwords reflex: cr-022 schema: G2 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/have-i-been-pwned-sprawdzic-wyciek-adres-e-mail/ fr: https://startbrain.io/cyberpedia/fr/articles/have-i-been-pwned-verifier-fuite-courriel/ en: https://startbrain.io/cyberpedia/en/articles/have-i-been-pwned-check-email-breach/ de: https://startbrain.io/cyberpedia/de/articles/have-i-been-pwned-e-mail-adresse-datenleck-pruefen/ es: https://startbrain.io/cyberpedia/es/articles/have-i-been-pwned-comprobar-filtracion-correo/ it: https://startbrain.io/cyberpedia/it/articles/have-i-been-pwned-verificare-violazione-email/ nl: https://startbrain.io/cyberpedia/nl/articles/have-i-been-pwned-e-mailadres-datalek-controleren/ pt: https://startbrain.io/cyberpedia/pt/articles/have-i-been-pwned-verificar-fuga-correio-eletronico/ sources: - "n": 1 title: Pourquoi et comment bien gérer ses mots de passe ? publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe published: "2019-11-23" accessed: "2026-11-03" - "n": 2 title: NIST Special Publication 800-63B publisher: NIST url: https://pages.nist.gov/800-63-3/sp800-63b.html accessed: "2026-11-03" - "n": 3 title: Use Strong Passwords publisher: CISA url: https://www.cisa.gov/secure-our-world/use-strong-passwords accessed: "2026-11-03" - "n": 4 title: Use a strong and separate password for your email publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/use-a-strong-and-separate-password-for-email published: "2018-12-17" accessed: "2026-11-03" - "n": 5 title: Les conseils de la CNIL pour un bon mot de passe publisher: CNIL url: https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe published: "2017-01-26" accessed: "2026-11-03" - "n": 6 title: Recognize and Report Phishing publisher: CISA url: https://www.cisa.gov/secure-our-world/recognize-and-report-phishing accessed: "2026-11-03" - "n": 7 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" --- # Jak sprawdzić, czy adres e-mail pojawił się w wycieku Gdy firma lub serwis internetowy zostaje zhakowany, dane logowania jego klientów mogą trafić w niepowołane ręce. Sprawdzenie, czy adres figuruje w bazie wycieków, może uspokoić lub zaalarmować, ale nie zastępuje dobrych nawyków dotyczących haseł. Ta strona omawia zalecenia głównych instytucji publicznych po wycieku: zmienić hasło bez zwłoki, nie używać go ponownie, włączyć uwierzytelnianie dwuskładnikowe i uważać na fałszywe komunikaty alarmowe. ## W 30 sekund - Gdzie to się zdarza: serwis, w którym ma Pan/Pani konto, zostaje zhakowany, a do Pana/Pani dociera ogłoszenie o tym lub pogłoska [1]. - Czego chce atakujący: wykorzystać hasła używane wielokrotnie: jedno przejęte hasło naraża na włamanie każdy serwis, w którym jest stosowane [1]. - Odruch: zmienić bez zwłoki dotknięte hasło, nigdy nie używać go gdzie indziej i włączyć uwierzytelnianie dwuskładnikowe [1]. - Jeśli to już się stało: jeśli to samo hasło służy do poczty e-mail, należy jak najszybciej zmienić hasło do poczty [4]. ## Pytania wprost ### Czym jest wyciek danych? Atakujący może zdobyć zaszyfrowane (zahaszowane) hasła, włamując się do bazy danych, co NIST nazywa „database breach” [2]. CISA opisuje przypadek użytkowniczki, której hasło znalazło się w wycieku z firmy opublikowanym w internecie [3]. Hasło przestaje wtedy być tajne, nawet jeśli Pana/Pani komputer nigdy nie został naruszony. ### Czy trzeba czekać na potwierdzenie wycieku, żeby działać? Nie. Cybermalveillance.gouv.fr zaleca, by w razie wątpliwości co do bezpieczeństwa konta albo