Dane Twojej firmy w darknecie: jak sprawdzić, czy loginy pracowników wyciekły i co zrobić w ciągu 24 godzin

Sprawdź darmową edukację z cyberbezpieczeństwa ↓

Tagi: darknet, wyciek-danych, ochrona-tozsamosci, ochrona-hasel, mfa, naruszenie

Dane Twojej firmy w darknecie: jak sprawdzić, czy loginy pracowników wyciekły i co zrobić w ciągu 24 godzin

Firmowy login i hasło nie muszą wyciekać z serwerów firmy. Wystarczy, że pracownik zaloguje się do poczty czy VPN na komputerze zainfekowanym infostealerem. CERT Polska, analizując duży wyciek danych logowania polskich użytkowników z 2023 r., ustalił, że był on złączeniem wielu zbiorów wykradzionych właśnie przez takie oprogramowanie. Przestępcy mogli mieć dostęp zarówno do haseł wpisywanych na klawiaturze, jak i do danych logowania zapisanych w przeglądarkach i menedżerach haseł.

Takie dane trafiają potem na rynek, o czym piszemy w artykule Ile kosztuje dostęp do sieci firmy w darknecie. Tutaj skupiamy się na dwóch pytaniach: jak sprawdzić, czy loginy pracowników są w wyciekach, i co zrobić w pierwszej dobie po potwierdzeniu wycieku.

Jak sprawdzić, czy loginy pracowników wyciekły

moje.cert.pl

moje.cert.pl to bezpłatna platforma CERT Polska. Moduł „Wycieki haseł” wysyła powiadomienie, gdy wykryje wyciek haseł z kont w firmowej domenie (żeby z niego korzystać, trzeba najpierw potwierdzić w serwisie, że zarządza się tą domeną). Dane o wyciekach pochodzą ze źródeł komercyjnych, z publicznie dostępnych wycieków, z działań operacyjnych CERT Polska oraz od innych zespołów CSIRT, np. CSIRT KNF.
WatchGuard Dark Web Scan

Dark Web Scan w WatchGuard Cloud przeszukuje znane wycieki danych pod kątem adresów e-mail i domen. Przy skanie domeny wyniki pokazują wycieki, w których pojawiły się adresy z tej domeny, daty wycieków i łączną liczbę ujawnionych danych logowania. Raport PDF dla domeny trafia na wskazany adres dopiero po autoryzacji przez właściciela domeny i nie zawiera haseł. Narzędzie nie pozwala skanować całościowo niektórych domen publicznych, takich jak gmail.com czy google.com. Można natomiast sprawdzić konkretny adres e-mail.
bezpiecznedane.gov.pl

Pracownik może sprawdzić własne dane w rządowym serwisie bezpiecznedane.gov.pl. Wymaga to zalogowania, np. przez Profil Zaufany. Serwis sprawdza adres e-mail, numer telefonu, login i numer PESEL. To narzędzie dla osób prywatnych, a nie do sprawdzania całej domeny firmy.

Brak wyników nie oznacza braku wycieku. Jak zaznacza CERT Polska, oznacza tylko, że danych nie ma w bazie w momencie sprawdzenia. Narzędzia tego typu mogą wykrywać tylko te wycieki i zbiory danych, do których mają dostęp.

Pierwsze 24 godziny po wykryciu wycieku: plan działania

Żaden przepis nie wyznacza 24 godzin na reakcję, ale skradzione hasła i sesje mogą działać od razu, a jeśli incydent stanowi naruszenie ochrony danych osobowych wymagające zgłoszenia, administrator powinien zawiadomić Prezesa UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Pierwsza doba to czas na odcięcie dostępu i ocenę skali.

Ustal, których kont dotyczy wyciek

Zanim zaczniesz resetować hasła, spisz, które konta są w wycieku i do jakich systemów dają dostęp. Konto administratora, konto z dostępem do VPN i zwykła skrzynka pocztowa wymagają innej pilności
Odetnij dostęp do kont, które mogły zostać przejęte

W środowisku hybrydowym, w którym lokalne Active Directory jest synchronizowane z Microsoft Entra ID, Microsoft opisuje procedurę awaryjnego odebrania dostępu obejmującą m.in.:

Wyłącz konto w Active Directory.

