خلاصه
نشانی ایمیل خود را در یک سرویس اعلام نشت مانند Have I Been Pwned جستوجو کنید که تا ۳ نوامبر ۲۰۲۶ تعداد ۱٬۰۴۸ وبسایت دچار نشت را فهرست کرده است [1]. نشت یعنی داده‌ها در یک سامانهٔ آسیبپذیر در معرض دید قرار گرفته‌اند [2]. فهرستشدن به‌تنهایی ثابت نمیکند حساب شما هک شده است. اگر نشت گذرواژه‌تان را درگیر کرده، آن را تغییر دهید و احراز هویت چندعاملی را فعال کنید [3].
نکته‌های کلیدی
- تا ۳ نوامبر ۲۰۲۶، Have I Been Pwned تعداد ۱٬۰۴۸ وبسایت pwned و ۱۷٬۸۴۶٬۸۹۶٬۴۰۴ نشانی pwned را فهرست کرده است [1].
- Pwned Passwords فقط ۵ نویسهٔ نخست هش SHA-1 گذرواژه را میفرستد و نتیجهٔ «no pwnage found» لزوماً به معنای خوب‌بودن گذرواژه نیست [4].
- پس از نشتی که گذرواژهٔ شما را درگیر کرده، آن را برای شرکت آسیبدیده و برای هر حسابی با گذرواژهٔ مشابه تغییر دهید و احراز هویت چندعاملی را فعال کنید [3].
- از ۲۱ سپتامبر ۲۰۱۸ قانونی فدرال در آمریکا ثبت مسدودسازی اعتبار را رایگان کرده و کارمزد در ایالت‌هایی که پیش‌تر دریافت می‌کردند پایان یافته است؛ اگر آنلاین یا تلفنی درخواست شود، دفتر اعتباری باید ظرف یک روز کاری آن را اعمال کند [5]؛ FTC میگوید ثبت و رفع مسدودسازی رایگان است [9].
- گزارش ۲۰۲۶ شرکت IBM میانگین جهانی هزینهٔ نشت را ۴٫۹۹ میلیون دلار اعلام میکند، اما این هزینهٔ سازمان‌هاست، نه افراد [6].
- HIBP عمداً نشتهای تأییدنشده و جعلی را هم درج میکند [2]؛ پس فهرستشدن را افشا بدانید، نه گواه هک‌شدن حساب.
در این صفحه ۱۴ بخش
- آیا دادههای من لو رفته است؟ چگونه بررسی کنم؟
- آیا Have I Been Pwned امن و قابل اعتماد است؟
- «pwned» یعنی چه و نتایج من چه معنایی دارند؟
- چگونه بررسی کنم گذرواژه‌ام لو رفته است؟
- پس از نشت داده نخست چه کنم؟
- آیا پس از نشت باید اعتبارم را مسدود کنم یا هشدار تقلب بگذارم؟
- چگونه بفهمم ایمیلم هک شده است یا فقط لو رفته است؟
- وقتی نشت رخ میدهد چه کسی هزینه میدهد و ارقام هزینه چه معنایی دارند؟
- مزایا و محدودیت‌های سرویس‌های بررسی نشت چیست؟
- بعد چه می‌شود و چه چیزی هنوز نامعلوم است؟
- اشتباه‌های رایج
- پرسش‌های پرتکرار
- واژه‌نامه
- منابع
آیا دادههای من لو رفته است؟ چگونه بررسی کنم؟
نشت داده (data breach) به تعریف Have I Been Pwned (به‌اختصار HIBP) رخدادی است که در آن داده‌ها به‌طور ناخواسته در یک سامانهٔ آسیبپذیر در معرض دید قرار می‌گیرند، معمولاً بهدلیل کنترلهای دسترسی ناکافی یا ضعف‌های امنیتی نرمافزار [2]. HIBP نشت‌ها را گردآوری میکند تا افراد ببینند دادههای شخصی‌شان کجا در معرض دید قرار گرفته است [2]. سریع‌ترین راه برای دانستن اینکه داده‌هایتان لو رفته است یا نه، جستوجوی نشانی ایمیل در همین سرویس است.
تا ۳ نوامبر ۲۰۲۶، صفحهٔ اصلی HIBP تعداد ۱٬۰۴۸ وبسایت pwned و ۱۷٬۸۴۶٬۸۹۶٬۴۰۴ نشانی pwned را فهرست کرده است [1]. جستوجوی عمومی در هر بار فقط برای یک نشانی ایمیل یا یک نام کاربری نتیجه میدهد [2]. جستوجوی یک دامنهٔ کامل قابلیتی جداگانه است و لازم است تأیید کنید که مجاز به دسترسی به آن دامنه هستید [2].
