Kontrollera ett läckt lösenord – skriv inte in det på fel sida

Vill du undersöka om ett lösenord kan ha läckt, börja med e-postadressen som hör till kontot. Granska sedan dina sparade inloggningar för att hitta konton som behöver åtgärdas. Om du kontrollerar själva lösenordet ska du välja en betrodd tjänst som förklarar vad den skickar vidare; skriv inte in ett fungerande lösenord på en okänd sida.

Kontrollerna ger olika slags svar. En träff på e-postadressen pekar mot en läcka där adressen förekommer. En träff på lösenordssträngen visar att samma sträng finns bland kända läckta lösenord, men identifierar inte ditt konto. En varning för en sparad inloggning hjälper dig däremot att hitta ett konto där lösenordet behöver bytas.

Börja med e-postadressen

Gå själv till den tjänst du tänker använda, i stället för att följa en länk i ett oväntat meddelande. Sök på den adress du använder för inloggning och kontrollera även äldre adresser som fortfarande hör till aktiva konton. Varje sökning gäller den adress du anger; en träff för en adress säger inget direkt om konton som registrerats med en annan.

Have I Been Pwneds API-dokumentation beskriver både sökning där hela e-postadressen lämnas till tjänsten och en särskild sökning med en del av adressens hashvärde. Utgå därför inte från att en webbplats döljer adressen bara för att den använder tjänstens data. En e-postadress är också en personuppgift, även om den inte ger tillgång till kontot på samma sätt som ett lösenord.

Om adressen finns i en känd läcka, ta reda på vilken tjänst det gäller och vilka uppgiftstyper som omfattades. En adress kan förekomma utan att lösenordet ingick. Saknas tillräckliga detaljer för att avgöra det, behandla kontot som ett möjligt åtgärdsfall och undersök om dess lösenord fortfarande används där eller på andra ställen.

Kontrollera lösenordet utan att lämna ut det

En sida som ber dig klistra in ett lösenord kan i princip läsa det du skriver, även om den utlovar en säker kontroll. Kontrollera därför både webbadressen och beskrivningen av hur sökningen går till innan du använder ett sådant fält. En kopia av en känd tjänst kan se trovärdig ut men hantera inmatningen på ett helt annat sätt.

Kodkollens tekniska beskrivning anger att ett hashvärde beräknas i webbläsaren, att bara en kort början av värdet skickas till Have I Been Pwneds lösenordstjänst och att det fullständiga värdet jämförs lokalt med svaret. Det beskriver hur just den sidan är avsedd att fungera. Att en annan sida säger sig använda samma databas räcker inte för att veta vad dess egen kod gör med lösenordet du matar in.

Hashvärdet är en beräknad representation av lösenordet. När endast en del skickas kan söktjänsten returnera möjliga matchningar, medan din enhet avgör om hela värdet finns bland dem. En träff gäller lösenordssträngen, inte ett visst användarnamn eller en viss webbplats. Om du har använt samma sträng på flera konton behöver du därför själv hitta samtliga användningar.

Metoden förklarar också varför en lösenordskontroll inte ersätter granskningen av dina konton. Den kan säga att ett lösenord förekommit i en tillgänglig samling, men inte om du fortfarande använder det eller var det först blev känt. För att göra resultatet användbart måste du koppla strängen till dina egna aktiva inloggningar.

Hitta berörda konton bland sparade inloggningar

En lösenordsövervakare i webbläsaren kan göra kopplingen till ett konto tydligare. Microsofts anvisningar för Lösenordsövervakare beskriver hur Edge jämför sparade kombinationer av användarnamn och lösenord med kända läckor och visar matchningar under Säkerhetskontroll av lösenord. Enligt anvisningarna behöver du vara inloggad i Edge för att använda funktionen.

Öppna Inställningar, gå till Lösenord och autofyll och vidare till Microsoft Password Manager för att hitta säkerhetskontrollen. Där kan du granska vilka sparade poster som flaggats. Byt lösenord på den berörda tjänstens egen webbplats eller i dess app; sidan som visar varningen är till för att identifiera inloggningen.

En sådan lista omfattar bara inloggningar som faktiskt finns sparade i den aktuella webbläsaren. Ett konto du använder på en annan enhet, eller vars lösenord aldrig sparats där, kan saknas. Kontrollera också om en gammal sparad post fortfarande motsvarar kontots nuvarande lösenord innan du räknar den som åtgärdad.

Vad en träff och ett tomt resultat betyder

En adressträff ger en plats att börja undersöka, medan en lösenordsträff gör själva strängen olämplig att fortsätta använda. En varning för en sparad inloggning är mer konkret: den visar vilken post du kan gå vidare från. Inget av resultaten ger på egen hand en fullständig lista över alla konton där du kan ha återanvänt lösenordet.

Ett tomt resultat betyder att uppgiften inte hittades i den datamängd som kontrollen använder. En läcka kan ännu vara okänd, eller aldrig bli tillgänglig för sökning. Behåll därför inte ett återanvänt lösenord enbart för att kontrollen inte gav en träff. Säkerhetsproblemet är att samma hemlighet öppnar flera konton om den någon gång blir känd.

Byt återanvända lösenord på alla berörda konton

Börja med flaggade konton och med e-postkontot som används för att återställa andra inloggningar. Fortsätt med bank, betalningar och konton som innehåller känsliga personuppgifter. Om samma lösenord används på fler ställen behöver det bytas på varje aktivt konto, även om bara ett av dem förekommer i en känd läcka.

1. Öppna den berörda tjänsten via din app, ett eget bokmärke eller en webbadress du själv skriver in. Byt lösenord i kontots säkerhetsinställningar.
2. Skapa ett nytt och unikt lösenord för det kontot. Spara det i en lösenordshanterare så att du inte behöver återanvända den gamla strängen eller en enkel variant av den.
3. Gå igenom andra konton där samma gamla lösenord kan finnas, även sådana som saknas i webbläsarens lista. Byt där också och uppdatera eventuella gamla sparade poster.
4. Aktivera tvåfaktorsinloggning där den erbjuds, särskilt för e-post och känsliga konton. Gör det utöver lösenordsbytet när ett lösenord har flaggats.

Om du inte minns var lösenordet har använts, gå igenom dina sparade inloggningar och de konton du fortfarande använder. Prioritera de konton som kan ge tillgång till andra tjänster eller ekonomiska uppgifter. Arbetet är klart först när det gamla lösenordet inte längre används på något aktivt konto du hittar.

Läs också:

• Lösenordsskydda en PDF – Mac gör det lokalt, webben kräver uppladdning
• Lysa eller global indexfond: 0,1 procentenhet har ett pris
• AI-agenter lade 13 000 interna bilder öppet – kontrollera personliga GitHub-konton