Datalæk: Din digitale identitet er på gaden. Hvad nu?

Klokken er 07:14 en tirsdag morgen. Du scroller gennem din indbakke med den ene hånd og holder kaffekoppen med den anden. Så ser du mailen: "Dine oplysninger kan være kompromitteret i et sikkerhedsbrud." Kaffen smager pludselig af ingenting.

Inden for de næste 72 timer vil dine data – dit navn, din e-mail, måske dit CPR-nummer eller dine kortoplysninger – blive sorteret, pakket og sat til salg i darkweb-fora, hvor prisen på en komplet dansk identitet ligger mellem 150 og 800 kroner. Køberen er ikke nysgerrig. Køberen har en plan.

Det her handler ikke om, hvorvidt du har gjort noget forkert. Det har du ikke. Men fra det øjeblik lækket sker, er det dit kapløb mod uret.

De første 60 minutter er afgørende

Datalæk følger et deprimerende forudsigeligt mønster: Virksomheden opdager bruddet uger eller måneder efter det skete. Du får besked endnu senere. Og i mellemtiden har kriminelle haft fri adgang til at teste dine credentials på hundredvis af tjenester, automatiseret, systematisk og i et tempo, ingen mennesker kan matche manuelt.

Din opgave er at gøre deres arbejde så besværligt som muligt, så hurtigt som muligt.

1. Lås hoveddøren: Slå 2-faktor-godkendelse til, nu

Ikke i morgen. Ikke efter aftensmaden. Nu.

2FA er den ene ting, der gør forskellen mellem "hackeren har dit kodeord" og "hackeren har dit kodeord, men kan ikke bruge det." Selv det mest avancerede password-angreb bliver meningsløst, når der kræves en engangskode fra din telefon.

Start med de tre konti, der gør mest skade, hvis de kompromitteres:

• Din primære e-mail. Den er nøglen til alt andet, nulstilling af kodeord på alle andre tjenester går igennem den.

• Din netbank og MobilePay. Direkte adgang til dine penge.

• Dit MitID. Gatewayen til det offentlige Danmark og din juridiske identitet.

Brug en autentificerings-app (Google Authenticator, Microsoft Authenticator) frem for SMS. SMS-koder kan opsnappes. App-baserede koder kan ikke.

2. Find ud af, hvad der rent faktisk er lækket

Panik uden overblik er spildt energi. Du skal vide præcis, hvilke datapunkter der er eksponeret, for at prioritere din indsats.

Er det kun din e-mail? Så er risikoen primært phishing og credential stuffing. Er dit CPR-nummer med i lækket? Så taler vi om potentielt identitetstyveri, og det kræver en helt anden respons. Er det kortoplysninger? Ring til din bank inden for den næste time.

Sund-ID giver dig et komplet og øjeblikkeligt overblik over, hvad der er lækket, hvorfra, og hvornår, uden at du selv skal fumle rundt på tvivlsomme "check din e-mail"-sider.

3. Scan dine enheder, før du ændrer noget som helst

Her begår de fleste en kritisk fejl: De skynder sig at skifte kodeord, fra en computer, der muligvis allerede er inficeret med en keylogger.

Hvis lækket skyldes malware på din enhed, sender du simpelthen dine nye kodeord direkte til den samme angriber, du prøver at lukke ude.

Kør en fuld malware-scanning på din computer, telefon og tablet, før du taster et eneste nyt kodeord. Windows Defender er fint som udgangspunkt, men overvej Malwarebytes til en grundigere scanning. På telefonen: Tjek dine installerede apps for noget, du ikke genkender, og fjern det.

4. Skift kodeord, men gør det rigtigt

Lad os være ærlige: De fleste af os har genbrugt kodeord. Hackere ved det. Det er hele forretningsmodellen bag credential stuffing, de tager én lækket e-mail/kodeord-kombination og prøver den automatisk mod Netflix, Spotify, Facebook, Gmail, Apple, Amazon og hundredvis af andre tjenester. Inden for minutter.

Dét er grunden til, at du ikke bare skal skifte ét kodeord, men alle kodeord, der deler den lækkede e-mailadresse. Prioritér efter risiko:

1. E-mail og cloud-tjenester (Gmail, Outlook, iCloud)

2. Finansielle tjenester (netbank, PayPal, MobilePay, krypto-exchanges)

3. Offentlige tjenester (Borger.dk, Sundhed.dk, eBoks)

4. Shopping og abonnementer (Amazon, Nemlig, Zalando, overalt, hvor der er gemt betalingskort)

5. Sociale medier (Facebook, Instagram, LinkedIn)

Hvert nyt kodeord skal være unikt og mindst 16 tegn langt. Brug en password manager (1Password, Bitwarden) det er den eneste realistiske måde at håndtere unikke kodeord på tværs af 50-100 tjenester.

5. Forvent at blive manipuleret

Dette er måske det vigtigste punkt. Når hackere får fat i lækkede data, bruger de dem ofte til målrettet manipulation. Når vi skal finde en god håndværker, tjekker vi automatisk Trustpilot, men i en presset situation glemmer mange deres kritiske sans.

Du modtager måske et opkald fra "Nets" eller "Mastercard", der fortæller, at der er registreret en mistænkelig transaktion på dit kort. Personen i telefonen kender dit fulde navn, din adresse og de sidste fire cifre af dit kortnummer, alt sammen fra lækket. De beder dig "bekræfte din identitet" ved at godkende en MitID-anmodning. Gør du det, har du netop autoriseret en overførsel til deres konto.

Sådan mister helt almindelige, fornuftige danskere deres opsparing. Ikke fordi de er naive, men fordi angriberne er exceptionelt dygtige til at udnytte tillid og tidspres.

Tre regler de næste tre måneder:

• Ingen giver dig information ved at bede om den. Din bank ringer aldrig for at bede dig bekræfte med MitID. Aldrig. Læg på og ring selv til det officielle nummer.

• Ethvert link i en mail er skyldigt, indtil det modsatte er bevist. Gå selv direkte til hjemmesiden i stedet for at klikke.

• Tidspres er altid en rød alarm. "Du skal handle inden for 24 timer" er hackerens yndlingssætning, ikke bankens.

Oprydning er godt. Forebyggelse er bedre.

Du kan gøre alt det ovenstående perfekt, og det bør du, men du kan ikke manuelt overvåge, om dine data dukker op i næste uges læk. Det næste databrud er ikke et spørgsmål om "hvis" men "hvornår", og oftest går der måneder, før det offentliggøres. I den periode er dine data i frit fald, uden at du aner det.

Det er præcis det problem, Sundfornufts ID-skjold løser.

Realtidsovervågning, der faktisk virker. Vi scanner kontinuerligt databaser, darkweb-markedspladser og hackerfora for dine oplysninger; e-mail, CPR-nummer, telefonnummer, kortnumre, pasnummer. Dukker noget op, får du besked med det samme. Ikke om tre måneder, når virksomheden endelig offentliggør bruddet. Nu.

Professionel krisehåndtering, når det tæller. Bliver dine data misbrugt, står du ikke alene med en Google-søgning og koldsved. Vores eksperter tager over; lukker ned, rydder op og genskaber kontrollen over din identitet.

Ro i maven, 24/7. Du skal ikke længere ligge søvnløs og spekulere på, om dit CPR-nummer ligger til salg et sted, du aldrig ville vide eksisterede. Det er vores job at vide det. Dit job er at leve dit liv.

Datalæk stopper ikke. Men konsekvenserne behøver ikke ramme dig.