Ogromny wyciek danych Polaków, po nim następny. Ministerstwo komentuje. "Będą się powtarzać"
Ogromny wyciek danych Polaków doprowadził do reakcji Ministerstwa Cyfryzacji i powołania specjalnego serwisu, w którym możemy sprawdzić, czy nasze dane znalazły się w bazie wykradzionych haseł. Niedługo później minister Janusz Cieszyński potwierdził, że doszło do kolejnego wycieku. Kto stoi za masową kradzieżą danych?
Ogromny wyciek danych Polaków po raz pierwszy potwierdzono w poniedziałek 29 maja późnym wieczorem. Dwa dni później do sprawy odniósł się minister cyfryzacji Janusz Cieszyński, udostępniając specjalny serwis, w którym możemy sprawdzić, czy nasze dane zostały wykradzione ( bezpiecznedane.gov.pl). Do Ministerstwa Cyfryzacji przesłaliśmy pytania dot. strony, jej powstania i źródeł samego wycieku. Początkowo serwis nie działał, co odnotowali użytkownicy Twittera. Niedługo później Janusz Cieszyński poinformował o kolejnym wycieku, a stronę naprawiono.
Ogromny wyciek danych Polaków, po nim kolejny. "Będą się powtarzać"
Strona Ministerstwa Cyfryzacji została stworzona przez Centralny Ośrodek Informatyki. Docelowo serwis, choć stworzony bezpośrednio w odpowiedzi na wyciek ujawniony 29 maja, ma być aktualizowany i na bieżąco dostarczać odpowiedzi, czy nasze hasła zostały wykradzione.
Dane milionów Polaków pojawiły się na "Cebulce", polskim forum w sieci Tor (darknecie). Ministerstwo miało wiedzieć o wycieku już w poniedziałek. "We wtorek zdecydowaliśmy, że w związku ze skalą wycieku powinniśmy opublikować informację na ten temat wraz ze szczegółowym opisem sytuacji i rekomendacji co do dalszego postępowania" - zdradza Cieszyński.
Czy moje dane znalazły się w wycieku? Jak sprawdzić, czy skradziono hasło?
W sieci dostępne są różne metody sprawdzenia, czy nasze hasło zostało skradzione (znalazło się w zasobach wycieku) - to np. "Have i been pwned". Za pomocą strony możemy sprawdzić jedynie, czy dany login (email) wyciekł "w ogóle". Rozwiązanie Ministerstwa Cyfryzacji ma być bardziej precyzyjne: podaje kontekst, czyli nazwę serwisu i fragment ujawnionego hasła. Takie rozwiązanie wiązało się z koniecznością dodatkowej autoryzacji, na rządowej stronie nie wystarczy podać samego adresu e.mail, musimy zweryfikować się za pomocą profilu zaufanego lub e-dowodu.
"[...] warto zauważyć, że bez kontekstu użytkownik mógłby wiedzieć tylko tyle, że ich login do jakiegoś serwisu został udostępniony w darknecie. Czyli de facto należałoby zmienić wszystkie wykorzystywane hasła" - tłumaczy decyzję Cieszyński.
Milionowy wyciek - w pliku udostępnionym publicznie na Torze znajduje się 6 274 679 wierszy, w każdym dane czyjegoś konta gdzieś w sieci: do konta bankowego, profilu w mediach społecznościowych i innych serwisów www - poskutkował reakcją wielu firm i osób fizycznych. Serwis Zaufana Trzecia Strona, który jako pierwszy publicznie poinformował o kradzieży danych, zauważa, że większość sprawdzanych przez nich danych z potężnego wycieku pochodzi z lat 2020–2022. Są więc relatywnie "świeże".
"[...] firmy zgłosiły nam, że od poniedziałku widzą logowania do swoich systemów z użyciem ujawnionych haseł" - relacjonuje serwis. Odpowiadając na pytanie, jak sprawdzić, czy moje dane znalazły się w wycieku, Zaufana Trzecia Strona punktuje dwie wspomniane drogi: serwis "Have i been pwned" i rządową alternatywę - bezpiecznedane.gov.pl.
"Na pewno będziemy rozwijać to narzędzie, bo takie sytuacje jak ta, z którą dziś się mierzymy, będą się niestety powtarzać" - mówi o rządowym serwisie Sebastian Kondraszuk, kierownik zespołu CERT Polska. "Warto też podkreślić, że równolegle do prac nad wyszukiwarką, zespół CERT Polska informował podmioty o wycieku. Wysłane dotychczas powiadomienia dotyczyły ponad 1 mln unikalnych maili i loginów" - puentuje.
Tu się dzieje