چرا ممکن است نشتی در نتایج من نباشد؟
HIBP برخی نشت‌ها را «حساس» (sensitive) تلقی میکند. فقط مالک تأییدشدهٔ نشانی ایمیل میتواند آنها را ببیند، با ورود به داشبورد و تأیید اینکه میتواند در آن نشانی ایمیل دریافت کند [2]. HIBP ۹۰ نشت حساس را فهرست کرده است، از جمله Ashley Madison و Adult FriendFinder (سالهای ۲۰۱۵ و ۲۰۱۶) [2]. بنابراین یک جستوجوی ساده همهٔ مواردی را که ممکن است نشانی شما را درگیر کرده باشند نشان نمیدهد.
آیا نتیجهٔ پاک یعنی داده‌هایم ایمن است؟
خیر. HIBP میگوید جستوجوی آن بیشتر نشت‌ها را پوشش میدهد، در حالی که نشتهای حساس نیازمند ورود به حساب‌اند [2]. بنا بر استنباط این راهنما، نشتی که در سرویس بارگذاری نشده باشد اصلاً نمی‌تواند ظاهر شود. دربارهٔ گذرواژهها، HIBP میگوید نتیجهٔ «no pwnage found» لزوماً به معنای خوب‌بودن گذرواژه نیست و فقط یعنی در این سایت نمایه نشده است [4]. نتیجهٔ پاک را یک نشانه بدانید و در هر حال حفاظتهای پایه را حفظ کنید: گذرواژههای یکتا و احراز هویت چندعاملی.
آیا Have I Been Pwned امن و قابل اعتماد است؟
طراحی HIBP آنچه را نگه می‌دارد محدود میکند. وقتی نشانیهای ایمیل یک نشت بارگذاری میشوند، هیچ گذرواژهای همراه آنها بارگذاری نمیشود؛ سرویس جداگانهٔ Pwned Passwords یک گذرواژه را با نشتهای شناخته‌شده مقایسه میکند [2]. HIBP اعلام میکند هیچ گذرواژهای کنار دادههای شناساییپذیر ذخیره نمیشود و همهٔ گذرواژهها با SHA-1 هش میشوند [2]. جستوجوی عمومی در هر بار به یک نشانی محدود است [2].
خود HIBP دربارهٔ چه چیزی هشدار میدهد؟
HIBP میپذیرد که کاربران نمیتوانند مطمئن باشند این سرویس نشانیهای ایمیلِ جستوجوشده را جمعآوری نمیکند؛ اعلام میکند چنین نمیکند و به هر کس نگران قصد یا امنیت آن است توصیه میکند از آن استفاده نکند [2]. خوانندگان باید این هشدار صریح را با هدف اعلام‌شدهٔ سرویس، یعنی خدمتی رایگان برای ارزیابی ریسک، بسنجند [2].
این راهنما چه چیزی را پوشش نمیدهد؟
این راهنما توضیح نمیدهد چه کسی HIBP را تأمین مالی یا اداره میکند و آیا ممیزی مستقل شده است یا نه. صفحهٔ «About» خود سایت را بخوانید و تصمیم بگیرید راحت هستید یا نه. اگر نیستید، حفاظتهای بخش‌های بعدی بدون هیچ ابزار بررسی کار میکنند: گذرواژههای یکتا، احراز هویت چندعاملی و، برای ساکنان آمریکا، مسدودسازی اعتبار.
«pwned» یعنی چه و نتایج من چه معنایی دارند؟
«Pwned» در فرهنگ بازیهای ویدیویی بهصورت گونهای لیتسپیک از «owned» پدید آمد و دلالت دارد بر اینکه کسی تحت کنترل یا در معرض نفوذ قرار گرفته است [2]. اما در HIBP فهرستشدن یعنی دادههای شما جایی در معرض دید قرار گرفته است. بنا بر برداشت این راهنما، این گواهی نیست که کسی وارد حسابهای شما شده باشد.
برچسب‌های نشت چه معنایی دارند؟
- حساس (Sensitive): از جستوجوی عمومی پنهان است و فقط مالک تأییدشدهٔ نشانی آن را می‌بیند [2].
- تأییدنشده (Unverified): داده‌ها معتبرند، اما منشأ آنها فراتر از تردید معقول اثبات نشده است [2].
- جعلی (Fabricated): بعید است از سایت نام‌برده آمده باشد، اما شامل نشانیهای ایمیل واقعی است [2].
- بازنشسته (Retired): برای همیشه حذف شده است. HIBP ۲ نشت بازنشسته را فهرست کرده، یعنی Ticketek و VTech، و معمولاً نشتی زمانی بازنشسته می‌شود که داده‌ها در جای دیگری معامله یا بازتوزیع نشوند [2].
HIBP همچنان نشتهای تأییدنشده و جعلی را درج میکند، چون حاوی اطلاعات شخصی واقعی‌اند [2]. پس فهرستشدن گواه هک‌شدن یک شرکت مشخص نیست. HIBP یادآور می‌شود حتی دادههای جعلی نیز ممکن است همچنان فروخته یا مبادله شوند [2].
