דליפת מידע אינה תמיד נראית לעין. כתובת דואר יכולה להופיע במאגר שנגנב משירות ישן, וסיסמה ממוחזרת עלולה להפוך את האירוע הישן לסיכון בחשבונות נוספים. השירות Have I Been Pwned מאפשר לבדוק אם כתובת מייל או סיסמה הופיעו בדליפות מידע מוכרות — אבל חשוב להבין נכון את התוצאה ולפעול בסדר הנכון.
איך בודקים כתובת מייל
- נכנסים לכתובת הרשמית haveibeenpwned.com.
- מזינים את כתובת הדואר ולוחצים על בדיקה.
- אם נמצאה התאמה, עוברים על רשימת האירועים, התאריך וסוגי המידע שנחשפו.
- בודקים אם אותה סיסמה שימשה בשירות שנפרץ ובמקומות נוספים.
תוצאה חיובית אינה הוכחה שמישהו מחובר כרגע לחשבון. היא אומרת שהכתובת הופיעה בדליפה שהגיעה למאגר של השירות. גם תוצאה שלילית אינה מבטיחה שלא הייתה דליפה: ייתכן שהאירוע עדיין לא פורסם, לא הגיע למאגר או שהחשבון הותקף בדרך אחרת.
איך בודקים סיסמה בלי לחשוף אותה
ל־Have I Been Pwned יש שירות נפרד בשם Pwned Passwords. לפי התיעוד של השירות, הסיסמאות נשמרות כגיבובי SHA-1 ואינן מקושרות לפרטים אישיים. במימושים שמשתמשים ב־API אפשר לבדוק באמצעות מודל k-anonymity, שבו נשלח רק חלק קטן מהגיבוב ולא הסיסמה המלאה.
אל תדביקו סיסמה פעילה באתר אקראי או בקישור שקיבלתם בהודעה. ודאו שהכתובת היא הדומיין הרשמי, ואם מדובר בסיסמה רגישה במיוחד — עדיף להחליף אותה ולהשתמש במנהל סיסמאות במקום להמשיך לבדוק אותה בשירותים לא מוכרים.
מה עושים אם נמצאה דליפה
- מחליפים קודם את סיסמת המייל: תיבת הדואר משמשת לשחזור חשבונות אחרים ולכן היא בעדיפות ראשונה.
- מחליפים בכל מקום שבו הסיסמה מוחזרה: לא מספיק לעדכן רק את השירות שהודלף.
- מפעילים אימות רב־שלבי או Passkey: כך סיסמה שנגנבה לבדה פחות שימושית לתוקף.
- מנתקים הפעלות לא מוכרות: בחשבון Google אפשר לבדוק אילו מכשירים מחוברים ולנתק אותם.
- בודקים כללי העברה: בחשבון ארגוני מומלץ לוודא שלא נוסף כלל העברה חשוד ב־Outlook או Microsoft 365.
- בודקים פעילות כספית: אם בדליפה נכללו פרטי תשלום, עוקבים אחרי חיובים ופונים לחברת האשראי בעת צורך.
למה החלפת סיסמה בלבד לא תמיד מספיקה
אם תוקף כבר נכנס לחשבון, ייתכן שנוצרו טוקנים פעילים, כללי העברה, כתובת שחזור זרה או הרשאה לאפליקציה חיצונית. לכן צריך לבדוק גם הפעלות, מכשירים, שיטות שחזור ויישומים מורשים. במקרה של חשבון עסקי, מנהל המערכת צריך לעבור על יומני הכניסה ולהשוות כתובות IP, מיקום, מכשיר ודפוסי שימוש.
ההמלצה של CISA היא להשתמש בסיסמאות ארוכות וייחודיות, במנהל סיסמאות ובאימות רב־שלבי. אין צורך להחליף את כל הסיסמאות באופן עיוור אם אין אינדיקציה לפגיעה, אך כל סיסמה שמוחזרה או הופיעה במאגר דלוף צריכה לצאת משימוש.
מה נכון לעשות בארגון
בארגון, בדיקה חד־פעמית של כתובת אינה מחליפה ניטור רציף. כדאי להגדיר התראות לדומיין מאומת, לזהות משתמשים שנחשפו, להצליב את המידע עם אירועי כניסה ולתעד את הטיפול. שירות סייבר מנוהל כמו MCS יכול לסייע בחיבור בין סימני חשיפה חיצוניים לבין פעילות חריגה בפועל, אך ההחלטה על איפוס והרחקת מכשיר צריכה להתבסס על ראיות ולא על עצם הופעת הכתובת בדליפה.
אפשר גם להירשם לשירות ההתראות של Have I Been Pwned כדי לקבל הודעה כאשר הכתובת מופיעה בדליפה חדשה. ההתראה היא נקודת פתיחה לבדיקה — לא תחליף למדיניות סיסמאות, MFA, גיבוי וניטור.
מקורות: Have I Been Pwned FAQ ו־CISA – Use Strong Passwords.
תמונת המחשה: נוצרה באמצעות AI עבור מערכת ITPortal.
