Məlumatlarım sızıb? Necə yoxlamaq və məlumat sızmasından sonra nə etmək lazımdır

Məlumatlarım sızıb? Necə yoxlaya bilərəm?

Have I Been Pwned (HIBP) təyininə görə, məlumat sızması — məlumatların zəif sistemdə, adətən kifayət qədər olmayan giriş nəzarəti və ya proqram təminatındakı təhlükəsizlik boşluqları səbəbindən təsadüfən açıq qalması hadisəsidir ^[2]. HIBP sızmaları bir yerə toplayır ki, insanlar şəxsi məlumatlarının harada açıq qaldığını görə bilsinlər ^[2]. Məlumatlarınızın sızıb-sızmadığını öyrənməyin ən sürətli yolu orada e-poçt ünvanınızı axtarmaqdır.

3 noyabr 2026 tarixinə HIBP-nin ana səhifəsində 1,048 pwned sayt və 17,846,896,404 pwned ünvan göstərilir ^[1]. Açıq axtarış eyni anda yalnız bir e-poçt ünvanı və ya istifadəçi adı üzrə nəticə qaytarır ^[2]. Bütöv domen üzrə axtarış ayrıca funksiyadır və həmin domenə çıxış səlahiyyətinizi təsdiqləməyi tələb edir ^[2].

Nəticələrimdə sızma niyə görünməyə bilər?

HIBP bəzi sızmaları «həssas» hesab edir. Onları yalnız e-poçt ünvanının təsdiqlənmiş sahibi, panelə daxil olub həmin ünvana e-poçt ala bildiyini təsdiqləməklə görə bilər ^[2]. HIBP 90 həssas sızmanı, o cümlədən Ashley Madison və Adult FriendFinder (2015 və 2016) sızmalarını siyahıya alıb ^[2]. Buna görə sadə axtarış ünvanınıza aid ola biləcək hər şeyi göstərmir.

Təmiz nəticə məlumatlarımın təhlükəsiz olduğunu göstərirmi?

Xeyr. HIBP bildirir ki, axtarışı sızmaların çoxunu əhatə edir, həssas olanlar üçün isə daxil olmaq lazımdır ^[2]. Bu bələdçinin çıxarışına görə, xidmətə yüklənməmiş sızma heç görünə bilməz. Parollara gəldikdə, HIBP bildirir ki, «no pwnage found» nəticəsi parolun mütləq yaxşı olduğunu göstərmir, sadəcə saytda indekslənmədiyini bildirir ^[4]. Təmiz nəticəni yalnız bir məlumat nöqtəsi kimi qəbul edin və nəticədən asılı olmayaraq əsas qoruma tədbirlərini saxlayın: unikal parollar və çoxfaktorlu autentifikasiya.

Have I Been Pwned təhlükəsiz və etibarlıdırmı?

HIBP-nin dizaynı onun saxladığı məlumatı məhdudlaşdırır. Sızmadan gələn e-poçt ünvanları yüklənəndə onlarla birlikdə heç bir parol yüklənmir; ayrıca Pwned Passwords xidməti tək bir parolu məlum sızmalara qarşı yoxlayır ^[2]. HIBP bildirir ki, heç bir parol şəxsi identifikasiya məlumatlarının yanında saxlanmır və hər parol SHA-1 ilə heşlənir ^[2]. Açıq axtarış eyni anda bir ünvanla məhdudlaşır ^[2].

HIBP özü nə barədə xəbərdarlıq edir?

HIBP etiraf edir ki, istifadəçilər onun axtarılan e-poçt ünvanlarını toplamadığına əmin ola bilməz, toplamadığını bildirir və niyyəti ya təhlükəsizliyi barədə narahat olanlara ondan istifadə etməməyi tövsiyə edir ^[2]. Oxucular bu səmimi xəbərdarlığı xidmətin pulsuz risk qiymətləndirmə xidməti kimi bəyan olunmuş məqsədi ilə müqayisə etməlidir ^[2].

Bu bələdçi nəyi əhatə etmir?