gdy dowie się Pan/Pani, że zhakowano firmę, w której ma Pan/Pani konto, nie czekać na ustalenie, czy to prawda. Należy natychmiast zmienić dane hasło, zanim wpadnie w niepowołane ręce [1]. ### Co zrobić, jeśli mój adres pojawia się w wycieku? Proszę zmienić hasło do danego serwisu. Jeśli używał(a) Pan/Pani go do poczty, należy jak najszybciej zmienić hasło do poczty [4]. Następnie proszę ustawić inne hasło dla każdego serwisu, aby w razie utraty lub kradzieży jednego narażony był tylko ten jeden serwis [1]. Na koniec proszę włączyć uwierzytelnianie dwuskładnikowe, gdy serwis je oferuje [5]. ### Dlaczego poczta jest na pierwszym miejscu? Trafiają do niej linki do resetowania haseł do innych Pana/Pani kont. Cyberprzestępca, który ją przejmie, może użyć funkcji „nie pamiętam hasła” w serwisach, do których Pan/Pani się loguje, także w koncie bankowym, aby przejąć nad nimi kontrolę [1]. NCSC dodaje, że mógłby też czytać prywatne informacje i wysyłać wiadomości, podszywając się pod Pana/Panią [4]. ### A jeśli mojego adresu nie ma w sprawdzonej bazie? Zalecenie nie zależy od wyniku sprawdzenia: zmienić hasło od pierwszej wątpliwości, nie używać go ponownie, włączyć uwierzytelnianie dwuskładnikowe [1][5]. Pusty wynik nie zwalnia więc z żadnego z tych środków. ## Jak to działa Skradzione hasła służą najpierw do zgadywania innych haseł. NIST zauważa, że wybory użytkowników są bardzo przewidywalne, a atakujący testują hasła, które już raz zadziałały, zwłaszcza te z wcześniejszych wycieków [2]. Ten sam dokument zaleca, aby serwis porównywał wybierane hasła z listą wartości znanych jako popularne, spodziewane lub skompromitowane, na przykład haseł pochodzących z dawnych wycieków [2]. Tekst pochodzi z czerwca 2017 roku, a od 1 sierpnia 2025 roku zastąpiła go nowsza wersja [2]. Ryzyko rośnie, gdy jedno hasło służy w wielu miejscach. Jeśli zostało użyte ponownie, przestępcom wystarczy znać jedno, by dostać się do wszystkich kont [4]. Taki scenariusz opisuje CISA: użytkowniczka widzi przelew na 700 dolarów, którego nie zleciła, nie może zalogować się do banku, a potem do poczty, ponieważ w obu miejscach miała to samo hasło. Później dowiaduje się, że to hasło znalazło się w wycieku z firmy opublikowanym w internecie [3]. ## Co należy zrobić Po wycieku lub przy najmniejszej wątpliwości poniższa kolejność ogranicza szkody, od rzeczy najpilniejszych do najtrwalszych. - Najpierw proszę zmienić hasło do dotkniętego serwisu [1]. Jeśli użyto go ponownie do poczty, należy zmienić także hasło do poczty [4]. - Proszę wybrać długie, losowe hasło. CISA podaje co najmniej 16 znaków: albo losowy ciąg, albo fraza z 4 do 7 niepowiązanych ze sobą słów [3]. Cybermalveillance.gouv.fr podaje minimum 12 znaków łączących wielkie litery, małe litery, cyfry i znaki specjalne [1]. - Jedno hasło na jedno konto. CNIL zaleca osobne, unikalne hasło do każdego wrażliwego konta: banku, poczty, portalu społecznościowego [5]. - Proszę powierzyć je menedżerowi haseł. CISA zauważa, że dla większości ludzi zapamiętanie długich, losowych i unikalnych haseł do każdego konta jest niemożliwe, a te narzędzia je generują, przechowują i wskazują hasła słabe lub używane wielokrotnie [3]. - Proszę włączyć uwierzytelnianie dwuskładnikowe, zwłaszcza dla poczty, portali społecznościowych i kont finansowych [3]. NCSC wyjaśnia, że uniemożliwia ono przestępcy dostęp do poczty, nawet jeśli zna hasło [4]. W przypadku konta służbowego należy stosować te same środki i przestrzegać wytycznych