Únik přihlašovacích údajů: co dělat a koho ve své zemi informovat

Co znamená « uniklo » a co neznamená

Únik přihlašovacích údajů není ojedinělá událost u vás: je to celosvětový tok. Pro řádovou představu: veřejný referenční zdroj oboru zaindexoval v listopadu 2025 v jediné operaci 1 957 476 021 jedinečných adres (údaj zveřejněný Have I Been Pwned).

Praktický závěr: přítomnost vašeho doménového jména v úniku je pravděpodobná a sama o sobě není využitelnou informací. Záleží na tom, co následuje.

Tři otázky, které naopak něco mění

Existuje účet ještě a je aktivní?
Bylo heslo změněno až po datu úniku, nebo před ním?
Kryje tento účet silné ověřování a jde o účet s vyššími právy?

Žádnou z těchto tří odpovědí v databázi úniků nenajdete. Čtou se uvnitř vašeho adresáře nebo tenanta, s vaším souhlasem.

Je-li únik potvrzen: postup v pořadí

Zjistit a datovat. Zaznamenejte přesný okamžik, kdy jste se o skutečnostech dozvěděli: ten spouští lhůtu 72 hodin, nikoli datum samotného úniku.
Omezit škody. Obnovte dotčené přístupy, zrušte probíhající relace a tokeny. Změněné heslo neukončí již otevřenou relaci.
Změřit rozsah. Které osoby, které kategorie údajů, jaký objem. Právě toto měření po vás úřad bude chtít, nikoli váš dojem.
Ohlásit příslušnému úřadu, pokud porušení pravděpodobně představuje riziko pro osoby. Tabulka níže uvádí úřad vaší země.
Informovat dotčené osoby, je-li pro ně riziko vysoké.
Zdokumentovat. Každé porušení se eviduje, včetně toho, které jste se rozhodli neohlásit, i s důvodem této volby.

Tento postup vychází z GDPR, články 33 a 34. Úřední text. Nenahrazuje právní stanovisko: jsme auditoři, nikoli advokáti. Úřední zdroje: nařízení (EU) 2016/679, články 33 a 34 (EUR-Lex) ; pokyny EDPB 9/2022 ; CNIL: porušení zabezpečení osobních údajů ; CNIL: ohlášení porušení ; směrnice (EU) 2022/2555, článek 23 (EUR-Lex).

Koho vyrozumět, země po zemi

Příslušný úřad pro ochranu osobních údajů pro 30 zemí Evropského hospodářského prostoru. Dvacet sedm řádků bylo ověřeno jednotlivě proti oficiálnímu seznamu členů Evropského sboru pro ochranu osobních údajů a nese odkaz na tento zdroj; u Lichtenštejnska je zdrojem web samotného úřadu; u Islandu a Lucemburska ověření není zveřejněno: před ohlášením zkontrolujte úřad v seznamu sboru.

Země	Úřad pro ochranu osobních údajů	Ověření
Rakousko	Osterreichische Datenschutzbehorde (DSB)	zdroj
Belgie	Autorite de la protection des donnees - Gegevensbeschermingsautoriteit (APD-GBA)	zdroj
Bulharsko	Commission for Personal Data Protection (CPDP)	zdroj
Kypr	Office of the Commissioner for Personal Data Protection (Cyprus Data Protection Authority)	zdroj
Česko	Urad pro ochranu osobnich udaju (UOOU) - Office for Personal Data Protection	zdroj
Německo	BfDI - Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit	zdroj
Dánsko	Datatilsynet	zdroj
Estonsko	Estonian Data Protection Inspectorate (Andmekaitse Inspektsioon)	zdroj
Španělsko	Agencia Espanola de Proteccion de Datos (AEPD)	zdroj
Finsko	Office of the Data Protection Ombudsman (Tietosuojavaltuutetun toimisto)	zdroj
Francie	CNIL (Commission Nationale de l'Informatique et des Libertes)	zdroj
Řecko	Hellenic Data Protection Authority (HDPA) - Arkhi Prostasias Dedomenon Prosopikou Kharaktira	zdroj
Chorvatsko	Agencija za zastitu osobnih podataka (AZOP) - Croatian Personal Data Protection Agency	zdroj
Maďarsko	Nemzeti Adatvedelmi es Informacioszabadsag Hatosag (NAIH) - Hungarian National Authority for Data Protection and Freedom of Information	zdroj
Irsko	Data Protection Commission (DPC)	zdroj
Island	Personuvernd (Icelandic Data Protection Authority)	nezveřejněn
Itálie	Garante per la protezione dei dati personali	zdroj
Lichtenštejnsko	Datenschutzstelle Fürstentum Liechtenstein	zdroj
Litva	State Data Protection Inspectorate (Valstybine duomenu apsaugos inspekcija - VDAI)	zdroj
Lucembursko	Commission Nationale pour la Protection des Données (CNPD)	nezveřejněn
Lotyšsko	Data State Inspectorate (Datu valsts inspekcija)	zdroj
Malta	Office of the Information and Data Protection Commissioner (IDPC)	zdroj
Nizozemsko	Autoriteit Persoonsgegevens (AP)	zdroj
Norsko	Datatilsynet	zdroj
Polsko	Urząd Ochrony Danych Osobowych (UODO)	zdroj
Portugalsko	Comissão Nacional de Proteção de Dados (CNPD)	zdroj
Rumunsko	ANSPDCP - Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (National Supervisory Authority for Personal Data Processing)	zdroj
Švédsko	Integritetsskyddsmyndigheten (IMY) - Swedish Authority for Privacy Protection	zdroj
Slovinsko	Information Commissioner of the Republic of Slovenia (Informacijski pooblascenec)	zdroj
Slovensko	Urad na ochranu osobnych udajov Slovenskej republiky	zdroj

Chybějící řádek znamená, že jsme jej nedokázali ověřit, nikoli že úřad neexistuje. Dáváme přednost kratší tabulce před nepravdivější.

Co umíme a co neděláme

Umíme se dívat zvenčí

8 veřejných zdrojů popisuje, co o vás útočník vidí, než vstoupí: protokoly certifikátů, záznamy DNS a pošty, vystavené služby, zaměnitelná doménová jména, publikace kódu, zaindexované dokumenty.

Bez jakékoli instalace u vás
Bez držení jakýchkoli odcizených údajů

A především se dívat zevnitř

Tam se nacházejí tři odpovědi, na kterých záleží. Auditujeme Microsoft 365 a Active Directory z vaší stanice, pouze pro čtení, a porovnáváme, co únik ohlašuje, se skutečným stavem vašich účtů.

Zpráva v jazyce každého čtenáře
Plán seřazený podle náročnosti a dopadu

Kde jsme, řečeno na rovinu

Nástroj, který se dotazuje těchto 8 zdrojů, je napsaný a funkční, ale u zákazníka dosud neběžel. Neprodáváme zde tedy samoobslužnou diagnostiku: vedeme ji sami, s vámi, a jste upozorněni, že byste byli mezi prvními. Raději to řekneme, než abychom vás nechali to zjistit.

Audit Microsoft 365 a audit Active Directory naopak u skutečných zákazníků již běží.

Popsat svou situaci Zobrazit další dveře