چگونه بررسی کنم گذرواژه‌ام لو رفته است؟
Pwned Passwords سرویس جداگانهٔ HIBP است که یک گذرواژه را با نشتهای شناخته‌شده مقایسه میکند [2]. این سرویس از k-anonymity استفاده میکند: گذرواژه روی دستگاه شما هش می‌شود، فقط ۵ نویسهٔ نخست هش SHA-1 به API فرستاده می‌شود و مقایسه با پسوندهای بازگردانده‌شده در سمت شما انجام می‌گیرد [4]. HIBP میگوید این سرویس ماهانه بیش از ۱۸ میلیارد درخواست را پردازش میکند [4].
اگر حساب متفاوت باشد، چرا لو رفتن گذرواژه اهمیت دارد؟
مهاجمان از جفتهای ایمیل و گذرواژهٔ افشاشده برای تلاش در دسترسی به حسابهای دیگر قربانیان استفاده میکنند، تکنیکی که credential stuffing نام دارد [4]. به همین دلیل، وقتی نشتی گذرواژهٔ شما را درگیر میکند، FTC توصیه میکند آن را در هر حسابی که گذرواژهٔ مشابه دارد تغییر دهید [3]. HIBP همچنین یادآور می‌شود رهنمودهای NIST توصیه میکنند گذرواژهها با مجموعه‌داده‌های نشت‌کردهٔ پیشین سنجیده شوند [4].
از نتیجه چگونه استفاده کنم؟
- گذرواژهای را که به کار می‌برید یا پیش‌تر به کار برده‌اید در صفحهٔ Pwned Passwords بررسی کنید.
- اگر پیدا شد، آن را در همهجا کنار بگذارید و برای هر حساب گذرواژهای یکتا بگذارید. FTC استفاده از مدیر گذرواژه را پیشنهاد میکند [3].
- اگر پیدا نشد، آن را تأیید ندانید: «no pwnage found» لزوماً به معنای خوب‌بودن گذرواژه نیست و فقط یعنی در این سایت نمایه نشده است [4].
پس از نشت داده نخست چه کنم؟
گامهای درست به آنچه افشا شده بستگی دارد. موارد متناسب با وضعیت خود را پیش ببرید.
- گذرواژه را تغییر دهید. اگر نشت گذرواژهٔ شما را درگیر کرده است، فوراً آن را نزد شرکت آسیبدیده و در هر حسابی که گذرواژهٔ مشابه دارد تغییر دهید. مدیر گذرواژه را در نظر بگیرید و احراز هویت چندعاملی (MFA) را فعال کنید که حتی اگر گذرواژه افشا شود میتواند از حساب محافظت کند [3].
- اگر حساب برخطی افشا شده است. وارد شوید و گذرواژه را، و در صورت امکان نام کاربری را، تغییر دهید. اگر نمیتوانید وارد شوید، برای بازیابی یا بستن حساب با شرکت تماس بگیرید. گذرواژه را در هر جای دیگری که تکرار کردهاید تغییر دهید [7].
- اگر شمارهٔ تأمین اجتماعی (Social Security) افشا شده است (آمریکا). اگر شرکت پایش اعتبار رایگان ارائه میدهد بپذیرید، گزارش‌های اعتباری رایگان بگیرید و دنبال حسابهایی بگردید که نمی‌شناسید، و مسدودسازی اعتبار یا هشدار تقلب را در نظر بگیرید [8]. راهنمای نشت داده در FTC برای گزارش‌های رایگان به annualcreditreport.com ارجاع میدهد، میگوید اگر مسدودسازی را نمی‌خواهید دست‌کم هشدار تقلب را بسنجید و توصیه میکند اظهارنامهٔ مالیاتی را زود ثبت کنید [7].
- از ابزار رسمی استفاده کنید. نشانی IdentityTheft.gov/databreach در FTC بر پایهٔ نوع اطلاعات افشاشده گام‌هایی ارائه میدهد [7].
- اگر از دادههای شما سوءاستفاده شده است. آن را در IdentityTheft.gov گزارش کنید [8]؛ این سایت طرح بازیابی شخصیسازیشده ارائه میدهد [5].
نشانی این سرویس‌ها را خودتان تایپ کنید و پیوندهای پیام‌های غیرمنتظره دربارهٔ نشت را دنبال نکنید.
آیا پس از نشت باید اعتبارم را مسدود کنم یا هشدار تقلب بگذارم؟
این بخش قواعد آمریکا را شرح میدهد. از ۲۱ سپتامبر ۲۰۱۸ قانونی فدرال در آمریکا به مصرف‌کنندگان اجازه داده مسدودسازی اعتبار را رایگان ثبت کنند و کارمزد را در ایالت‌هایی که پیش‌تر دریافت می‌کردند پایان داده است [5]؛ FTC میگوید ثبت و رفع مسدودسازی رایگان است [9]. خوانندگان سایر کشورها باید قواعد اعتباری و حفاظت از هویت کشور خود را بررسی کنند که این راهنما پوشش نمیدهد.