Bu bələdçi HIBP-ni kimin maliyyələşdirdiyini və ya idarə etdiyini, habelə onun müstəqil auditdən keçib-keçmədiyini təsvir etmir. Saytın öz «About» səhifəsini oxuyun və özünüzü rahat hiss edib-etmədiyinizə qərar verin. Rahat deyilsinizsə, sonrakı bölmələrdəki qoruma tədbirləri heç bir yoxlayıcı olmadan işləyir: unikal parollar, çoxfaktorlu autentifikasiya və ABŞ sakinləri üçün kredit dondurulması.

«Pwned» nə deməkdir və nəticələrim nəyi göstərir?

«Pwned» video oyun mədəniyyətində «owned» sözünün leetspeak variantı kimi yaranıb və kiminsə nəzarət altına alındığını və ya sındırıldığını ifadə edir ^[2]. Lakin HIBP-də siyahıda görünmək məlumatlarınızın haradasa açıq qaldığını bildirir. Bu bələdçinin oxunuşuna görə, bu, hesablarınıza kiminsə daxil olduğunun sübutu deyil.

Sızma etiketləri nə deməkdir?

• Həssas: açıq axtarışdan gizlədilib və yalnız ünvanın təsdiqlənmiş sahibinə görünür ^[2].
• Təsdiqlənməmiş: məlumat həqiqidir, lakin mənşəyi ağlabatan şübhədən kənar sübut olunmayıb ^[2].
• Uydurma: adı çəkilən saytdan gəlməsi ehtimalı azdır, lakin real e-poçt ünvanları ehtiva edir ^[2].
• Təqaüdə çıxarılmış: həmişəlik silinib. HIBP 2 təqaüdə çıxarılmış sızmanı, Ticketek və VTech, siyahıya alıb; sızma, adətən, məlumat başqa yerdə satılmayanda və ya yenidən yayılmayanda təqaüdə çıxarılır ^[2].

HIBP təsdiqlənməmiş və uydurma sızmaları yenə də daxil edir, çünki onlarda real şəxsi məlumatlar var ^[2]. Buna görə siyahıdakı qeyd konkret şirkətin sındırıldığının sübutu deyil. HIBP qeyd edir ki, uydurma məlumatlar belə hələ də satıla və ya mübadilə oluna bilər ^[2].

Parolumun sızıb-sızmadığını necə yoxlayım?

Pwned Passwords HIBP-nin tək bir parolu məlum sızmalara qarşı yoxlayan ayrıca xidmətidir ^[2]. O, k-anonymity-dən istifadə edir: parol cihazınızda heşlənir, SHA-1 heşinin yalnız ilk 5 simvolu API-yə göndərilir, qaytarılan suffikslərlə müqayisə isə sizin tərəfinizdə aparılır ^[4]. HIBP bildirir ki, xidmət ayda 18 milyarddan çox sorğunu emal edir ^[4].

Hesab fərqlidirsə, sızan parol niyə vacibdir?

Hücumçular açıq qalmış e-poçt və parol cütlərindən qurbanların digər hesablarına daxil olmağa cəhd etmək üçün istifadə edir, bu texnika credential stuffing adlanır ^[4]. Buna görə sızma parolunuzu əhatə edəndə FTC onu oxşar paroldan istifadə etdiyiniz hesablarda dəyişməyi məsləhət görür ^[3]. HIBP həmçinin qeyd edir ki, NIST tövsiyələri parolların əvvəl sızmış məlumat dəstlərinə qarşı yoxlanmasını təklif edir ^[4].

Nəticədən necə istifadə edim?

1. İstifadə etdiyiniz və ya əvvəl istifadə etdiyiniz parolu Pwned Passwords səhifəsində yoxlayın.
2. Tapılarsa, onu hər yerdə istifadə etməyi dayandırın və hər hesab üçün unikal parolla əvəz edin. FTC parol meneceri düşünməyi təklif edir ^[3].
3. Tapılmazsa, bunu təsdiq kimi qəbul etməyin: «no pwnage found» parolun mütləq yaxşı olduğunu göstərmir, sadəcə saytda indekslənmədiyini bildirir ^[4].

