Po poważnym naruszeniu bezpieczeństwa danych w witrynie internetowej, wyciekające dane często trafiają do Internetu. Kilka witryn internetowych gromadzi te wyciekające dane i umożliwia wyszukiwanie adresu e-mail w celu sprawdzenia, czy znajduje się on na którejś z ich list. Firefox Monitor, Have I Been Pwned umożliwiają rejestrację w celu monitorowania, a następnie powiadamiają użytkownika, jeśli jego adres e-mail pojawi się w nowych zestawach danych. Warto jak najszybciej dowiedzieć się o takim zdarzeniu, aby móc zmienić hasła do kont, których dotyczy wyciek. Have I Been Pwned oferuje również powiadomienia dla całej domeny, dzięki czemu można otrzymywać alerty, jeśli pojawią się jakiekolwiek adresy e-mail z całej domeny (przydatne, jeśli używasz aliasów do anonimowego przekazywania wiadomości).

Podczas wpisywania hasła w miejscach publicznych upewnij się, że nie znajdujesz się w bezpośrednim zasięgu wzroku kamery i że nikt nie może zajrzeć Ci przez ramię. Zakryj hasło lub kod PIN podczas wpisywania i nie ujawniaj żadnych haseł w postaci zwykłego tekstu na ekranie.

Wycieki i naruszenia baz danych są powszechne i prawdopodobnie kilka z Twoich haseł już gdzieś w sieci się znalazło. Okazjonalna aktualizacja haseł do kont o kluczowym znaczeniu dla bezpieczeństwa może pomóc w ograniczeniu tego ryzyka. Jednak pod warunkiem, że wszystkie Twoje hasła są długie, silne i unikalne, nie ma potrzeby robić tego zbyt często — wystarczy raz w roku. Wymuszanie obowiązkowej zmiany haseł nie jest już zalecane, ponieważ zachęca to współpracowników do wybierania słabszych haseł.

Większość nowoczesnych przeglądarek oferuje zapisanie danych logowania podczas logowania się do witryny. Nie należy na to pozwalać, ponieważ dane te nie zawsze są szyfrowane i mogą umożliwić komuś uzyskanie dostępu do kont użytkownika. Zamiast tego należy używać dedykowanego menedżera haseł do przechowywania (i automatycznego wypełniania) haseł.

Unikaj logowania się na komputerach innych osób, ponieważ nie masz pewności, czy ich system jest czysty. Szczególną ostrożność należy zachować w przypadku komputerów publicznych, ponieważ złośliwe oprogramowanie i śledzenie są tam bardziej powszechne. Korzystanie z cudzego urządzenia jest szczególnie niebezpieczne w przypadku kont o krytycznym znaczeniu, takich jak bankowość internetowa. Korzystając z cudzego komputera, upewnij się, że sesja jest prywatna/incognito (użyj Ctrl+Shift+N/ Cmd+Shift+N). Spowoduje to, że przeglądarka nie będzie zapisywać Twoich danych logowania, plików cookie i historii przeglądania.

Niektóre strony umożliwiają ustawienie podpowiedzi do hasła. Często odpowiedzi są bardzo łatwe do odgadnięcia. W przypadkach, gdy podpowiedzi do hasła są obowiązkowe, należy używać losowych odpowiedzi i zapisywać je w menedżerze haseł (nazwa pierwszej szkoły: 6D-02-8B-!a-E8-8F-81).

Jeśli strona zadaje pytania zabezpieczające (takie jak miejsce urodzenia, nazwisko panieńskie matki lub pierwszy samochód itp.), nie podawaj prawdziwych odpowiedzi. Dla hakerów zdobycie tych informacji w Internecie lub poprzez socjotechnikę jest bardzo łatwe. Zamiast tego wymyśl fikcyjną odpowiedź i zapisz ją w menedżerze haseł. Używanie prawdziwych słów jest lepszym rozwiązaniem niż losowe znaki.

Nie używaj krótkiego kodu PIN do uzyskania dostępu do smartfona lub komputera. Zamiast tego używaj hasła tekstowego lub znacznie dłuższego kodu PIN. Hasła numeryczne są łatwe do złamania (4-cyfrowy kod PIN ma 10 000 kombinacji, w porównaniu do 7,4 miliona kombinacji dla 4-znakowego kodu alfanumerycznego).

Włączając uwierzytelnianie wieloskładnikowe, wybierz kody oparte na aplikacji lub token sprzętowy, jeśli jest obsługiwany. SMS-y są podatne na kilka typowych zagrożeń, takich jak zamiana karty SIM i przechwycenie. Nie ma również gwarancji, że numer telefonu będzie przechowywany w bezpieczny sposób ani do czego jeszcze zostanie wykorzystany. Z praktycznego punktu widzenia SMS-y działają tylko wtedy, gdy masz zasięg i mogą być powolne. Jeśli strona internetowa lub usługa wymaga użycia numeru SMS do odzyskania dostępu, rozważ zakup drugiego numeru telefonu na kartę, który będzie używany wyłącznie do odzyskiwania dostępu do konta w takich przypadkach.