Cyberpediaod Brain
PLDEENESFRITNLPT

Jak sprawdzić, czy adres e-mail pojawił się w wycieku

Wyciek danych wprowadza Pana/Pani hasło do obiegu. Jak zareagować od razu i dlaczego brak adresu w bazie niczego nie dowodzi.

W 30 sekund

Gdzie to się zdarza
Serwis, w którym ma Pan/Pani konto, zostaje zhakowany, a do Pana/Pani dociera ogłoszenie o tym lub pogłoska1.
Czego chce atakujący
Wykorzystać hasła używane wielokrotnie: jedno przejęte hasło naraża na włamanie każdy serwis, w którym jest stosowane1.
Odruch
Zmienić bez zwłoki dotknięte hasło, nigdy nie używać go gdzie indziej i włączyć uwierzytelnianie dwuskładnikowe1.
Jeśli to już się stało
Jeśli to samo hasło służy do poczty e-mail, należy jak najszybciej zmienić hasło do poczty4.

O co chodzi

Gdy firma lub serwis internetowy zostaje zhakowany, dane logowania jego klientów mogą trafić w niepowołane ręce. Sprawdzenie, czy adres figuruje w bazie wycieków, może uspokoić lub zaalarmować, ale nie zastępuje dobrych nawyków dotyczących haseł.

Ta strona omawia zalecenia głównych instytucji publicznych po wycieku: zmienić hasło bez zwłoki, nie używać go ponownie, włączyć uwierzytelnianie dwuskładnikowe i uważać na fałszywe komunikaty alarmowe.

Pytania wprost

Czym jest wyciek danych?

Atakujący może zdobyć zaszyfrowane (zahaszowane) hasła, włamując się do bazy danych, co NIST nazywa „database breach”2. CISA opisuje przypadek użytkowniczki, której hasło znalazło się w wycieku z firmy opublikowanym w internecie3. Hasło przestaje wtedy być tajne, nawet jeśli Pana/Pani komputer nigdy nie został naruszony.

Czy trzeba czekać na potwierdzenie wycieku, żeby działać?

Nie. Cybermalveillance.gouv.fr zaleca, by w razie wątpliwości co do bezpieczeństwa konta albo gdy dowie się Pan/Pani, że zhakowano firmę, w której ma Pan/Pani konto, nie czekać na ustalenie, czy to prawda. Należy natychmiast zmienić dane hasło, zanim wpadnie w niepowołane ręce1.

Co zrobić, jeśli mój adres pojawia się w wycieku?

Proszę zmienić hasło do danego serwisu. Jeśli używał(a) Pan/Pani go do poczty, należy jak najszybciej zmienić hasło do poczty4. Następnie proszę ustawić inne hasło dla każdego serwisu, aby w razie utraty lub kradzieży jednego narażony był tylko ten jeden serwis1. Na koniec proszę włączyć uwierzytelnianie dwuskładnikowe, gdy serwis je oferuje5.

Dlaczego poczta jest na pierwszym miejscu?

Trafiają do niej linki do resetowania haseł do innych Pana/Pani kont. Cyberprzestępca, który ją przejmie, może użyć funkcji „nie pamiętam hasła” w serwisach, do których Pan/Pani się loguje, także w koncie bankowym, aby przejąć nad nimi kontrolę1. NCSC dodaje, że mógłby też czytać prywatne informacje i wysyłać wiadomości, podszywając się pod Pana/Panią4.

A jeśli mojego adresu nie ma w sprawdzonej bazie?

Zalecenie nie zależy od wyniku sprawdzenia: zmienić hasło od pierwszej wątpliwości, nie używać go ponownie, włączyć uwierzytelnianie dwuskładnikowe15. Pusty wynik nie zwalnia więc z żadnego z tych środków.

1Jak to działa1 min

Skradzione hasła służą najpierw do zgadywania innych haseł. NIST zauważa, że wybory użytkowników są bardzo przewidywalne, a atakujący testują hasła, które już raz zadziałały, zwłaszcza te z wcześniejszych wycieków2. Ten sam dokument zaleca, aby serwis porównywał wybierane hasła z listą wartości znanych jako popularne, spodziewane lub skompromitowane, na przykład haseł pochodzących z dawnych wycieków2. Tekst pochodzi z czerwca 2017 roku, a od 1 sierpnia 2025 roku zastąpiła go nowsza wersja2.

Ryzyko rośnie, gdy jedno hasło służy w wielu miejscach. Jeśli zostało użyte ponownie, przestępcom wystarczy znać jedno, by dostać się do wszystkich kont4. Taki scenariusz opisuje CISA: użytkowniczka widzi przelew na 700 dolarów, którego nie zleciła, nie może zalogować się do banku, a potem do poczty, ponieważ w obu miejscach miała to samo hasło. Później dowiaduje się, że to hasło znalazło się w wycieku z firmy opublikowanym w internecie3.

2Co należy zrobić1 min

Po wycieku lub przy najmniejszej wątpliwości poniższa kolejność ogranicza szkody, od rzeczy najpilniejszych do najtrwalszych.