مسدودسازی اعتبار (credit freeze) چیست؟
مسدودسازی اعتبار تا زمانی که آن را برندارید برقرار می‌ماند و بر امتیاز اعتباری شما اثر ندارد [9]. تا وقتی برقرار است، هیچ‌کس، از جمله خود شما، نمی‌تواند اعتبار جدید باز کند؛ می‌توانید آن را موقتاً برای درخواست اعتبار، شغل، اجاره یا بیمه بردارید [9]. FTC میگوید مسدودسازی بر توانایی شما برای درخواست شغل، اجاره یا خرید بیمه اثر نمی‌گذارد [10] و آن را بهترین راه حفاظت در برابر گشایش حسابهای جدید به نام شما میداند [10]. باید از هر سه دفتر سراسری (Equifax، Experian و TransUnion) درخواست کنید. اگر آنلاین یا تلفنی درخواست کنید، دفتر اعتباری باید مسدودسازی را ظرف یک روز کاری اعمال کند و ظرف یک ساعت آن را بردارد [5]. والدین همچنین میتوانند اعتبار کودکان زیر ۱۶ سال را رایگان مسدود کنند [5].
هشدار تقلب (fraud alert) چیست؟
هشدار تقلب فقط درخواست به یک دفتر لازم دارد که دو دفتر دیگر را مطلع میکند [5]. قانون ۲۰۱۸ مدت هشدار را از ۹۰ روز به یک سال افزایش داد [5]. هشدار استاندارد یک سال دوام دارد و رایگان قابل تمدید است، و هشدار گسترده برای قربانیان سرقت هویت هفت سال دوام دارد [10][9]. این هشدار دسترسی به گزارش اعتباری شما را محدود نمیکند [10].
کدام را انتخاب کنم؟
راهنمای نشت داده در FTC میگوید اگر مسدودسازی را نمی‌خواهید، دست‌کم هشدار تقلب را در نظر بگیرید [7]. توصیه به یک سو اشاره دارد: مسدودسازی حفاظت بیشتری میدهد و هشدار تقلب گزینهٔ سبک‌تر پشتیبان است. اگر کشور شما معادلی ندارد، گامهای گذرواژه و MFA همچنان کاربرد دارند.
چگونه بفهمم ایمیلم هک شده است یا فقط لو رفته است؟
نشت و تصاحب حساب دو رخداد متفاوت‌اند. نشت یعنی شخص ثالثی داده‌ها را در یک سامانهٔ آسیبپذیر در معرض دید قرار داده است [2]. تصاحب حساب یعنی کسی به‌جای شما وارد حساب می‌شود. بنا بر برداشت این راهنما، ابزار بررسی نشت به پرسش نخست پاسخ میدهد، نه دوم، چون فهرستشدن نشان‌دهندهٔ افشاست، نه ورود شخصی دیگر.
نشت چگونه به تصاحب حساب تبدیل می‌شود؟
عمدتاً از راه تکرار گذرواژه. مهاجمان از جفتهای ایمیل و گذرواژهٔ افشاشده برای تلاش در دسترسی به حسابهای دیگر قربانیان استفاده میکنند [4]. اگر گذرواژه را تکرار کردهاید، آن را در همهٔ جاهایی که به کار رفته تغییر دهید [7]. FTC میگوید MFA حتی اگر گذرواژه افشا شود میتواند از حساب محافظت کند [3].
اگر دیگر نتوانم وارد شوم چه؟
برای بازیابی یا بستن حساب با شرکت تماس بگیرید [7]. نشانه‌های تصاحب از سرویسی به سرویس دیگر فرق میکند، بنابراین این راهنما آنها را فهرست نمیکند؛ صفحه‌های فعالیت حساب و امنیت خود سرویس را بررسی کنید. اگر از دادههای شما سوءاستفاده شده است، آن را در IdentityTheft.gov گزارش کنید [8]؛ این سایت طرح بازیابی شخصیسازیشده ارائه میدهد [5].
وقتی نشت رخ میدهد چه کسی هزینه میدهد و ارقام هزینه چه معنایی دارند؟
عنوان‌های خبری دربارهٔ هزینهٔ نشت توصیف میکنند که رخدادها برای سازمان‌ها چه هزینه‌ای دارند، نه برای شما.
گزارش «هزینهٔ نشت داده» ۲۰۲۶ شرکت IBM میانگین جهانی هزینهٔ نشت را ۴٫۹۹ میلیون دلار اعلام میکند. این گزارش بر نشتهای ۶۰۲ سازمان میان مارس ۲۰۲۵ و فوریهٔ ۲۰۲۶ استوار است، در مطالعه‌ای که مؤسسهٔ Ponemon اجرا کرده و IBM آن را حمایت و تحلیل کرده است [6]. همین اطلاعیه میگوید از هر چهار نشت مخرب یکی مبتنی بر هوش مصنوعی بوده است [6].
نسخهٔ ۲۰۲۵ نشان داد میانگین جهانی هزینه ۹٪ کاهش یافته و از ۴٫۸۸ میلیون دلار به ۴٫۴۴ میلیون دلار رسیده است [12]، نخستین کاهش در پنج سال [11][12]، در حالی که میانگین هزینهٔ نشت در آمریکا به رکورد ۱۰٫۲۲ میلیون دلار رسید [11].