Məlumat sızmasından sonra ilk nə etməliyəm?

Düzgün addımlar nəyin açıq qaldığından asılıdır. Vəziyyətinizə uyğun gələn bəndləri izləyin.

1. Parolu dəyişin. Sızma parolunuzu əhatə edibsə, onu dərhal təsirə məruz qalmış şirkətdə və oxşar paroldan istifadə etdiyiniz bütün hesablarda dəyişin. Parol meneceri düşünün və parol açıq qalsa belə hesabı qoruya bilən çoxfaktorlu autentifikasiyanı (MFA) qoşun ^[3].
2. Onlayn hesab açıq qalıbsa. Daxil olub parolu, mümkünsə istifadəçi adını da dəyişin. Daxil ola bilmirsinizsə, hesabı bərpa etmək və ya bağlamaq üçün şirkətlə əlaqə saxlayın. Parolu təkrar istifadə etdiyiniz başqa yerlərdə də dəyişin ^[7].
3. Social Security nömrəsi açıq qalıbsa (ABŞ). Şirkət təklif edirsə, pulsuz kredit monitorinqini qəbul edin, pulsuz kredit hesabatları alın və tanımadığınız hesabları axtarın, kredit dondurulması və ya fırıldaqçılıq xəbərdarlığını düşünün ^[8]. FTC-nin məlumat sızması bələdçisi pulsuz hesabatlar üçün annualcreditreport.com saytını göstərir, dondurulmadan imtina etsəniz ən azı fırıldaqçılıq xəbərdarlığını nəzərdən keçirməyi və vergi bəyannaməsini erkən təqdim etməyi məsləhət görür ^[7].
4. Rəsmi alətdən istifadə edin. FTC-nin IdentityTheft.gov/databreach səhifəsi açıq qalan məlumatın növünə əsasən addımlar təqdim edir ^[7].
5. Məlumatlarınızdan sui-istifadə olunubsa. Bunu IdentityTheft.gov saytında bildirin ^[8]; sayt fərdi bərpa planı təklif edir ^[5].

Bu xidmətlərə ünvanı özünüz yazaraq daxil olun, sızma barədə gözlənilməz mesajdakı keçidlərə klikləməyin.

Sızmadan sonra krediti dondurmalı, yoxsa fırıldaqçılıq xəbərdarlığı qoymalıyam?

Bu bölmə ABŞ qaydalarını təsvir edir. 21 sentyabr 2018-dən ABŞ federal qanunu istehlakçılara kredit dondurulmasını pulsuz qoymağa icazə verib və əvvəllər haqq tutan ştatlarda ödənişlərə son qoyub ^[5]; FTC dondurulmanın qoyulmasının və götürülməsinin pulsuz olduğunu bildirir ^[9]. Başqa ölkələrdəki oxucular öz ölkələrinin kredit və şəxsiyyətin qorunması qaydalarını yoxlamalıdır; bu bələdçi onları əhatə etmir.

Kredit dondurulması nədir?

Kredit dondurulması siz onu götürənə qədər davam edir və kredit xalınıza təsir etmir ^[9]. O qüvvədə olarkən heç kim, o cümlədən siz özünüz, yeni kredit aça bilməz; kredit, iş, kirayə və ya sığorta üçün müraciət etmək üçün onu müvəqqəti götürə bilərsiniz ^[9]. FTC bildirir ki, dondurulma iş, kirayə və ya sığorta üçün müraciət etmək imkanınıza təsir etməyəcək ^[10] və onu adınıza yeni hesabların açılmasından qorunmağın ən yaxşı yolu adlandırır ^[10]. Üç ümummilli bürodan (Equifax, Experian və TransUnion) hamısından xahiş etməlisiniz. Onlayn və ya telefonla xahiş etsəniz, büro dondurulmanı bir iş günü ərzində qoymalı və bir saat ərzində götürməlidir ^[5]. Valideynlər 16 yaşdan kiçik uşaqların kreditini də pulsuz dondura bilər ^[5].

Fırıldaqçılıq xəbərdarlığı nədir?

