После того как сайт подвергается значительному нарушению данных, утекшие данные часто попадают в интернет. Существует несколько сайтов, которые собирают эти утекшие записи и позволяют вам проверить свой адрес электронной почты, чтобы узнать, находитесь ли вы в каком-либо из их списков. Firefox Monitor, Have I been pwned и DeHashed позволяют вам подписаться на мониторинг, где они уведомят вас, если ваш адрес электронной почты появится в каких-либо новых наборах данных. Полезно знать об этом как можно скорее, чтобы вы могли изменить пароли для затронутых аккаунтов. У Have I been pwned также есть уведомление на уровне домена, где вы можете получать оповещения, если какие-либо адреса электронной почты в рамках вашего домена появляются в списках (это полезно, если вы используете псевдонимы для анонимной пересылки).

Когда вы вводите свой пароль в общественных местах, убедитесь, что вы не находитесь на прямой видимости камеры видеонаблюдения и что никто не может видеть, что вы набираете через ваше плечо. Прикрывайте ваш пароль или ПИН-код во время ввода и не отображайте пароли в открытом виде на экране.

Утечки баз данных и нарушения безопасности являются обычным явлением, и вероятно, что некоторые из ваших паролей уже находятся где-то в интернете. Иногда обновление паролей для критически важных аккаунтов может помочь снизить эту угрозу. Но если все ваши пароли длинные, надежные и уникальные, то делать это слишком часто не нужно — раз в год будет достаточно. Принудительное изменение паролей в организациях больше не рекомендуется, так как это побуждает коллег выбирать более слабые пароли.

Большинство современных браузеров предлагают сохранять ваши учетные данные, когда вы входите на сайт. Не разрешайте это, так как они не всегда зашифрованы, что может позволить кому-то получить доступ к вашим аккаунтам. Вместо этого используйте специализированный менеджер паролей для хранения (и автоматического заполнения) ваших паролей.

Избегайте входа на компьютер других людей, так как вы не можете быть уверены в безопасности их системы. Особенно осторожно относитесь к общедоступным машинам, так как на них чаще встречаются вредоносные программы и слежка. Использование чужого устройства особенно опасно для критически важных аккаунтов, таких как онлайн-банкинг. При использовании чужого компьютера убедитесь, что вы находитесь в режиме приватного/инкогнито сеанса (используйте Ctrl+Shift+N/ Cmd+Shift+N). Это заставит браузер не сохранять ваши учетные данные, куки и историю просмотров.

Некоторые сайты позволяют устанавливать подсказки к паролям. Часто ответы на них легко угадать. В случаях, когда подсказки к паролям являются обязательными, используйте случайные ответы и записывайте их в менеджер паролей (Название первой школы: 6D-02-8B-!a-E8-8F-81).

Если сайт задает вопросы безопасности (например, место рождения, девичья фамилия матери или первая машина и т. д.), не предоставляйте настоящие ответы. Для хакеров тривиально получить эту информацию в интернете или через социальную инженерию. Вместо этого создайте вымышленный ответ и сохраните его в своем менеджере паролей. Использование настоящих слов лучше, чем случайных символов, объяснение здесь.

Не используйте короткий PIN-код для доступа к вашему смартфону или компьютеру. Вместо этого используйте текстовый пароль или гораздо более длинный PIN-код. Числовые парольные фразы легко взламываются (четырехзначный PIN-код имеет 10 000 комбинаций, в сравнении с 7,4 миллиона для четырехсимвольного буквенно-цифрового кода).

При включении двухфакторной аутентификации выбирайте коды, генерируемые приложениями, или аппаратные токены, если это поддерживается. SMS подвержены ряду распространенных угроз, таких как перехват SIM-карты и перехват данных. Также нет гарантий, как безопасно будет храниться ваш номер телефона или для чего еще он может быть использован. С практической точки зрения, SMS будут работать только тогда, когда у вас есть сигнал, и могут быть медленными. Если веб-сайт или сервис требует использование номера SMS для восстановления доступа, рассмотрите возможность покупки второго предоплаченного номера телефона, используемого только для восстановления доступа к аккаунтам в подобных случаях.