Утечка паролей: что делать если пароль попал в базу данных

Каждый год в открытый доступ утекают миллиарды логинов и паролей. В 2024 году произошла одна из крупнейших утечек в истории — база RockYou2024 содержала почти 10 миллиардов уникальных паролей. Вероятность того, что ваш пароль уже где-то «засветился», очень высока. Разберём, как это проверить и что делать.

Как вообще происходят утечки паролей

Утечки случаются не потому что вы сделали что-то не так — чаще всего взламывают сами сервисы, которыми вы пользуетесь. Сценарии бывают разные:

• Взлом базы данных сервиса — хакеры получают доступ к серверу и скачивают таблицу с пользователями. Если пароли хранились в открытом виде или с плохим шифрованием — они сразу попадают к злоумышленникам.
• Фишинговые сайты — вы сами вводите логин и пароль на поддельной странице, думая что это настоящий сайт.
• Вредоносное ПО (стилеры) — программы, которые перехватывают нажатия клавиш или крадут сохранённые пароли из браузера.
• Повторное использование паролей — ваш пароль сам по себе не утёк, но вы используете его на разных сайтах. Один слабый сервис взломали — и все ваши аккаунты под угрозой.

По данным Verizon Data Breach Report, 86% взломов аккаунтов связаны с использованием украденных или слабых паролей.

Как узнать, попал ли ваш пароль в утечку

Способ 1: Проверить через ParolHub (рекомендуется)

Наш инструмент проверяет пароль через базу Have I Been Pwned, используя технологию k-Anonymity. Это означает, что ваш пароль никогда не покидает ваше устройство — на сервер отправляются только первые 5 символов SHA-1 хэша.

Способ 2: Уведомления от браузера

Google Chrome, Safari и Firefox автоматически проверяют сохранённые пароли по базам утечек и показывают предупреждение. Если вы видите уведомление «Пароль мог быть скомпрометирован» — действуйте немедленно.

Способ 3: Уведомления от сервисов

Крупные компании (Google, ВКонтакте, Яндекс, банки) уведомляют пользователей при подозрительной активности или известных утечках. Письмо с темой «Подозрительный вход» или «Смените пароль» — серьёзный сигнал.

Пошаговый план: что делать при утечке

Шаг 1: Не паникуйте, но действуйте быстро

У вас есть время, но не бесконечно. Злоумышленники обычно проверяют украденные базы автоматически — процесс называется credential stuffing. Программы за несколько часов перебирают украденные пары логин/пароль на популярных сайтах.

Шаг 2: Смените пароль на скомпрометированном сервисе

Первым делом — измените пароль именно там, откуда произошла утечка. Используйте длинный уникальный пароль — не менее 16 символов. Не придумывайте его сами, используйте генератор:

Шаг 3: Найдите все сервисы с таким же паролем

Если вы использовали этот пароль где-то ещё — смените его везде. Злоумышленники знают о привычке людей повторять пароли и проверяют все популярные сервисы автоматически. Банки, почта, соцсети — приоритет.

Шаг 4: Включите двухфакторную аутентификацию

2FA — это второй уровень защиты. Даже зная ваш пароль, войти в аккаунт без вашего телефона или приложения-аутентификатора не получится. Включите 2FA на всех важных сервисах — особенно на почте и в банке.

Шаг 5: Проверьте активные сессии

В настройках большинства сервисов есть раздел «Активные устройства» или «Сессии». Если видите незнакомое устройство или город — немедленно завершите эту сессию и смените пароль.

Шаг 6: Заведите менеджер паролей

Это самый важный долгосрочный шаг. Менеджер паролей создаёт и запоминает уникальный сложный пароль для каждого сайта. Вы помните только один мастер-пароль. Bitwarden — бесплатный и надёжный вариант.

Какие данные чаще всего утекают вместе с паролями

Базы данных сервисов обычно содержат не только пароли. В утечках часто встречаются:

• Email-адреса и логины
• Номера телефонов
• Хешированные (или открытые) пароли
• IP-адреса
• Дата регистрации и последнего входа
• В некоторых случаях — платёжные данные (если сервис их хранил)

Поэтому при крупной утечке стоит также следить за подозрительными письмами и звонками — мошенники используют утёкшие данные для таргетированного фишинга.

Читайте также