Fırıldaqçılıq xəbərdarlığı üçün yalnız bir büroya sorğu lazımdır, o, digər ikisini məlumatlandırır ^[5]. 2018 qanunu xəbərdarlığı 90 gündən bir ilə uzatdı ^[5]. Standart xəbərdarlıq bir il davam edir və pulsuz yenilənə bilər, şəxsiyyət oğurluğu qurbanları üçün uzadılmış xəbərdarlıq isə yeddi il davam edir ^[10][9]. O, kredit hesabatınıza çıxışı məhdudlaşdırmır ^[10].

Hansını seçməliyəm?

FTC-nin məlumat sızması bələdçisi bildirir ki, dondurulmadan imtina etsəniz, ən azı fırıldaqçılıq xəbərdarlığını nəzərdən keçirməlisiniz ^[7]. Məsləhət bir istiqamətə işarə edir: dondurulma daha çox qoruma verir, fırıldaqçılıq xəbərdarlığı isə daha yüngül ehtiyat variantdır. Öz ölkənizdə ekvivalent yoxdursa, parol və MFA addımları yenə də tətbiq olunur.

E-poçtumun sındırıldığını, yoxsa yalnız sızdığını necə anlayım?

Sızma ilə hesabın ələ keçirilməsi fərqli hadisələrdir. Sızma üçüncü tərəfin məlumatı zəif sistemdə açıq qoyması deməkdir ^[2]. Hesabın ələ keçirilməsi kiminsə sizin adınızdan daxil olması deməkdir. Bu bələdçinin oxunuşuna görə, sızma yoxlayıcısı birinci suala cavab verir, ikinciyə yox, çünki siyahıdakı qeyd başqasının girişini deyil, məlumatın açıq qalmasını göstərir.

Sızma necə ələ keçirməyə çevrilir?

Əsasən parolun təkrar istifadəsi vasitəsilə. Hücumçular açıq qalmış e-poçt və parol cütlərindən qurbanların digər hesablarına daxil olmağa cəhd etmək üçün istifadə edir ^[4]. Parolu təkrar istifadə etmisinizsə, istifadə olunan hər yerdə dəyişin ^[7]. FTC bildirir ki, MFA parol açıq qalsa belə hesabı qoruya bilər ^[3].

Artıq daxil ola bilmirəmsə nə etməliyəm?

Hesabı bərpa etmək və ya bağlamaq üçün şirkətlə əlaqə saxlayın ^[7]. Ələ keçirilmə əlamətləri xidmətdən xidmətə fərqlənir, ona görə bu bələdçi onları sadalamır; xidmətin öz hesab fəaliyyəti və təhlükəsizlik səhifələrinə baxın. Məlumatlarınızdan sui-istifadə olunubsa, bunu IdentityTheft.gov saytında bildirin ^[8]; sayt fərdi bərpa planı təklif edir ^[5].

Sızma baş verəndə kim ödəyir və xərc rəqəmləri nə deməkdir?

Sızma xərcləri barədə başlıqlar hadisələrin təşkilatlara nəyə başa gəldiyini təsvir edir, sizə nəyə başa gəldiyini yox.

IBM-in 2026 Cost of a Data Breach Report hesabatı sızmanın qlobal orta xərcini 4.99 milyon $ qiymətləndirir. O, 2025-ci ilin martı ilə 2026-cı ilin fevralı arasında 602 təşkilatda baş vermiş sızmalara əsaslanır və Ponemon Institute tərəfindən aparılan, IBM tərəfindən sponsorluq edilən və təhlil olunan tədqiqatdır ^[6]. Eyni press-reliz bildirir ki, hər dörd zərərli sızmadan biri süni intellektlə təchiz olunmuş idi ^[6].

2025 nəşri qlobal orta xərcin 9% azalaraq 4.88 milyon $-dan 4.44 milyon $-a düşdüyünü müəyyən etdi ^[12], bu, beş ildə ilk azalma idi ^[11][12], ABŞ-da orta sızma xərci isə 10.22 milyon $ ilə rekorda çatdı ^[11].

Bu rəqəmləri necə oxumalıyam?