Zresetuj hasło dwukrotnie. Microsoft tłumaczy, że ogranicza to ryzyko ataku pass-the-hash, zwłaszcza przy opóźnieniach w replikacji haseł.

Wyłącz konto w Entra ID.

Odwołaj tokeny odświeżania, np. poleceniem Revoke-MgUserSignInSession lub opcją Revoke sessions w centrum administracyjnym.

W odpowiednim scenariuszu wyłącz zarejestrowane urządzenia użytkownika.

Warto pamiętać, że token dostępu Entra ID jest domyślnie ważny przez godzinę, więc aplikacje korzystające z takich tokenów tracą dostęp dopiero po ich wygaśnięciu. Po odwołaniu tokenów dostęp nie znika od razu wszędzie. Token dostępu Entra ID jest domyślnie ważny przez godzinę, więc w aplikacjach, które z niego korzystają, dostęp wygasa dopiero razem z nim. Część aplikacji prowadzi też własne sesje, tych Entra ID nie zamknie, dlatego trzeba wylogować użytkownika w każdej z nich osobno. W innych środowiskach odpowiedniki tych kroków warto sprawdzić w dokumentacji dostawcy.
Zmień hasła z czystego urządzenia

CERT Polska zaleca zmianę haseł na bezpiecznym komputerze. Jeśli źródłem wycieku był infostealer, nowe hasło wpisane na zainfekowanym komputerze również może zostać wykradzione. Jeśli jest podejrzenie, że komputer pracownika jest zainfekowany, CERT Polska zaleca zabezpieczenie najważniejszych danych i przywrócenie systemu do stanu fabrycznego – program antywirusowy może infekcji nie wykryć. Jeśli pracownik używał tego samego hasła w innych serwisach, trzeba je zmienić także tam.
Przejrzyj logowania

CERT Polska zaleca zwracanie uwagi na próby logowania i alerty o nich. Z perspektywy administratora oznacza to przejrzenie logów logowań dotkniętych kont: nietypowe lokalizacje, pory, nowe urządzenia.
Włącz MFA tam, gdzie go nie ma

Weryfikacja dwuetapowa to kolejne zalecenie CERT Polska. W miarę możliwości warto wybrać metodę inną niż kod SMS, np. aplikację autoryzującą lub klucz sprzętowy. Samo hasło z wycieku nie wystarczy wtedy do zalogowania. Trzeba jednak pamiętać, że infostealery kradną też ciasteczka sesji, dlatego krok 2 jest równie ważny.
Oceń, czy trzeba zgłosić naruszenie

Jeśli wyciek obejmuje dane osobowe, administrator danych zgłasza naruszenie Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia. Zgłoszenie nie jest wymagane, jeśli jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Ocenę ryzyka przeprowadza administrator danych; w praktyce warto zaangażować w nią inspektora ochrony danych lub prawnika. Incydent można też zgłosić do CERT Polska przez incydent.cert.pl.

Jak ograniczyć ryzyko kolejnego wycieku

MFA odporne na phishing.

WatchGuard AuthPoint obsługuje klucze dostępu FIDO2 (passkeys), które są kryptograficznie powiązane z prawdziwą domeną, więc fałszywa strona logowania nie przechwyci danych.

Stałe monitorowanie wycieków.

Dark Web Credential Monitoring w AuthPoint Total Identity Security monitoruje wycieki danych uwierzytelniających użytkowników. Jeśli wykryty wyciek zawiera adres e-mail lub hasło użytkownika, system wysyła powiadomienie. Funkcja działa dla użytkowników z licencją Total Identity Security i włączonym MFA.

Blokowanie nieznanych aplikacji na komputerach.

WatchGuard Endpoint Security 360 domyślnie blokuje uruchamianie niezaufanych aplikacji i wykorzystuje model Zero Trust do kontroli wykonywanych procesów. Dzięki temu nieznany proces, w tym potencjalny infostealer, może zostać zablokowany jeszcze przed uruchomieniem.

Całodobowy nadzór.

WatchGuard Core MDR zapewnia monitorowanie 24/7 przez SOC WatchGuard dla urządzeń końcowych i Microsoft 365. Przy wdrożeniu można zdecydować, czy zespół MDR ma prawo izolować zaatakowane komputery.