این ارقام را چگونه بخوانم؟
این‌ها مطالعات مؤسسهٔ Ponemon دربارهٔ سازمان‌ها هستند، نه دربارهٔ قربانیان فردی [6]. هر نسخه نمونهٔ خودش را دارد؛ پس جابه‌جایی از ۴٫۴۴ میلیون دلار به ۴٫۹۹ میلیون دلار را زمینه بدانید، نه روندی دقیق. هیچ‌یک از این ارقام زیانی نیست که شخصاً باید انتظارش را داشته باشید. برای افراد، پاسخ عملی همان گامهای بخش‌های پیشین است.
مزایا و محدودیت‌های سرویس‌های بررسی نشت چیست؟
مزایا
- پاسخی رایگان و سریع دربارهٔ اینکه نشانی شما کجا در معرض دید قرار گرفته، در میان ۱٬۰۴۸ وبسایت فهرست‌شده تا ۳ نوامبر ۲۰۲۶ [1].
- گذرواژهها از نشانیهای ایمیل جدا نگه داشته میشوند: هیچ گذرواژهای همراه آنها بارگذاری نمیشود و هیچ‌یک کنار دادههای شناساییپذیر ذخیره نمیشود [2].
- نشتهای حساس فقط به مالک تأییدشدهٔ نشانی نشان داده میشوند [2].
- بررسی گذرواژه فقط ۵ نویسهٔ نخست هش SHA-1 را میفرستد [4].
معایب
- HIBP میگوید جستوجوی آن بیشتر نشت‌ها را پوشش میدهد و نشتهای حساس نیازمند تأیید با ورود به حساب‌اند [2].
- برخی فهرست‌ها تأییدنشده یا جعلی‌اند؛ پس یک مورد یافت‌شده ثابت نمیکند شرکتی مشخص هک شده است [2].
- HIBP میگوید نمیتوانید مطمئن باشید نشانیهای جستوجوشده را جمعآوری نمیکند، هرچند اعلام میکند چنین نمیکند [2].
- نتیجهٔ «یافت نشد» برای گذرواژه لزوماً به معنای خوب‌بودن آن نیست [4].
ابزار بررسی برای تصمیم‌گیری دربارهٔ اینکه کدام گذرواژهها را زودتر تغییر دهید مفید است. به نظر این راهنما، جایگزین عادت‌هایی مانند گذرواژههای یکتا و MFA نمیشود؛ FTC فعال‌کردن MFA را توصیه میکند و استفاده از مدیر گذرواژه را پیشنهاد میدهد [3].
بعد چه می‌شود و چه چیزی هنوز نامعلوم است؟
شمارنده‌های صفحهٔ اصلی زنده‌اند: ۱۷٬۸۴۶٬۸۹۶٬۴۰۴ نشانی در ۱٬۰۴۸ وبسایت که در ۳ نوامبر ۲۰۲۶ نمایش داده شد با آنچه بعداً می‌بینید یکسان نخواهد بود [1]. در سمت هزینه، میانگین IBM از ۴٫۸۸ میلیون دلار [12] به ۴٫۴۴ میلیون دلار در گزارش ۲۰۲۵ [11][12] و سپس به ۴٫۹۹ میلیون دلار در ۲۰۲۶ رسید [6]. در مطالعهٔ ۲۰۲۶ از هر چهار نشت مخرب یکی مبتنی بر هوش مصنوعی بود [6]. این ارقام روشن نمی‌کنند حمله‌های مبتنی بر هوش مصنوعی همچنان هزینه‌ها را بالا می‌برند یا نه.
آنچه این راهنما نمی‌تواند به شما بگوید
- اینکه اعتبارنامه‌های لو رفته چند وقت به تصاحب حساب می‌انجامند. در اینجا رقم مستندی ارائه نشده است.
- قواعد خارج از آمریکا. حقوق اطلاع‌رسانی نشت و حفاظتهای اعتباری در کشورهای دیگر پوشش داده نشده است.
- دسترسی از ایران. منبع قابل اتکایی دربارهٔ اینکه آیا ابزارهای بررسی نشت، مدیران گذرواژه یا برنامه‌های MFA از ایران در دسترس‌اند یا می‌توان بهای آنها را پرداخت وجود نداشت، پس ادعایی مطرح نمیشود. خوانندگان آنجا همچنان میتوانند گامهای گذرواژه و MFA را به کار ببرند، در حالی که گامهای دفاتر اعتباری فقط برای پرونده‌های اعتباری آمریکا کاربرد دارند.