organizacji. NCSC zaleca, aby hasło do poczty nie służyło do żadnego innego konta, ani w domu, ani w pracy [4]. ## Pułapki ### Fałszywy komunikat o wycieku Wiadomość, która ogłasza wyciek i ponagla do zalogowania się, może być phishingiem. CISA wymienia jako częste oznaki język pilny lub nacechowany emocjami, prośbę o dane osobowe lub finansowe, niewiarygodne skrócone linki oraz błędne adresy lub linki, jak „amazan.com” [6]. Błędy ortograficzne nie są już wiarygodną wskazówką: w erze sztucznej inteligencji niektóre e-maile są pod tym względem bez zarzutu [6]. W razie wątpliwej wiadomości, która mogłaby być prawdziwa, nie należy klikać żadnego linku ani dzwonić pod żaden zawarty w niej numer. Proszę samodzielnie odszukać stronę instytucji lub wpisać jej adres i wziąć dane kontaktowe ze zweryfikowanej strony [6]. W przykładzie CISA e-mail informował o odrzuconej płatności i ponaglał do zalogowania się. Użytkownik, który dał się nabrać, przekazał hasło i dane karty, a większość strat odzyskał dopiero po wielu godzinach rozmów telefonicznych [6]. Cybermalveillance.gouv.fr dodaje, że żadna poważna firma ani organizacja nigdy nie poprosi o hasło przez pocztę elektroniczną ani telefon, nawet w ramach „konserwacji” lub „pomocy informatycznej”. Jeśli ktoś o nie prosi, mamy do czynienia z próbą włamania lub oszustwa [1]. Fałszywy komunikat o wycieku, który żąda hasła, mieści się w tym przypadku. Aby zgłosić wiadomość, według CISA opcja znajduje się zwykle obok adresu nadawcy albo w przycisku „zgłoś spam”. CISA radzi następnie usunąć wiadomość bez odpowiadania i bez klikania, także w link do wypisania się [6]. Brytyjskie NCSC wyjaśnia, że może badać oszukańcze adresy i strony oraz doprowadzać do ich usunięcia, a zgłoszenie zajmuje minutę [7]. ### Fałszywe poczucie bezpieczeństwa Brak adresu w sprawdzonej bazie wycieków nie zwalnia z dobrych praktyk. Zasada obowiązuje w każdym przypadku: inne hasło do każdego konta, długie hasła i uwierzytelnianie dwuskładnikowe [1][3][5]. ### Hasło zapisane w złym miejscu Po zmianie łatwo ulec pokusie, by zachować nowe hasło w pliku lub wiadomości. CNIL odradza karteczki samoprzylepne, pliki tekstowe, smartfon i skrzynkę pocztową, a także odradza w ogóle zapisywanie haseł w przeglądarce komputera współdzielonego [5]. ## Źródła 1. Cybermalveillance.gouv.fr, „Pourquoi et comment bien gérer ses mots de passe ?”, 23 listopada 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (dostęp 3 listopada 2026) 2. NIST, „NIST Special Publication 800-63B”. https://pages.nist.gov/800-63-3/sp800-63b.html (dostęp 3 listopada 2026) 3. CISA, „Use Strong Passwords”. https://www.cisa.gov/secure-our-world/use-strong-passwords (dostęp 3 listopada 2026) 4. NCSC (Royaume-Uni), „Use a strong and separate password for your email”, 17 grudnia 2018. https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/use-a-strong-and-separate-password-for-email (dostęp 3 listopada 2026) 5. CNIL, „Les conseils de la CNIL pour un bon mot de passe”, 26 stycznia 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (dostęp 3 listopada 2026) 6. CISA, „Recognize and Report Phishing”. https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (dostęp 3 listopada 2026) 7. NCSC (Royaume-Uni), „Phishing scams: how to spot and report them”, 26 listopada 2021. https://www.ncsc.gov.uk/collection/phishing-scams (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/have-i-been-pwned-sprawdzic-wyciek-adres-e-mail/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.