Wiedza o tym, że adres pojawił się w wycieku, nic nie kosztuje i nic nie zmienia: dotyczy to niemal każdego. Pytanie, które dotyka Twojej odpowiedzialności, jest podwójne: czy ten wyciek nadal otwiera u Ciebie drzwi oraz kogo musisz powiadomić i w jakim terminie.
Wyciek danych logowania nie jest odosobnionym zdarzeniem u Ciebie: to strumień o zasięgu światowym. Dla rzędu wielkości: publiczne źródło odniesienia w tej dziedzinie zindeksowało w listopadzie 2025 roku w jednej operacji 1 957 476 021 unikatowych adresów (liczba opublikowana przez Have I Been Pwned).
Praktyczny wniosek: obecność Twojej nazwy domeny w wycieku jest prawdopodobna i sama w sobie nie jest informacją, którą da się wykorzystać. Liczy się to, co następuje potem.
Żadnej z tych trzech odpowiedzi nie znajdziesz w bazie wycieków. Odczytuje się je wewnątrz Twojego katalogu lub dzierżawy, za Twoją zgodą.
Ta procedura wynika z RODO, artykuły 33 i 34. Tekst urzędowy. Nie zastępuje porady prawnej: jesteśmy audytorami, nie prawnikami. Oficjalne źródła: rozporządzenie (UE) 2016/679, artykuły 33 i 34 (EUR-Lex) ; wytyczne 9/2022 EROD ; CNIL: naruszenia ochrony danych osobowych ; CNIL: zgłoszenie naruszenia ; dyrektywa (UE) 2022/2555, artykuł 23 (EUR-Lex).
Właściwy organ ochrony danych dla 30 krajów Europejskiego Obszaru Gospodarczego. Dwadzieścia siedem wierszy sprawdzono osobno wobec oficjalnej listy członków Europejskiej Rady Ochrony Danych i opatrzono odnośnikiem do tego źródła; dla Liechtensteinu źródłem jest strona samego organu; dla Islandii i Luksemburga weryfikacja nie jest opublikowana: przed zgłoszeniem sprawdź organ na liście Rady.
Brak wiersza oznacza, że nie zdołaliśmy go zweryfikować, a nie że organ nie istnieje. Wolimy tabelę krótszą niż mniej prawdziwą.
8 źródeł publicznych opisuje to, co napastnik widzi, zanim wejdzie: dzienniki certyfikatów, wpisy DNS i pocztowe, wystawione usługi, łudząco podobne nazwy domen, publikacje kodu, zindeksowane dokumenty.
To tam znajdują się trzy odpowiedzi, które się liczą. Audytujemy Microsoft 365 i Active Directory z Twojego stanowiska, wyłącznie do odczytu, i zestawiamy to, co zapowiada wyciek, z rzeczywistym stanem Twoich kont.
Silnik odpytujący te 8 źródeł jest napisany i działa, ale nie uruchamiano go jeszcze u klienta. Nie sprzedajemy tu zatem diagnozy w samoobsłudze: prowadzimy ją sami, razem z Tobą, i uprzedzamy, że byłbyś wśród pierwszych. Wolimy to powiedzieć, niż pozwolić Ci to odkryć.
Audyt Microsoft 365 i audyt Active Directory działają natomiast już u prawdziwych klientów.