Почему пароли взламывают
Чаще всего пароль не «угадывают», а подбирают программой или берут из утечки. Злоумышленникам помогают три вещи:
- Короткие и простые пароли. Комбинации вроде 123456, qwerty или имени с годом рождения перебираются за секунды — с них подбор и начинается.
- Утечки баз данных. Когда взламывают какой-нибудь сервис, логины и пароли его пользователей попадают в открытый доступ.
- Один пароль на всё. Если пароль утёк с одного сайта, его сразу пробуют на почте, в соцсетях и банках. Этот приём так и называют — «подстановка учётных данных».
Каким должен быть надёжный пароль
Главное в пароле — длина. Каждый лишний символ увеличивает число вариантов в десятки раз, поэтому 16 случайных символов намного надёжнее 8, даже самых «хитрых».
- Не короче 12 символов, а лучше 16 и больше.
- Разные типы символов: строчные и заглавные буквы, цифры и спецсимволы.
- Никаких личных данных: имени, даты рождения, клички питомца, номера телефона.
- Свой пароль для каждого сервиса — тогда утечка на одном сайте не откроет остальные.
Имя и год рождения — первое, что пробуют при подборе.
16 случайных символов разных типов.
Сколько займёт подбор пароля перебором в зависимости от длины и набора символов:
| Длина | только цифры | строчные буквы | строчные и заглавные | буквы, цифры и символы |
|---|---|---|---|---|
| 6 | мгновенно | мгновенно | мгновенно | 21 секунда |
| 8 | мгновенно | 10 секунд | 44 минуты | 1 день |
| 10 | мгновенно | 1 час | 83 дня | 39 лет |
| 12 | 49 секунд | 55 дней | 619 лет | 298 тысяч лет |
| 14 | 1 час | 102 года | 1 миллион лет | 2 миллиарда лет |
| 16 | 5 дней | 69 тысяч лет | 4 миллиарда лет | дольше возраста Вселенной |
| 20 | 158 лет | дольше возраста Вселенной | дольше возраста Вселенной | дольше возраста Вселенной |
Если нужен пароль, который легко запомнить, используйте парольную фразу — 4–5 случайных слов, например «вишня-трамвай-облако-пятница». Она длинная, поэтому надёжная, и запомнить её проще, чем набор символов.
Где хранить пароли
Запомнить десятки уникальных паролей невозможно — и не нужно. Для этого есть менеджеры паролей: они хранят все пароли в зашифрованном виде, сами подставляют их на сайтах и создают новые. Вам остаётся помнить один главный пароль.
- Не храните пароли в заметках, переписке с собой, на скриншотах и стикерах.
- Не сохраняйте пароли в браузере на чужих и общих компьютерах.
- Главный пароль от менеджера сделайте самым длинным — это ключ ко всем остальным.
Двухфакторная аутентификация
Двухфакторная аутентификация — это второй замок: кроме пароля, при входе нужен одноразовый код. Даже если пароль украдут, без кода войти не получится.
- Включите её в первую очередь для почты, банков, маркетплейсов и соцсетей — через почту восстанавливают доступ ко всему остальному.
- Приложение-аутентификатор надёжнее SMS: коды создаются прямо на телефоне, и их нельзя перехватить при перевыпуске сим-карты.
- Сохраните резервные коды в надёжном месте — они понадобятся, если вы потеряете телефон.
Как распознать фишинг
Фишинг — это поддельные письма, сообщения и сайты, которые выманивают пароли, коды и данные карт. Подделки бывают очень правдоподобными, поэтому обращайте внимание на признаки:
- Срочность и угрозы: «аккаунт заблокируют через час», «подтвердите платёж прямо сейчас».
- Странный адрес сайта — лишняя буква, другой домен, длинная ссылка вместо привычного адреса.
- Просьба назвать код из SMS или пароль. Настоящие банки и сервисы никогда не спрашивают их по телефону или в переписке.
- Слишком выгодное предложение — выигрыш, огромная скидка, «компенсация».
Безопасность в публичном Wi-Fi
Открытые сети в кафе, аэропортах и отелях удобны, но рискованны: данные в них можно перехватить, а злоумышленники иногда создают поддельные точки доступа с похожими названиями.
- Уточните у сотрудников точное название сети и не подключайтесь к похожим.
- Отключите автоматическое подключение к открытым сетям.
- Проверяйте, что адрес сайта начинается с https и рядом есть значок замка.
- Не вводите данные карты и пароли от банка в открытых сетях без защищённого соединения.
Обновления и защита устройств
Обновления закрывают уязвимости, через которые взламывают телефоны и компьютеры. Чем дольше устройство не обновлялось, тем больше известных «дыр» в нём остаётся.
- Включите автоматические обновления системы, браузера и приложений.
- Устанавливайте приложения только из официальных магазинов.
- Поставьте блокировку экрана — код, отпечаток пальца или распознавание лица.
- Не давайте приложениям лишних разрешений: фонарику не нужен доступ к контактам.
Что делать, если пароль утёк
Если сервис сообщил об утечке или в аккаунте появились чужие действия, действуйте сразу:
- Смените пароль на этом сайте и везде, где использовали такой же.
- Включите двухфакторную аутентификацию, если её ещё нет.
- Завершите все активные сеансы в настройках аккаунта.
- Проверьте почту: не добавлены ли пересылка писем или чужой резервный адрес.
- Если в аккаунте была привязана карта, проверьте операции и при необходимости перевыпустите её.
Менять пароли «по расписанию», без повода, не обязательно: современные рекомендации советуют делать это после утечки или подозрительной активности, а в остальное время — просто использовать длинные уникальные пароли.
Чек-лист: 10 правил безопасного интернета
- Пароль не короче 12–16 символов
- Свой пароль для каждого сервиса
- Пароли хранятся в менеджере паролей
- Двухфакторная аутентификация на почте и в банке
- Коды из SMS никому не сообщаются
- Ссылки из писем не открываются — только сайт напрямую
- В публичном Wi-Fi — только защищённое соединение
- Система и приложения обновляются автоматически
- Приложения — только из официальных магазинов
- После утечки пароль меняется сразу и везде