چون مجموع‌های HIBP تغییر میکنند، جستوجوی دوباره پس از خبر یک نشت تازه عادتی کم‌هزینه است.
| برچسب | چه معنایی دارد | HIBP با آن چگونه رفتار میکند |
|---|---|---|
| حساس (Sensitive) | نشتی پنهان از جستوجوی عمومی؛ HIBP ۹۰ مورد از آنها را فهرست کرده است [2] | پس از ورود به داشبورد فقط برای مالک تأییدشدهٔ نشانی قابل مشاهده است [2] |
| تأییدنشده (Unverified) | دادههای معتبر، اما منشأ آنها فراتر از تردید معقول اثبات نشده است [2] | همچنان درج می‌شود، چون شامل اطلاعات شخصی واقعی است [2] |
| جعلی (Fabricated) | بعید است از سایت نام‌برده آمده باشد، اما شامل نشانیهای ایمیل واقعی است [2] | همچنان درج می‌شود، چون شامل اطلاعات شخصی واقعی است [2] |
| بازنشسته (Retired) | ۲ نشت، یعنی Ticketek و VTech، برای همیشه حذف شده‌اند [2] | معمولاً زمانی بازنشسته می‌شود که داده‌ها در جای دیگری معامله یا بازتوزیع نشوند [2] |
| ویژگی | مسدودسازی اعتبار | هشدار تقلب |
|---|---|---|
| دفاتر برای تماس | هر سه: Equifax، Experian و TransUnion [5] | یک دفتر که دو دفتر دیگر را مطلع میکند [5] |
| هزینه | ثبت و رفع آن رایگان است [9]؛ از ۲۱ سپتامبر ۲۰۱۸ بر اساس قانون فدرال ثبت آن رایگان است [5] | هشدار استاندارد رایگان قابل تمدید است [10] |
| مدت | تا زمانی که آن را بردارید [9][10] | یک سال برای هشدار استاندارد [5]؛ هفت سال برای هشدار گسترده ویژهٔ قربانیان سرقت هویت [10][9] |
| دسترسی به گزارش اعتباری شما | محدود می‌شود [5]؛ FTC مسدودسازی را بهترین راه حفاظت در برابر حسابهای جدید به نام شما میداند [10] | محدود نمیشود [10] |
| گزارش | میانگین هزینهٔ جهانی | میانگین هزینه در آمریکا | مبنا |
|---|---|---|---|
| IBM Cost of a Data Breach 2025 | ۴٫۴۴ میلیون دلار [11][12]، با ۹٪ کاهش نسبت به ۴٫۸۸ میلیون دلار [12] | ۱۰٫۲۲ میلیون دلار، رکورد [11] | هزینه برای سازمان‌ها؛ نخستین کاهش جهانی در پنج سال [11][12] |
| IBM Cost of a Data Breach 2026 | ۴٫۹۹ میلیون دلار [6] | در منابع به‌کاررفته در اینجا ذکر نشده است | ۶۰۲ سازمان، مارس ۲۰۲۵ تا فوریهٔ ۲۰۲۶؛ مطالعهٔ مؤسسهٔ Ponemon [6] |
اشتباه‌های رایج
تلقی‌کردن نتیجهٔ پاک به‌عنوان گواهی بر اینکه هیچ دادهای لو نرفته است
راه درست: نتیجهٔ پاک را فقط یک نشانه بدانید. HIBP میگوید نتیجهٔ «no pwnage found» برای گذرواژه لزوماً به معنای خوب بودن آن نیست و فقط یعنی در این سایت نمایه نشده است [4]. در هر حال حفاظتهای پایه را حفظ کنید: FTC فعال‌کردن احراز هویت چندعاملی را توصیه میکند و استفاده از مدیر گذرواژه برای داشتن گذرواژههای یکتا را پیشنهاد میدهد [3]. HIBP میگوید جستوجوی آن بیشتر نشت‌ها را پوشش میدهد و نشتهای حساس نیازمند ورود به حساب‌اند [2]؛ بنابراین نشتی که هرگز در این سرویس بارگذاری نشده باشد نمی‌تواند نمایش داده شود (استنباط این راهنما).
تغییر دادن فقط گذرواژهٔ حساب نشت‌کرده و رها کردن گذرواژههای تکراری
راه درست: اگر نشت شامل گذرواژهٔ شما بوده است، آن را برای سرویس آسیبدیده و برای همهٔ حسابهایی که گذرواژهٔ مشابه دارند تغییر دهید و احراز هویت چندعاملی را فعال کنید [3]. مهاجمان از جفتهای ایمیل و گذرواژهٔ افشاشده برای آزمودن حسابهای دیگر استفاده میکنند [4].
فرض‌کردن اینکه فهرستشدن ثابت میکند حساب شما هک شده یا شرکتِ نام‌برده نشت داشته است
راه درست: فهرستشدن را به‌معنای «دادههای شما در معرض دید قرار گرفته است» بخوانید، نه «حساب من هک شده است» یا «این شرکت قطعاً هک شده است». HIBP نشتهای تأییدنشده و جعلی را هم درج میکند، چون حاوی اطلاعات شخصی واقعی‌اند، و یادآوری میکند که حتی دادههای جعلی نیز ممکن است فروخته یا مبادله شوند [2].
