Dane Twojej firmy w darknecie: jak sprawdzić, czy loginy pracowników wyciekły i co zrobić w ciągu 24 godzin

Sprawdź darmową edukację z cyberbezpieczeństwa ↓

Tagi: darknet, wyciek-danych, ochrona-tozsamosci, ochrona-hasel, mfa, naruszenie

Dane Twojej firmy w darknecie: jak sprawdzić, czy loginy pracowników wyciekły i co zrobić w ciągu 24 godzin

Firmowy login i hasło nie muszą wyciekać z serwerów firmy. Wystarczy, że pracownik zaloguje się do poczty czy VPN na komputerze zainfekowanym infostealerem. CERT Polska, analizując duży wyciek danych logowania polskich użytkowników z 2023 r., ustalił, że był on złączeniem wielu zbiorów wykradzionych właśnie przez takie oprogramowanie. Przestępcy mogli mieć dostęp zarówno do haseł wpisywanych na klawiaturze, jak i do danych logowania zapisanych w przeglądarkach i menedżerach haseł.

Takie dane trafiają potem na rynek, o czym piszemy w artykule Ile kosztuje dostęp do sieci firmy w darknecie. Tutaj skupiamy się na dwóch pytaniach: jak sprawdzić, czy loginy pracowników są w wyciekach, i co zrobić w pierwszej dobie po potwierdzeniu wycieku.

Jak sprawdzić, czy loginy pracowników wyciekły

moje.cert.pl

moje.cert.pl to bezpłatna platforma CERT Polska. Moduł „Wycieki haseł” wysyła powiadomienie, gdy wykryje wyciek haseł z kont w firmowej domenie (żeby z niego korzystać, trzeba najpierw potwierdzić w serwisie, że zarządza się tą domeną). Dane o wyciekach pochodzą ze źródeł komercyjnych, z publicznie dostępnych wycieków, z działań operacyjnych CERT Polska oraz od innych zespołów CSIRT, np. CSIRT KNF.
bezpiecznedane.gov.pl

Pracownik może sprawdzić własne dane w rządowym serwisie bezpiecznedane.gov.pl. Wymaga to zalogowania, np. przez Profil Zaufany. Serwis sprawdza adres e-mail, numer telefonu, login i numer PESEL. To narzędzie dla osób prywatnych, a nie do sprawdzania całej domeny firmy.

Have I Been Pwned
HIBP pozwala sprawdzić, czy adresy z firmowej domeny pojawiły się w znanych wyciekach, i ustawić automatyczne powiadomienia o nowych. Najpierw trzeba potwierdzić kontrolę nad domeną. Pełne wyszukiwanie domeny jest bezpłatne, jeśli w wyciekach uwzględnianych przy ustalaniu planu HIBP jest nie więcej niż 10 adresów z domeny. Powyżej tej liczby potrzebna jest subskrypcja, ale same powiadomienia o nowych wyciekach działają bez niej. HIBP nie ujawnia haseł.
WatchGuard AuthPoint Total Identity Security

Dla firm, które chcą stałego monitoringu w ramach narzędzia do ochrony tożsamości, WatchGuard oferuje funkcję Dark Web Credential Monitoring w AuthPoint Total Identity Security. Stale monitoruje ona źródła dotyczące naruszeń pod kątem ujawnionych danych uwierzytelniających użytkowników i wysyła powiadomienie po wykryciu ekspozycji. Powiadomienia trafiają domyślnie do użytkowników, których dotyczy wyciek, a administrator może wskazać dodatkowe osoby.

Brak wyników nie oznacza braku wycieku. Jak zaznacza CERT Polska, oznacza tylko, że danych nie ma w bazie w momencie sprawdzenia. Narzędzia tego typu mogą wykrywać tylko te wycieki i zbiory danych, do których mają dostęp.

Pierwsze 24 godziny po wykryciu wycieku: plan działania

Żaden przepis nie wyznacza 24 godzin na reakcję, ale skradzione hasła i sesje mogą działać od razu, a jeśli incydent stanowi naruszenie ochrony danych osobowych wymagające zgłoszenia, administrator powinien zawiadomić Prezesa UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Pierwsza doba to czas na odcięcie dostępu i ocenę skali.