  • Najpierw proszę zmienić hasło do dotkniętego serwisu1. Jeśli użyto go ponownie do poczty, należy zmienić także hasło do poczty4.
  • Proszę wybrać długie, losowe hasło. CISA podaje co najmniej 16 znaków: albo losowy ciąg, albo fraza z 4 do 7 niepowiązanych ze sobą słów3. Cybermalveillance.gouv.fr podaje minimum 12 znaków łączących wielkie litery, małe litery, cyfry i znaki specjalne1.
  • Jedno hasło na jedno konto. CNIL zaleca osobne, unikalne hasło do każdego wrażliwego konta: banku, poczty, portalu społecznościowego5.
  • Proszę powierzyć je menedżerowi haseł. CISA zauważa, że dla większości ludzi zapamiętanie długich, losowych i unikalnych haseł do każdego konta jest niemożliwe, a te narzędzia je generują, przechowują i wskazują hasła słabe lub używane wielokrotnie3.
  • Proszę włączyć uwierzytelnianie dwuskładnikowe, zwłaszcza dla poczty, portali społecznościowych i kont finansowych3. NCSC wyjaśnia, że uniemożliwia ono przestępcy dostęp do poczty, nawet jeśli zna hasło4.

W przypadku konta służbowego należy stosować te same środki i przestrzegać wytycznych organizacji. NCSC zaleca, aby hasło do poczty nie służyło do żadnego innego konta, ani w domu, ani w pracy4.

3Pułapki2 min

Fałszywy komunikat o wycieku

Wiadomość, która ogłasza wyciek i ponagla do zalogowania się, może być phishingiem. CISA wymienia jako częste oznaki język pilny lub nacechowany emocjami, prośbę o dane osobowe lub finansowe, niewiarygodne skrócone linki oraz błędne adresy lub linki, jak „amazan.com”6. Błędy ortograficzne nie są już wiarygodną wskazówką: w erze sztucznej inteligencji niektóre e-maile są pod tym względem bez zarzutu6.

W razie wątpliwej wiadomości, która mogłaby być prawdziwa, nie należy klikać żadnego linku ani dzwonić pod żaden zawarty w niej numer. Proszę samodzielnie odszukać stronę instytucji lub wpisać jej adres i wziąć dane kontaktowe ze zweryfikowanej strony6. W przykładzie CISA e-mail informował o odrzuconej płatności i ponaglał do zalogowania się. Użytkownik, który dał się nabrać, przekazał hasło i dane karty, a większość strat odzyskał dopiero po wielu godzinach rozmów telefonicznych6.

Cybermalveillance.gouv.fr dodaje, że żadna poważna firma ani organizacja nigdy nie poprosi o hasło przez pocztę elektroniczną ani telefon, nawet w ramach „konserwacji” lub „pomocy informatycznej”. Jeśli ktoś o nie prosi, mamy do czynienia z próbą włamania lub oszustwa1. Fałszywy komunikat o wycieku, który żąda hasła, mieści się w tym przypadku.

Aby zgłosić wiadomość, według CISA opcja znajduje się zwykle obok adresu nadawcy albo w przycisku „zgłoś spam”. CISA radzi następnie usunąć wiadomość bez odpowiadania i bez klikania, także w link do wypisania się6. Brytyjskie NCSC wyjaśnia, że może badać oszukańcze adresy i strony oraz doprowadzać do ich usunięcia, a zgłoszenie zajmuje minutę7.

Fałszywe poczucie bezpieczeństwa

Brak adresu w sprawdzonej bazie wycieków nie zwalnia z dobrych praktyk. Zasada obowiązuje w każdym przypadku: inne hasło do każdego konta, długie hasła i uwierzytelnianie dwuskładnikowe135.

Hasło zapisane w złym miejscu

Po zmianie łatwo ulec pokusie, by zachować nowe hasło w pliku lub wiadomości. CNIL odradza karteczki samoprzylepne, pliki tekstowe, smartfon i skrzynkę pocztową, a także odradza w ogóle zapisywanie haseł w przeglądarce komputera współdzielonego5.

Karta

Identyfikator
CP-349
Skrzydło
5. Życie w biurze i odruchy
Kompetencja Brain
Opanować hasła (master_passwords)
Odruch Brain
cr-022
Schemat
G2 · Mit kontra rzeczywistość
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 7
ŹródłaŹródła: 7
  1. Cybermalveillance.gouv.fr, „Pourquoi et comment bien gérer ses mots de passe ?”, 23 listopada 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (dostęp 3 listopada 2026)
  2. NIST, „NIST Special Publication 800-63B”. https://pages.nist.gov/800-63-3/sp800-63b.html (dostęp 3 listopada 2026)
  3. CISA, „Use Strong Passwords”. https://www.cisa.gov/secure-our-world/use-strong-passwords (dostęp 3 listopada 2026)
  4. NCSC (Royaume-Uni), „Use a strong and separate password for your email”, 17 grudnia 2018. https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/use-a-strong-and-separate-password-for-email (dostęp 3 listopada 2026)
  5. CNIL, „Les conseils de la CNIL pour un bon mot de passe”, 26 stycznia 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (dostęp 3 listopada 2026)
  6. CISA, „Recognize and Report Phishing”. https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (dostęp 3 listopada 2026)
  7. NCSC (Royaume-Uni), „Phishing scams: how to spot and report them”, 26 listopada 2021. https://www.ncsc.gov.uk/collection/phishing-scams (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Jak sprawdzić, czy adres e-mail pojawił się w wycieku”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/have-i-been-pwned-sprawdzic-wyciek-adres-e-mail/

BibTeX 
@misc{brain_cp349_pl_2026,
  author = {Brain},
  title = {Jak sprawdzić, czy adres e-mail pojawił się w wycieku},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/have-i-been-pwned-sprawdzic-wyciek-adres-e-mail/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0