FAQ

Czy brak wyników w skanerze oznacza, że dane nie wyciekły? Nie. Oznacza tylko, że danych nie ma w bazie danego narzędzia w momencie sprawdzenia.

Dlaczego hasło trzeba zmienić z innego komputera? Bo infostealer może przechwytywać hasła wpisywane na klawiaturze oraz wykradać dane zapisane w przeglądarce. Nowe hasło wpisane na zainfekowanym komputerze może trafić do przestępców tak samo jak stare.

Czy sama zmiana hasła wystarczy? Nie zawsze. Jeśli przestępca ma aktywną sesję lub token, zmiana hasła nie musi jej zakończyć. Dlatego w środowisku Microsoft Entra ID trzeba osobno odwołać tokeny odświeżania, a sesje w innych aplikacjach unieważnić po ich stronie.

Czy wyciek loginu pracownika trzeba zgłosić do UODO? Jeśli doszło do naruszenia ochrony danych osobowych, administrator musi ocenić ryzyko dla praw i wolności osób. Zgłoszenie do UODO nie jest wymagane tylko wtedy, gdy jest mało prawdopodobne, by naruszenie skutkowało takim ryzykiem. Termin na zgłoszenie to w miarę możliwości 72 godziny od stwierdzenia naruszenia.

Jak sprawdzić całą domenę firmy, a nie pojedynczy adres? Służą do tego narzędzia działające na poziomie domeny, np. moduł Wycieki haseł w moje.cert.pl, WatchGuard Dark Web Scan albo haveibeenpwned.com, który CERT Polska wskazuje jako przydatny do sprawdzania skali wycieku w całej domenie.

Ochroń komputery i tożsamość pracowników

Pakiet WatchGuard Endpoint Security 360 + MDR Core łączy blokowanie nieznanych aplikacji z całodobowym nadzorem SOC. Zapytaj o wycenę pakietu.

Źródła

CERT Polska, Publikacja zbioru wykradzionych danych logowania – co zrobić?, 2023 r.
CERT Polska, Co zrobić w przypadku wycieku danych? Praktyczny poradnik krok po kroku, wiedza.cert.pl, 2026 r.
Microsoft Learn, Revoke user access in Microsoft Entra ID
RODO, art. 33
Dokumentacja WatchGuard: Dark Web Scan, AuthPoint, Endpoint Security, MDR

Autor artykułu

Agnieszka Kamieńska

Marketing Specialist

Oceń blog:

Czas czytania: 11 min

Data: 21.10.2026

Terminarz

Lista najbliższych webinariów

23.10.2026

10:00 Darmowy warsztat ESET: Nowości w platformie ESET. Co warto wdrożyć jesienią?

Darmowy warsztat ESET: Nowości w platformie ESET. Co warto wdrożyć jesienią?

23.10.2026

10:00 ESET PROTECT Elite - zarządzanie ochroną, podatnościami oraz incydentami z wykorzystaniem XDR

ESET PROTECT Elite - zarządzanie ochroną, podatnościami oraz incydentami z wykorzystaniem XDR

28.10.2026

10:00 Konferencja cyberbezpieczeństwa | Władcy Sieci 2026

Konferencja cyberbezpieczeństwa | Władcy Sieci 2026

17.11.2026

09:00 Szkolenie Ansible z Windows i Active Directory

Szkolenie Ansible z Windows i Active Directory

19.11.2026

09:00 Szkolenie Ansible – automatyzacja infrastruktury IT bez agentów (2 dni)

Szkolenie Ansible – automatyzacja infrastruktury IT bez agentów (2 dni)

Chcesz wiedzieć więcej? Zapisz się na Newsletter i otrzymuj najnowsze informacje

Zobacz inne wpisy

Wiedza i świadomość na temat aktualnych cyberzagrożeń to podstawa dobrej taktyki bezpieczeństwa. Chcesz być na bieżąco z wydarzeniami ze świata cybersecurity? A może szukasz wskazówek jak zapewnić wyższy poziom cyberbezpieczeństwa w swojej firmie? Chcesz poznać topowe rozwiązania? Dobrze trafiłeś.

zobacz wszystkie wpisy