Как проверить, не утёк ли пароль

Проще всего — воспользоваться проверкой, встроенной в ваш менеджер паролей или браузер. Они сравнивают сохранённые пароли с базами известных утечек и показывают, какие пароли пора сменить. В менеджере паролей Google (Chrome и Android), в приложении «Пароли» на iPhone и Mac и во многих отдельных менеджерах такая проверка есть; ищите её в разделе паролей или безопасности.

Как проверка не раскрывает пароль

Хорошие проверки не отправляют пароль никуда. Из пароля на вашем устройстве вычисляется хеш — отпечаток фиксированной длины, по которому сам пароль восстановить нельзя. Способы у служб разные; в одной из самых распространённых схем в службу проверки уходят только первые пять знаков хеша. Служба возвращает все хеши из утечек, которые начинаются так же (их сотни), а сравнение с полным хешем идёт уже у вас. Служба не знает ни пароля, ни даже его полного хеша.

Как это выглядит, показывает программа (пароль в ней — для примера, password давно во всех утечках):

import hashlib

password = "password"
digest = hashlib.sha1(password.encode("utf-8")).hexdigest().upper()
print("Хеш пароля:", digest)
print("Уходит в службу проверки:", digest[:5])
print("Остаётся на устройстве:", digest[5:])

Хеш пароля: 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8
Уходит в службу проверки: 5BAA6
Остаётся на устройстве: 1E4C9B93F3F0682250B6CF8331B7EE68FD8

Проверка по адресу почты

Существуют и службы, которые по адресу почты показывают, в каких известных утечках он встречался. Адрес почты не так секретен, как пароль, но и его вводите только на сервисах, которым доверяете, — например, на тех, на которые ссылается ваш менеджер паролей или браузер. Обратите внимание: такие службы знают только об утечках, которые стали известны. «Не найдено» не значит, что пароль в безопасности.

Если утечка нашлась

1. Смените пароль на этом сайте — на новый, созданный генератором.
2. Смените его везде, где он повторялся. Именно повторные пароли делают утечку опасной: утёкшие пары «почта — пароль» автоматически пробуют на других сайтах.
3. Включите второй шаг входа — тогда одного утёкшего пароля не хватит: справка Как включить двухфакторную защиту.
4. Будьте готовы к фишингу. Вместе с паролями утекают имена, телефоны, адреса — мошенники пишут и звонят, называя эти данные, чтобы казаться настоящими.

Само по себе «пароль найден в утечке» не значит, что аккаунт уже взломан. Но если заметили чужие входы или изменения — урок Если взломали: что делать по шагам.