Большинство взломов аккаунтов начинается не с хитрых атак, а с простого: пароль был коротким, повторялся на нескольких сайтах или утёк вместе с базой какого-то сервиса. Хорошая новость в том, что защита от этого тоже простая. Разберём базовые правила, которые закрывают большую часть рисков и не требуют технических знаний.

Длина важнее сложности

Привычный совет «добавьте заглавную букву и восклицательный знак» работает хуже, чем кажется. Пароль Moscow2024! формально сложный, но предсказуемый: слово, год и знак в конце — первое, что пробуют программы подбора.

Гораздо сильнее влияет длина. Каждый дополнительный символ многократно увеличивает число вариантов, которые придётся перебрать. Поэтому:

Такие ориентиры приводятся и на странице генератора паролей sites.reviews. Генератор создаёт пароль прямо в браузере через встроенный криптографический API — сам пароль на сервер не отправляется.

Чего избегать

Уникальный пароль на каждом сайте

Это самое важное правило в статье. Базы паролей утекают регулярно, причём часто — у небольших сервисов, которые вы давно забыли. Злоумышленники берут пары «почта — пароль» из таких утечек и автоматически пробуют их на сотнях других сайтов. Атака называется credential stuffing.

Если пароль везде одинаковый, утечка на форуме, где вы регистрировались пять лет назад, открывает доступ к почте. А через почту — ко всему остальному: восстановление пароля почти везде идёт через неё.

Один сайт — один пароль. Тогда утечка где угодно остаётся проблемой одного аккаунта, а не всех сразу.

Менеджер паролей: как перестать запоминать

Запомнить десятки длинных уникальных паролей невозможно, и не нужно. Для этого существуют менеджеры паролей. Они хранят пароли в зашифрованном виде и подставляют их на сайтах сами. Помнить нужно только один мастер-пароль.

Менеджеры бывают разные: встроенные в браузер или операционную систему, отдельные приложения с синхронизацией между устройствами, локальные программы, которые хранят базу только у вас.

Как выбрать менеджер

Тип Плюсы О чём подумать
Встроенный в браузер Уже установлен, ничего настраивать Привязан к одному браузеру и его аккаунту
Встроенный в систему телефона Удобно на телефоне, работает с приложениями Сложнее на устройствах другой системы
Отдельное приложение с облаком Синхронизация везде, общий доступ для семьи или команды Нужно доверять разработчику и его защите
Локальная программа База только у вас Резервные копии и синхронизацию придётся делать самим

При выборе отдельного менеджера посмотрите, открыт ли его исходный код, проходил ли он независимый аудит и что пишут пользователи. Двух кандидатов удобно положить рядом на странице сравнения компаний и посмотреть, что пишут о них пользователи.

Как перейти на менеджер без стресса

Не нужно менять все пароли за один вечер. Начните с малого: установите менеджер, придумайте длинный мастер-пароль и сохраните в нём пароли от почты и платёжных сервисов, сразу заменив их на новые сгенерированные. Дальше добавляйте аккаунты по мере того, как заходите в них: зашли на сайт — сохранили и заодно сменили пароль на уникальный. Через месяц-два большая часть аккаунтов окажется в менеджере сама собой. Мастер-пароль запишите на бумаге и храните дома в надёжном месте, пока не запомните.

Двухфакторная защита: второй замок

Даже идеальный пароль может утечь. Двухфакторная аутентификация добавляет второй шаг: кроме пароля нужен код из приложения, SMS или физический ключ. Тогда одного пароля злоумышленнику мало.

Включите её в первую очередь там, где потеря аккаунта стоит дороже всего:

  1. Почта — через неё восстанавливаются все остальные аккаунты.
  2. Платёжные сервисы и карты — прямой доступ к деньгам.
  3. Мессенджеры. В Telegram защита включается в разделе «Конфиденциальность» — пункт называется «Облачный пароль» или «Двухэтапная аутентификация», в зависимости от версии приложения. После этого одного номера телефона для входа уже недостаточно.
  4. Облачные хранилища — там лежат документы и фотографии.
  5. Аккаунты, к которым привязаны рабочие сервисы — реклама, хостинг, домены.

Приложение-генератор кодов надёжнее SMS: сообщения можно перехватить при подмене SIM-карты. Сохраните резервные коды восстановления в менеджере паролей или распечатайте — они понадобятся, если телефон потеряется.

Схема: пароль + второй фактор = вход; утёкший пароль без второго фактора = отказ

Что делать после утечки

Если сервис сообщил об утечке или вы заметили подозрительный вход, действуйте по порядку:

  1. Смените пароль в пострадавшем сервисе.
  2. Смените его везде, где он повторялся, — это главное.
  3. Завершите все активные сеансы на других устройствах в настройках аккаунта.
  4. Включите двухфакторную защиту, если её не было.
  5. Проверьте настройки почты: не появились ли чужие правила пересылки или резервный адрес.
  6. Будьте внимательны к письмам «от компании» в ближайшие недели — после утечек часто приходит фишинг.

Отдельно о письмах: прежде чем переходить по ссылке «сбросить пароль», убедитесь, что вы на настоящем сайте. Признаки поддельных сайтов собраны в статье журнала «Как распознать сайт-мошенник», а адрес можно проверить через проверку сайта.

Ключи доступа вместо паролей

Всё больше сервисов поддерживают вход по ключу доступа — passkey. Вместо пароля вы подтверждаете вход так же, как разблокируете телефон или компьютер: отпечатком, лицом или PIN-кодом. Такой ключ привязан к конкретному сайту, поэтому его нельзя ввести на поддельной странице. Ключи доступа поддерживает и Telegram. Если сервис предлагает такой вход, им стоит воспользоваться — но резервный способ входа и коды восстановления всё равно сохраните.

Не забудьте про пароли, которые хранятся у других людей: общий аккаунт стримингового сервиса, доступ к семейному облаку, пароль от Wi-Fi. Если кто-то из тех, кому вы давали доступ, больше не должен им пользоваться, смените пароль и выйдите из аккаунта на всех устройствах.

Что попробовать