Забудьте о «123456»: как защитить свои данные от взлома

Компания в сфере кибербезопасности NordPass ежегодно публикует статистику самых распространенных паролей, анализируя утечки баз данных из 44 стран; свежий отчет вышел в 2024 году. Эксперты также подсчитали, сколько раз встречалась каждая комбинация. Вот как выглядит топ-25 этого антирейтинга:

При взгляде на этот список сразу бросается в глаза то, что подавляющее большинство комбинаций состоит из символов, расположенных подряд на клавиатуре. С точки зрения безопасности это катастрофическая привычка — и практически гарантированный способ подарить свои личные данные злоумышленникам.

Пароли, состоящие из распространенных существительных и фраз, формально надежнее, но ненамного. Хакеры проверяют их в первую очередь. Более того, у взломщиков есть автоматизированные скрипты, которые методом полного перебора (brute-force) проверяют весь список самых популярных паролей за считаные секунды.

Чуть ниже в рейтинге можно найти простые названия животных или фантастических существ: monkey («обезьяна»), dragon («дракон») и unicorn («единорог»). Популярностью пользуются и названия видов спорта: baseball, football и soccer. В топ-100 регулярно попадают и популярные имена, написанные строчными буквами — например, ashley и michael.

Помимо очевидных слов и цифр, люди склонны вставлять в пароли персональные данные: части собственных имен, город проживания или рождения, а также дату или год рождения.

Всего этого следует категорически избегать: подобные сведения легко выманиваются с помощью фишинга или соцсетей, а иногда их может угадать даже кто-то из ваших знакомых.

Худшие и самые уязвимые пароли объединяет несколько черт: последовательность знаков по клавиатурной раскладке, цифровой или алфавитный порядок, а также использование исключительно строчных букв.

Отсюда главный вывод: чтобы создать надежный пароль, откажитесь от всех этих шаблонов. Забудьте о словарных словах, узнаваемых выражениях и любой личной информации.

1. Используйте сложные пароли

Главный способ защитить аккаунт — перейти на по-настоящему сложные пароли. Это значит, что они должны быть длинными, не содержать предсказуемых фраз и включать комбинацию разных символов: строчные и прописные буквы, цифры и знаки препинания.

Если развить эту логику, станет ясно: самый надежный пароль — это вообще не тот, который придумал человек, а случайно сгенерированная последовательность. Браузеры вроде Chrome умеют автоматически генерировать стойкие пароли, да и специализированных приложений для этих целей более чем достаточно.

Случайный набор символов делает практически невозможным угадывание или подбор перебором. Единственный минус — такой пароль крайне сложно запомнить, поэтому его нужно где-то надежно сохранять.

2. Включите двухфакторную аутентификацию

Для важных сервисов вроде онлайн-банкинга или основной почты необходимо обязательно активировать двухфакторную аутентификацию (2FA). Она запрещает вход до тех пор, пока вы не подтвердите свою личность: кодом из СМС, ссылкой из письма на запасной адрес или одноразовым кодом из приложения-аутентификатора.

Двухфакторная защита повышает безопасность в геометрической прогрессии: даже если хакер украдет пароль, он все равно не сможет войти, не имея физического доступа к вашему смартфону или второму почтовому ящику.

Да, процедура входа занимает чуть больше времени, но сохранность критически важных данных определенно стоит этих пары секунд.

3. Никогда не используйте один и тот же пароль дважды

Хуже примитивных паролей может быть только привычка дублировать один и тот же пароль во всех сервисах. Логика предельно проста: если злоумышленник раздобудет ваш пароль (например, купит слитую базу в даркнете), он сразу же попробует открыть им все остальные ваши аккаунты с помощью атаки, известной как подстановка учетных данных (credential stuffing).

При такой атаке хакер запускает скрипт, который автоматически подставляет связку логина и пароля на сотнях популярных сайтов. Процент успеха для каждой отдельной попытки невелик, но метод чрезвычайно популярен из-за простоты автоматизации.

Если для каждого аккаунта у вас уникальный пароль, вероятность пострадать от подобной атаки равна нулю.

4. Наведите порядок с помощью менеджера паролей

Но если пароли должны быть случайными и везде уникальными, как вообще удержать все это в голове?

Здесь на помощь приходят менеджеры паролей. Они снимают с человека обязанность помнить сотни сложных комбинаций, запирая их все за одним-единственным мастер-паролем.

В большинстве современных браузеров уже есть встроенные менеджеры паролей. Это очень удобно: они привязывают записи к вашей учетной записи, умеют автоматически заполнять поля форм и переносят все данные на новое устройство, стоит лишь авторизоваться в браузере.

Однако если вы стремитесь к максимальной безопасности, лучше выбрать менеджер без выхода в сеть. Самые защищенные хранилища держат базу только локально на вашем компьютере и ни при каких условиях не отправляют ее на облачные серверы. Существуют даже аппаратные менеджеры паролей — отдельные карманные устройства вроде калькуляторов, физически изолированные от интернета.

При использовании зашифрованного менеджера паролей критически важно не забыть мастер-пароль: восстановить его будет невозможно, и доступ ко всем сервисам пропадет. На всякий случай главный пароль можно записать на бумаге. Но хранить эту записку нужно подальше от компьютера, в недоступном для посторонних месте — в идеале под настоящим замком.