Как на самом деле утекают пароли: реальные угрозы вместо мифов

Вы получили письмо: «Ваш пароль от Facebook был скомпрометирован». Вы уверены, что этот пароль сильный — вы же слышали про «128-битное шифрование». Значит, кто-то его взломал? На самом деле вероятность намного меньше. В реальности утечки паролей почти никогда не происходят так, как мы себе это представляем. Давайте разберёмся, откуда на самом деле берутся компрометированные учётные данные.

Когда компания хранит ваш пароль, она использует математическую функцию, которая превращает его в длинную непонятную строку символов — её называют хешем (хеш-функция). Идея простая: правильный пароль всегда выдаёт один и тот же хеш, а обратно — из хеша пароль не восстановить. Звучит недоступно? Почти так и есть. Если компания правильно хранит хеши (с добавлением «соли» — дополнительного случайного значения), то перебрать миллиарды вариантов ради одного пароля просто не имеет смысла. Но это не главный путь утечки.

Взлом базы данных: краж чисто из баз, а не расшифровка

Когда вы читаете новость «X миллионов паролей украдены», почти всегда речь идёт о краже файлов с серверов компании — базы данных целиком. Злоумышленник может получить доступ через уязвимость в коде, слабую защиту сервера или скомпрометированный аккаунт сотрудника. Когда у него в руках файл с хешами паролей, он пытается подобрать пароли для самых ценных аккаунтов — обычно админов или известных пользователей. Но для большей части украденных данных затраты времени и электричества окупаться не будут. Поэтому вас, скорее всего, защищает не криптография, а банальная экономика: вы не стоит времени злоумышленника.

Фишинг: ложная дверь вместо взлома замка

Есть способ проще, чем ломать хеш-функции. Представьте, что вместо взлома вашей входной двери злоумышленник просто просит у вас ключ. Фишинг — это когда вас перенаправляют на поддельную страницу входа, которая выглядит как настоящая. Вы вводите пароль, сайт говорит «неверный пароль, попробуйте ещё раз», и вы идёте на настоящий сайт. Вы думаете, что просто ошиблись. На самом деле пароль уже украден.

Фишинг работает не потому, что технически сложно, а потому, что люди доверяют визуальному оформлению и спешат. Email выглядит как от поддержки, ссылка содержит почти правильное доменное имя (например, amaz0n.com вместо amazon.com), и вот пароль уже в руках у преступника. Никакого шифрования здесь нет — просто прямая кража через обман.

Переиспользование пароля: когда один ключ открывает много замков

Представьте, что вы пользуетесь одним ключом для входной двери, гаража, машины и почтового ящика. Если кто-то украдёт этот ключ, он получит доступ ко всему. С паролями происходит то же самое.

Когда один сайт теряет свою базу данных, преступники берут список логинов и паролей и пробуют их на других сервисах — на Gmail, на интернет-банке, на соцсетях. Это называется «credential stuffing» (букмально — «набивание учётных данных»). Это автоматизированный процесс: скрипт просто пробует каждую комбинацию на каждом популярном сервисе. И если вы использовали один пароль везде — скрипт найдёт его буквально за минуты.

Вредонос на вашем устройстве: взлом дома вместо попытки открыть дверь

Если вирус или вредоносная программа запустится на вашем компьютере или телефоне, она может просто смотреть, что вы печатаете. Это называется кейлоггер (keylogger). Или программа может украсть сохранённые пароли из браузера (в большинстве браузеров они хранятся в криптованном виде, но вредонос может расшифровать их, если уже запущен с вашими правами доступа). Здесь не поможет никакое шифрование на сервере — проблема на вашем устройстве.

Как реально защитить свои учётные данные

Из этого следуют несколько практических выводов. Во-первых, используйте уникальный пароль для каждого важного сервиса. Это исключает проблему credential stuffing. Запомнить сотню разных паролей невозможно, поэтому имеет смысл использовать менеджер паролей — программу, которая хранит пароли в зашифрованном виде на вашем устройстве и в облаке (или только локально). Менеджер паролей берёт на себя ответственность запоминания, а вы помните один сильный главный пароль.

Во-вторых, включайте двухфакторную аутентификацию (MFA) везде, где это возможно. Даже если кто-то украдёт ваш пароль через фишинг или взлом базы, он не войдёт в аккаунт без второго фактора. Лучше всего работают аппаратные ключи безопасности — небольшие устройства, которые вы подключаете к компьютеру или телефону. Они устойчивы к фишингу, потому что ключ проверяет настоящий адрес сайта, прежде чем что-то подписать.

В-третьих, будьте осторожнее с фишингом. Проверяйте адрес в строке браузера, особенно перед вводом пароля. Сомневаетесь — откройте адрес вручную вместо клика по ссылке.

Пароли утекают не потому, что математика сломалась, а потому, что люди переиспользуют пароли, попадаются на фишинг и выбирают слабые пароли. На защиту от этого работают не шифрование, а менеджер паролей, уникальные пароли и многофакторная аутентификация. Это не сексуально звучит, но это работает.