Bunlar fərdi qurbanların yox, təşkilatların Ponemon Institute tədqiqatlarıdır ^[6]. Hər nəşrin öz nümunəsi var, ona görə 4.44 milyon $-dan 4.99 milyon $-a keçidi dəqiq tendensiya kimi yox, kontekst kimi qəbul edin. Heç bir rəqəm şəxsən gözləməli olduğunuz itki deyil. Fərdlər üçün praktik cavab yuxarıdakı bölmələrdəki addımlardır.

Sızma yoxlama xidmətlərinin faydaları və məhdudiyyətləri nələrdir?

Faydaları

• 3 noyabr 2026 tarixinə siyahıya alınmış 1,048 sayt üzrə ünvanınızın harada açıq qaldığı barədə pulsuz, sürətli cavab ^[1].
• Parollar e-poçt ünvanlarından ayrı saxlanır: onlarla birlikdə heç biri yüklənmir və şəxsi identifikasiya məlumatlarının yanında heç biri saxlanmır ^[2].
• Həssas sızmalar yalnız ünvanın təsdiqlənmiş sahibinə göstərilir ^[2].
• Parol yoxlamaları SHA-1 heşinin yalnız ilk 5 simvolunu göndərir ^[4].

Çatışmazlıqları

• HIBP bildirir ki, axtarışı sızmaların çoxunu əhatə edir, həssas olanlar üçün isə daxil olub təsdiqləmək lazımdır ^[2].
• Bəzi qeydlər təsdiqlənməmiş və ya uydurmadır, ona görə nəticə konkret şirkətin sındırıldığını sübut etmir ^[2].
• HIBP bildirir ki, onun axtarılan ünvanları toplamadığına əmin ola bilməzsiniz, baxmayaraq ki, toplamadığını bəyan edir ^[2].
• Parol üçün «tapılmadı» nəticəsi parolun mütləq yaxşı olduğunu göstərmir ^[4].

Yoxlayıcı hansı parolları əvvəlcə dəyişmək barədə qərar vermək üçün faydalıdır. Bu bələdçinin fikrincə, o, unikal parollar və MFA kimi vərdişləri əvəz edə bilməz; FTC MFA-nı qoşmağı məsləhət görür və parol meneceri düşünməyi təklif edir ^[3].

Bundan sonra nə olacaq və nə hələ də qeyri-müəyyəndir?

Əsas sayğaclar canlıdır: 3 noyabr 2026-da göstərilən 1,048 sayt üzrə 17,846,896,404 ünvan sonradan gördüyünüzlə üst-üstə düşməyəcək ^[1]. Xərc tərəfində IBM-in orta göstəricisi 4.88 milyon $-dan ^[12] 2025 hesabatında 4.44 milyon $-a ^[11][12], sonra isə 2026-da 4.99 milyon $-a dəyişdi ^[6]. 2026 tədqiqatında hər dörd zərərli sızmadan biri süni intellektlə təchiz olunmuş idi ^[6]. Bu rəqəmlər süni intellektlə təchiz olunmuş hücumların xərcləri artırmağa davam edib-etməyəcəyini həll etmir.

Bu bələdçinin sizə deyə bilmədikləri

• Sızan etibarnamələrin hesabın ələ keçirilməsinə nə qədər tez-tez gətirib çıxardığı. Burada mənbəli rəqəm verilmir.
• ABŞ-dan kənar qaydalar. Digər ölkələrdə sızma barədə bildiriş hüquqları və kredit qoruması əhatə olunmur.
• İrandan çıxış. Sızma yoxlayıcılarına, parol menecerlərinə və ya MFA tətbiqlərinə İrandan çatmağın və ya onlar üçün ödəniş etməyin mümkün olub-olmadığı barədə etibarlı mənbə yox idi, ona görə heç bir iddia irəli sürülmür. Oradakı oxucular parol və MFA addımlarını yenə də tətbiq edə bilər, kredit bürosu addımları isə yalnız ABŞ kredit fayllarına aiddir.

HIBP-nin yekun rəqəmləri dəyişdiyinə görə, yeni sızma xəbərindən sonra yenidən axtarmaq ucuz vərdişdir.