Ustal, których kont dotyczy wyciek

Zanim zaczniesz resetować hasła, spisz, które konta są w wycieku i do jakich systemów dają dostęp. Konto administratora, konto z dostępem do VPN i zwykła skrzynka pocztowa wymagają innej pilności
Odetnij dostęp do kont, które mogły zostać przejęte

W środowisku hybrydowym, w którym lokalne Active Directory jest synchronizowane z Microsoft Entra ID, Microsoft opisuje procedurę awaryjnego odebrania dostępu obejmującą m.in.:

Wyłącz konto w Active Directory.

Zresetuj hasło dwukrotnie. Microsoft tłumaczy, że ogranicza to ryzyko ataku pass-the-hash, zwłaszcza przy opóźnieniach w replikacji haseł.

Wyłącz konto w Entra ID.

Odwołaj tokeny odświeżania, np. poleceniem Revoke-MgUserSignInSession lub opcją Revoke sessions w centrum administracyjnym.

W odpowiednim scenariuszu wyłącz zarejestrowane urządzenia użytkownika.

Warto pamiętać, że token dostępu Entra ID jest domyślnie ważny przez godzinę, więc aplikacje korzystające z takich tokenów tracą dostęp dopiero po ich wygaśnięciu. Po odwołaniu tokenów dostęp nie znika od razu wszędzie. Token dostępu Entra ID jest domyślnie ważny przez godzinę, więc w aplikacjach, które z niego korzystają, dostęp wygasa dopiero razem z nim. Część aplikacji prowadzi też własne sesje, tych Entra ID nie zamknie, dlatego trzeba wylogować użytkownika w każdej z nich osobno. W innych środowiskach odpowiedniki tych kroków warto sprawdzić w dokumentacji dostawcy.
Zmień hasła z czystego urządzenia

CERT Polska zaleca zmianę haseł na bezpiecznym komputerze. Jeśli źródłem wycieku był infostealer, nowe hasło wpisane na zainfekowanym komputerze również może zostać wykradzione. Jeśli jest podejrzenie, że komputer pracownika jest zainfekowany, CERT Polska zaleca zabezpieczenie najważniejszych danych i przywrócenie systemu do stanu fabrycznego – program antywirusowy może infekcji nie wykryć. Jeśli pracownik używał tego samego hasła w innych serwisach, trzeba je zmienić także tam.
Przejrzyj logowania

CERT Polska zaleca zwracanie uwagi na próby logowania i alerty o nich. Z perspektywy administratora oznacza to przejrzenie logów logowań dotkniętych kont: nietypowe lokalizacje, pory, nowe urządzenia.
Włącz MFA tam, gdzie go nie ma

Weryfikacja dwuetapowa to kolejne zalecenie CERT Polska. W miarę możliwości warto wybrać metodę inną niż kod SMS, np. aplikację autoryzującą lub klucz sprzętowy. Samo hasło z wycieku nie wystarczy wtedy do zalogowania. Trzeba jednak pamiętać, że infostealery kradną też ciasteczka sesji, dlatego krok 2 jest równie ważny.
Oceń, czy trzeba zgłosić naruszenie

Jeśli wyciek obejmuje dane osobowe, administrator danych zgłasza naruszenie Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia. Zgłoszenie nie jest wymagane, jeśli jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Ocenę ryzyka przeprowadza administrator danych; w praktyce warto zaangażować w nią inspektora ochrony danych lub prawnika. Incydent można też zgłosić do CERT Polska przez incydent.cert.pl.

Jak ograniczyć ryzyko kolejnego wycieku

MFA odporne na phishing.

WatchGuard AuthPoint obsługuje klucze dostępu FIDO2 (passkeys), które są kryptograficznie powiązane z prawdziwą domeną, więc fałszywa strona logowania nie przechwyci danych.

Blokowanie nieznanych aplikacji na komputerach.

WatchGuard Endpoint Security 360 domyślnie blokuje uruchamianie niezaufanych aplikacji i wykorzystuje model Zero Trust do kontroli wykonywanych procesów. Dzięki temu nieznany proces, w tym potencjalny infostealer, może zostać zablokowany jeszcze przed uruchomieniem.

Całodobowy nadzór.

WatchGuard Core MDR zapewnia monitorowanie 24/7 przez SOC WatchGuard dla urządzeń końcowych i może obejmować także Microsoft 365. Przy wdrożeniu można zdecydować, czy zespół MDR ma prawo izolować zaatakowane komputery.

Skradzione dane logowania mogą też otworzyć drogę do ataku ransomware – według raportu Sophos z 2026 r. 79% ataków zaczęło się od prób zdobycia danych logowania albo od użycia już skradzionych. O tym, co zrobić, gdy pojawi się żądanie okupu, piszemy w artykule Zapłacić okup czy nie? Co o ransomware mówią dane z 2026 roku.

