Czy Twoje hasło lub e-mail wyciekły? Jak to sprawdzić i co zrobić

10 lipca 2026 · 4 min czytania · zaktualizowano 29 września 2026

Wycieki danych z włamań do sklepów, forów i serwisów zdarzają się regularnie, a bazy z adresami e-mail i hasłami krążą potem po internecie. Jeśli Twoje hasło jest w takiej bazie, każde konto, na którym go używasz, jest realnie zagrożone. Dobra wiadomość: możesz to sprawdzić w kilka sekund, nie ujawniając samego hasła. Poniżej wyjaśniamy, jak działa sprawdzanie i co zrobić, jeśli wynik jest zły.

Dlaczego wyciek z jednego serwisu zagraża innym kontom

Atakujący rzadko „łamią” hasła. Częściej biorą pary e-mail i hasło z wycieku i automatycznie próbują zalogować się nimi w setkach innych serwisów: poczcie, bankowości, sklepach, mediach społecznościowych. To tzw. credential stuffing. Jeśli używasz tego samego hasła w kilku miejscach, wyciek z mało ważnego forum może otworzyć dostęp do Twojej poczty, a przez nią do resetowania haseł w kolejnych serwisach.

Jak bezpiecznie sprawdzić hasło

Nasz tester wycieku hasła korzysta z bazy Have I Been Pwned (HIBP), jednego z największych publicznych zbiorów haseł z wycieków. Sprawdzenie odbywa się techniką k-anonimizacji:

Twoja przeglądarka liczy skrót (hash SHA-1) hasła.
Do bazy wysyła tylko pierwsze 5 znaków tego skrótu.
W odpowiedzi dostaje listę setek skrótów zaczynających się tak samo, a porównanie odbywa się już lokalnie, w Twojej przeglądarce.

Dzięki temu ani mojeip.io, ani HIBP nie poznają Twojego hasła ani nawet jego pełnego skrótu, a Ty i tak dowiesz się, czy jest w wyciekach.

Jak czytać wynik? Hasło w bazie oznacza, że ktoś kiedyś go użył, a ono wyciekło z jakiegoś serwisu. Nie musi to być Twoje konto. Takie hasło trafia jednak na listy, od których atakujący zaczynają próby, więc nie powinno być używane nigdzie.

Jak sprawdzić adres e-mail

W tym samym narzędziu możesz sprawdzić, czy Twój adres e-mail pojawił się w znanych wyciekach i w których serwisach. Tu działa to inaczej niż przy haśle: adres e-mail wysyłamy do HIBP, bo inaczej nie dałoby się go wyszukać. Nie zapisujemy go, a HIBP zwraca tylko nazwy wycieków, w których występuje.

Wynik pokazuje, z których serwisów pochodzą wycieki. To ważne, bo mówi, jakie dane mogły wyciec razem z adresem (hasło, telefon, adres zamieszkania).

Hasło jest w bazie wycieków - co teraz?

Zmień je natychmiast wszędzie, gdzie było używane. Zacznij od poczty e-mail (przez nią można zresetować inne hasła) i bankowości.
Ustaw inne hasło do każdego konta. Najprościej z menedżerem haseł i generatorem haseł.
Włącz uwierzytelnianie dwuskładnikowe (2FA) tam, gdzie to możliwe, zwłaszcza w poczcie. Nawet znane hasło nie wystarczy wtedy do zalogowania.
Sprawdź aktywne sesje i urządzenia w ustawieniach ważnych kont i wyloguj nieznane.

E-mail jest w wycieku - co teraz?

Sprawdź, co wyciekło z danego serwisu (opis wycieku w HIBP). Jeśli było tam hasło, postępuj jak wyżej.
Spodziewaj się phishingu. Wyciekły adres często dostaje potem wiadomości podszywające się pod bank, kuriera lub ten sam serwis. Jak rozpoznać fałszywą wiadomość, pokazujemy w poradniku Phishing: jak rozpoznać fałszywy e-mail i SMS.
Jeśli wyciekły dane osobowe (PESEL, numer dowodu, adres), zastrzeż swój numer PESEL w aplikacji mObywatel, na stronie mObywatel.gov.pl lub w urzędzie gminy. Od 1 czerwca 2024 r. banki, firmy pożyczkowe, notariusze i operatorzy telekomunikacyjni muszą sprawdzać to zastrzeżenie przed zawarciem wybranych umów, co utrudnia wzięcie kredytu na Twoje dane.
Zgłoś incydent lub próbę oszustwa do CERT Polska przez formularz na incydent.cert.pl, a podejrzane SMS-y przekaż na bezpłatny numer 8080.

Jak ograniczyć skutki przyszłych wycieków

Bezpieczne hasło jest przede wszystkim długie i unikalne dla każdego konta, a menedżer haseł zapamięta je za Ciebie. Wszystko o tworzeniu haseł i wyborze 2FA znajdziesz w poradniku jak stworzyć silne hasło.

Najczęstsze pytania

Czy wpisywanie hasła do sprawdzarki jest bezpieczne?

W przypadku naszego testera tak: hasło nie opuszcza przeglądarki, a wysyłane są tylko pierwsze znaki jego skrótu. Ostrożnie natomiast z serwisami, które nie wyjaśniają, jak sprawdzają hasło.

Moje hasło jest w bazie, ale nie mam konta w żadnym serwisie, z którego były wycieki. Jak to możliwe?

Baza haseł nie jest powiązana z kontami. Znalezienie hasła oznacza, że ktoś inny użył takiego samego. Popularne hasła występują w bazie tysiące razy. Takiego hasła i tak nie należy używać.

Czy muszę regularnie zmieniać hasła?

Nie, jeśli są długie, unikalne i nie wyciekły. Aktualne wytyczne amerykańskiego instytutu NIST wprost odradzają wymuszanie okresowych zmian - hasło zmienia się wtedy, gdy są dowody, że wyciekło.