¿Qué puedo hacer si descubro que mi hash de contraseña se ha filtrado en pastebin?

La primera regla es limpiar su acto: use un administrador de contraseñas y tenga una contraseña única , larga y aleatoria para CADA y TODOS sus servicios importantes (correo electrónico, google, etc.) y cambie todas sus contraseñas.

Luego, compruebe si se han realizado algunas transacciones misteriosas en sus cuentas (no específicamente en cuentas bancarias, tenga en cuenta: cualquier cosa a la que se pueda acceder mediante el correo electrónico comprometido). Eso debería darle una buena indicación de si se realizó el posible riesgo de ser violado.

Finalmente, tome cada cuenta posiblemente comprometida y piense cómo podría llevar a un problema continuo: ¿podría usarse alguna información extraída de esa cuenta en el futuro? Si es así, ¿hay alguna acción que pueda tomar para reducir las consecuencias? ¿El riesgo que corres vale el precio que vas a pagar para mitigarlo? Si no puedes mitigarlo, ¿puedes asegurarlo? ¿Vale la pena asegurarlo?

@Stephane hace buenos puntos en su respuesta.

Además de esos puntos, también debe habilitar la autenticación de dos factores donde sea que se admita, y especialmente para sus cuentas de correo electrónico y para lugares donde podría haber almacenado información de pago.

En cuanto a las cuentas fuera de alcance, puede obtener información sobre algunas de ellas consultando las cookies de su navegador o las contraseñas guardadas de su navegador. Todos los navegadores modernos tienen opciones similares. Si lo tiene habilitado, Chrome puede sincronizar las contraseñas en línea para que pueda buscarlas y, si está en Windows, IE usa el Administrador de credenciales, accesible desde el panel de control.

Todo lo que puede hacer es cambiar las contraseñas y verificar que no haya tenido lugar una actividad inusual. Incluso si logras descubrir qué sitio filtró el hash, no hay nada que puedan hacer ahora. Tenga en cuenta que:

1. Puede tomar meses entre la filtración y el momento en que alguien rompe su hash de contraseña e intenta atacar. Observar que no hay actividad inusual no significa que esté seguro, las contraseñas aún deben ser cambiadas.
2. Incluso si su contraseña está asociada con un inicio de sesión en particular (correo electrónico), no es seguro usar con ningún inicio de sesión a partir de ahora. Una vez que se revele su contraseña, se agregará a las listas de contraseñas que pueden usarse en ataques en cualquier sitio en el futuro. Los piratas informáticos hacen esto porque muchas personas tienden a reutilizar las contraseñas.

Hashear sus contraseñas y tratar de encontrar el hash en línea es una prueba inútil, ya que no sabe qué sal se usó cuando su contraseña fue hash.

Le prestaría especial atención a los servicios financieros. p.ej. Cualquier facilidad bancaria o método de pago. Recomiendo obtener una nueva tarjeta de crédito / débito si alguna vez ha utilizado una en línea, ya que no parece saber exactamente qué cuentas o servicios ha utilizado.