بسنده‌کردن به گذرواژهها، در حالی که دادههای هویتی حساس افشا شده است
راه درست: اگر شمارهٔ تأمین اجتماعی (Social Security) افشا شده باشد، خوانندگان ساکن آمریکا میتوانند پایش اعتبار رایگان را بپذیرند، گزارش‌های اعتباری رایگان بگیرند و مسدودسازی اعتبار یا هشدار تقلب را در نظر بگیرند [8]. راهنمای نشت داده در FTC برای گزارش رایگان به annualcreditreport.com ارجاع میدهد، میگوید اگر مسدودسازی را نمی‌خواهید دست‌کم هشدار تقلب را بسنجید و توصیه میکند اظهارنامهٔ مالیاتی را زود ثبت کنید [7].
خلط هشدار تقلب و مسدودسازی اعتبار
راه درست: مسدودسازی اعتبار نیازمند درخواست به هر سه دفتر اعتباری است و دسترسی به گزارش شما را محدود میکند، اما هشدار تقلب فقط یک درخواست لازم دارد [5]. هشدار دسترسی به گزارش اعتباری شما را محدود نمیکند و FTC مسدودسازی را بهترین راه حفاظت در برابر گشایش حسابهای جدید به نام شما میداند [10].
خواندن عنوان‌های هزینهٔ نشت به‌عنوان هزینه‌ای که نشت برای شخص شما خواهد داشت
راه درست: میانگین‌های IBM هزینه‌های سازمان‌ها را در مطالعاتی توصیف میکنند که مؤسسهٔ Ponemon انجام داده است، نه زیان افراد را [6]. آنها را فقط به‌عنوان زمینه به کار ببرید.
پرسش‌های پرتکرار
چگونه بررسی کنم ایمیلم در نشت داده بوده است یا نه؟
نشانی را در Have I Been Pwned جستوجو کنید؛ این سرویس در هر بار فقط برای یک نشانی ایمیل یا نام کاربری نتیجه میدهد [2]. تا ۳ نوامبر ۲۰۲۶ این سرویس ۱٬۰۴۸ وبسایت pwned را فهرست کرده است [1]. نشتهای حساس فقط پس از ورود به داشبورد و تأیید دریافت ایمیل در همان نشانی نمایش داده میشوند [2]. نتیجهٔ پاک دلیل ایمنبودن نیست.
آیا Have I Been Pwned امن است؟
HIBP میگوید هیچ گذرواژهای کنار دادههای شناساییپذیر ذخیره نمیشود و همهٔ گذرواژهها با SHA-1 هش میشوند [2]. این سرویس میپذیرد که کاربران نمیتوانند مطمئن باشند نشانیهای جستوجوشده را جمعآوری نمیکند، اعلام میکند چنین نمیکند و به هر کس نگران قصد یا امنیت آن است توصیه میکند از آن استفاده نکند [2]. خودتان بسنجید این مبادله برایتان مناسب است یا نه؛ حفاظتهای این راهنما بدون هیچ ابزار بررسی نیز کار میکنند.
pwned یعنی چه؟
«Pwned» در فرهنگ بازیهای ویدیویی بهصورت گونهای لیتسپیک از «owned» پدید آمد و دلالت دارد بر اینکه کسی تحت کنترل یا در معرض نفوذ قرار گرفته است [2]. در HIBP فهرستشدن یعنی دادههای شما در یک نشت، معمولاً بهدلیل کنترلهای دسترسی ناکافی یا ضعف نرمافزار، در معرض دید قرار گرفته است [2]. بنا بر برداشت این راهنما، این نشان نمیدهد کسی وارد حسابهای شما شده است.
اگر ایمیلم در نشت داده بوده است چه کنم؟
اگر نشت شامل گذرواژهٔ شما بوده است، آن را نزد شرکت آسیبدیده و در همهٔ حسابهایی که گذرواژهٔ مشابه دارند تغییر دهید و احراز هویت چندعاملی را فعال کنید [3]. استفاده از مدیر گذرواژه را در نظر بگیرید [3]. اگر حساب برخطی افشا شده و نمیتوانید وارد شوید، برای بازیابی یا بستن آن با شرکت تماس بگیرید [7]. گامهای بعدی را با نوع دادهای که افشا شده تطبیق دهید.
آیا نشت داده یعنی حساب من هک شده است؟
لزوماً نه. HIBP نشت را دادهای میداند که در یک سامانهٔ آسیبپذیر در معرض دید قرار گرفته است [2]؛ بنا بر برداشت این راهنما، صرف افشا به معنای ورود شخص دیگری به حساب نیست. مهاجمان میتوانند از جفتهای ایمیل و گذرواژهٔ افشاشده برای آزمودن حسابهای دیگر استفاده کنند، تکنیکی به نام credential stuffing [4]. اگر گذرواژه را تکرار کردهاید، آن را همهجا تغییر دهید [7]. اگر سوءاستفادهای دیدید، آن را در IdentityTheft.gov گزارش کنید [8]؛ این سایت طرح بازیابی شخصیسازیشده ارائه میدهد [5].