FAQ

Czy brak wyników w skanerze oznacza, że dane nie wyciekły? Nie. Oznacza tylko, że danych nie ma w bazie danego narzędzia w momencie sprawdzenia.

Dlaczego hasło trzeba zmienić z innego komputera? Bo infostealer może przechwytywać hasła wpisywane na klawiaturze oraz wykradać dane zapisane w przeglądarce. Nowe hasło wpisane na zainfekowanym komputerze może trafić do przestępców tak samo jak stare.

Czy sama zmiana hasła wystarczy? Nie zawsze. Jeśli przestępca ma aktywną sesję lub token, zmiana hasła nie musi jej zakończyć. Dlatego w środowisku Microsoft Entra ID trzeba osobno odwołać tokeny odświeżania, a sesje w innych aplikacjach unieważnić po ich stronie.

Czy wyciek loginu pracownika trzeba zgłosić do UODO? Jeśli doszło do naruszenia ochrony danych osobowych, administrator musi ocenić ryzyko dla praw i wolności osób. Zgłoszenie do UODO nie jest wymagane tylko wtedy, gdy jest mało prawdopodobne, by naruszenie skutkowało takim ryzykiem. Termin na zgłoszenie to w miarę możliwości 72 godziny od stwierdzenia naruszenia.

Jak sprawdzić całą domenę firmy, a nie pojedynczy adres? Służą do tego narzędzia działające na poziomie domeny, np. moduł Wycieki haseł w moje.cert.pl albo haveibeenpwned.com, który CERT Polska wskazuje jako przydatny do sprawdzania skali wycieku w całej domenie.

Jeśli chcesz dowiadywać się o wyciekach na bieżąco, a nie dopiero po incydencie, przeczytaj artykuł Monitoring darknetu dla firm: co realnie daje i kiedy potrzebny jest MDR.

Ochroń komputery i tożsamość pracowników

Pakiet WatchGuard Endpoint Security 360 + MDR Core łączy blokowanie nieznanych aplikacji z całodobowym nadzorem SOC. Zapytaj o wycenę pakietu.

Źródła

CERT Polska, Publikacja zbioru wykradzionych danych logowania – co zrobić?, 2023 r.
CERT Polska, Co zrobić w przypadku wycieku danych? Praktyczny poradnik krok po kroku, wiedza.cert.pl, 2026 r.
Microsoft Learn, Revoke user access in Microsoft Entra ID
RODO, art. 33
Dokumentacja WatchGuard: AuthPoint, Endpoint Security, MDR

Autor artykułu

Agnieszka Kamieńska

Marketing Specialist

Oceń blog:

Czas czytania: 12 min

Data: 21.10.2026

Terminarz

Lista najbliższych webinariów

17.11.2026

09:00 Szkolenie Ansible z Windows i Active Directory

Szkolenie Ansible z Windows i Active Directory

19.11.2026

09:00 Szkolenie Ansible – automatyzacja infrastruktury IT bez agentów (2 dni)

Szkolenie Ansible – automatyzacja infrastruktury IT bez agentów (2 dni)

24.11.2026

09:00 Autoryzowane szkolenie dotyczące konfiguracji i administracji rozwiązaniami WatchGuard

Autoryzowane szkolenie dotyczące konfiguracji i administracji rozwiązaniami WatchGuard

24.11.2026

09:00 Hardening Windows i Active Directory – Tiering, PAW, Jump Servers (warsztaty 1 dzień)

Hardening Windows i Active Directory – Tiering, PAW, Jump Servers (warsztaty 1 dzień)

24.11.2026

10:00 Darmowy warsztat ESET: Nowe moduły w środowisku. Praktyczna konfiguracja i wdrożenie

Darmowy warsztat ESET: Nowe moduły w środowisku. Praktyczna konfiguracja i wdrożenie

Chcesz wiedzieć więcej? Zapisz się na Newsletter i otrzymuj najnowsze informacje

Zobacz inne wpisy

Wiedza i świadomość na temat aktualnych cyberzagrożeń to podstawa dobrej taktyki bezpieczeństwa. Chcesz być na bieżąco z wydarzeniami ze świata cybersecurity? A może szukasz wskazówek jak zapewnić wyższy poziom cyberbezpieczeństwa w swojej firmie? Chcesz poznać topowe rozwiązania? Dobrze trafiłeś.

zobacz wszystkie wpisy