تفاوت هشدار تقلب و مسدودسازی اعتبار چیست؟
مسدودسازی نیازمند درخواست به هر سه دفتر اعتباری (Equifax، Experian و TransUnion) است [5] و تا زمان برداشتن آن برقرار می‌ماند [9][10]. هشدار تقلب فقط یک درخواست لازم دارد که دو دفتر دیگر را مطلع میکند و هشدار استاندارد یک سال دوام دارد [5]؛ تمدید آن رایگان است [10]. FTC مسدودسازی را بهترین راه حفاظت در برابر گشایش حسابهای جدید به نام شما میداند و یادآور می‌شود هشدار دسترسی به گزارش را محدود نمیکند [10].
آیا گذرواژههای من در Have I Been Pwned ذخیره میشوند؟
وقتی نشانیهای ایمیل یک نشت در HIBP بارگذاری میشوند، هیچ گذرواژهای همراه آنها بارگذاری نمیشود [2]. سرویس جداگانهٔ Pwned Passwords هر بار یک گذرواژه را بررسی میکند؛ آن را روی دستگاه شما هش میکند و فقط ۵ نویسهٔ نخست هش SHA-1 را میفرستد [4]. HIBP میگوید هیچ گذرواژهای کنار دادههای شناساییپذیر ذخیره نمیشود [2].
نشت حساس در Have I Been Pwned چیست؟
نشت حساس نشتی است که HIBP آن را از جستوجوی عمومی پنهان میکند. فقط مالک تأییدشدهٔ نشانی ایمیل میتواند آن را ببیند، با ورود به داشبورد و تأیید اینکه میتواند در آن نشانی ایمیل دریافت کند [2]. HIBP ۹۰ نشت حساس را فهرست کرده است، از جمله Ashley Madison و Adult FriendFinder (سالهای ۲۰۱۵ و ۲۰۱۶) [2].
واژه‌نامه
- نشت داده (Data breach)
- رخدادی که در آن داده‌ها به‌طور ناخواسته در یک سامانهٔ آسیبپذیر، معمولاً بهدلیل کنترلهای دسترسی ناکافی یا ضعف‌های نرم‌افزاری، در معرض دید قرار می‌گیرند.
- Pwned
- اصطلاحی عامیانه که در فرهنگ بازیهای ویدیویی بهصورت گونهای لیتسپیک از «owned» پدید آمد و HIBP آن را برای نشان‌دادن حضور دادههای شما در یک نشت شناخته‌شده به کار می‌برد.
- Credential stuffing
- استفاده از جفتهای ایمیل و گذرواژهٔ افشاشده برای تلاش در ورود به حسابهای دیگر قربانی.
- احراز هویت چندعاملی (MFA)
- روش ورودی که افزون بر گذرواژه چیز دیگری هم می‌خواهد و میتواند حتی در صورت افشای گذرواژه از حساب محافظت کند.
- هش SHA-1
- تبدیل یک‌طرفهٔ گذرواژه به رشته‌ای با طول ثابت که HIBP به کار می‌برد تا گذرواژهها به شکل خوانا ذخیره نشوند.
- k-anonymity
- فنی که در آن فقط ۵ نویسهٔ نخست هش گذرواژه به سرویس فرستاده می‌شود، به‌طوری که گذرواژهٔ کامل هرگز دستگاه شما را ترک نمیکند.
- مسدودسازی اعتبار (Credit freeze)
- محدودیتی بر دسترسی به گزارش اعتباری شما که تا زمان برداشتن آن برقرار می‌ماند و از گشایش اعتبار جدید به نام شما جلوگیری میکند.
- هشدار تقلب (Fraud alert)
- اعلامی روی پروندهٔ اعتباری شما که از طریق یک دفتر اعتباری ثبت می‌شود، در حالت استاندارد یک سال دوام دارد و دسترسی به گزارش اعتباری را محدود نمیکند.
منابع
- Have I Been Pwned: Check if your email address has been exposed in a data breach Have I Been Pwned (Troy Hunt); live page, retrieved 2026-11-03
- Have I Been Pwned: Frequently Asked Questions Have I Been Pwned; live page, retrieved 2026-11-02
- Have you been affected by a data breach? Read on US Federal Trade Commission (Consumer Advice)
- Pwned Passwords Have I Been Pwned; live page, retrieved 2026-11-03
- Starting Today, New Federal Law Allows Consumers to Place Free Credit Freezes And Yearlong Fraud Alerts US Federal Trade Commission · 2018-09-21
- IBM Study: One in Four Malicious Breaches are AI-Enabled, Costing Companies $6 Million on Average IBM Newsroom (Cost of a Data Breach Report 2026, Ponemon Institute) · 2026-07-29
- Data Breaches: What to know, What to do US Federal Trade Commission
- What To Do After a Data Breach US Federal Trade Commission (Consumer Advice)
- Credit Freezes and Fraud Alerts US Federal Trade Commission (Consumer Advice)
- Is a credit freeze or fraud alert right for you? US Federal Trade Commission (Consumer Advice)
- Average global data breach cost now $4.44 million Help Net Security (reporting IBM Cost of a Data Breach Report 2025) · 2025-08-04
- 2025 Cost of a Data Breach Report: Navigating the AI rush without sidelining security IBM X-Force
