رمز عبور پس از نشت‌های بزرگ اطلاعات: چه چیزی واقعاً کمک می‌کند

هر چند ماه یک‌بار تیترهایی دربارهٔ «نشت میلیاردها رمز عبور» منتشر می‌شود. این خبرها نگران‌کننده‌اند، اما گیج‌کننده هم هستند: آیا رمز من هم در میان آن‌هاست؟ باید همه‌چیز را عوض کنم؟ اگر رمزم از قبل «پیچیده» است، اصلاً اهمیتی دارد؟

خبر خوب این است که توصیه‌های کسانی که قواعد را می‌نویسند ساده‌تر شده، نه سخت‌تر. این راهنما تازه‌ترین توصیه‌های رسمی مؤسسهٔ ملی استاندارد و فناوری آمریکا (NIST) و مرکز ملی امنیت سایبری بریتانیا (NCSC) را به چند عادت ساده تبدیل می‌کند که برای همه قابل اجراست.

چرا نشت‌ها مدام بزرگ‌تر می‌شوند

تیترهای بزرگ دربارهٔ نشت اطلاعات اغلب از هک شدن یک شرکت خبر نمی‌دهند. بسیاری از آن‌ها دربارهٔ «مجموعه‌های گردآوری‌شده» است: اطلاعات ورودی که طی سال‌ها از نشت‌های قبلی و از رایانه‌های آلوده به بدافزار جمع شده، کنار هم قرار گرفته و دست‌به‌دست شده است. گزارش‌ها دربارهٔ این مجموعه‌ها یکسان نیستند و عدد تیتر معمولاً «رکورد» را می‌شمارد نه افراد متمایز را؛ پس نمی‌توان به‌راحتی گفت چه تعداد از آن‌ها تازه یا هنوز معتبرند.

آنچه برای شما مهم است ساده‌تر است. سرویس رایگان Have I Been Pwned که با آن می‌توانید ببینید نشانی ایمیلتان در نشت‌های شناخته‌شده آمده یا نه، وقتی ما در ۲۱ اکتبر ۲۰۲۶ آن را بررسی کردیم، بیش از ۱۷٫۸ میلیارد حساب افشاشده از بیش از ۱۰۰۰ وب‌سایت را فهرست کرده بود. با چنین ارقامی، عاقلانه است فرض کنید دست‌کم یکی از رمزهای قدیمی‌تان جایی نشت کرده است.

خطر واقعی خودِ نشت نیست، بلکه استفادهٔ دوباره از یک رمز است. اگر یک رمز هم از ایمیل، هم از بانک و هم از یک انجمن قدیمی محافظت کند، نشت از آن انجمن کلید همه‌چیز را به دست مجرمان می‌دهد. آن‌ها جفت‌های «ایمیل و رمز» نشت‌کرده را به‌طور خودکار روی سایت‌های زیادی امتحان می‌کنند.

توصیه‌های رسمی اکنون چه می‌گویند

NIST در ژوئیهٔ ۲۰۲۵ نسخهٔ نهایی راهنمای هویت دیجیتال خود، SP 800-63B-4، را منتشر کرد. این راهنما برای سازمان‌هایی نوشته شده که سامانهٔ ورود دارند، اما نکات زیادی دربارهٔ آنچه واقعاً از حساب محافظت می‌کند در خود دارد:

طول از پیچیدگی مهم‌تر است. رمزی که به‌تنهایی برای ورود استفاده می‌شود باید دست‌کم ۱۵ نویسه باشد. سرویس‌ها باید دست‌کم ۶۴ نویسه را بپذیرند تا عبارت‌های عبور بلند جا شوند.
ترکیب اجباری ممنوع. سرویس‌ها نباید قواعدی مثل «یک حرف بزرگ، یک عدد، یک نماد» را الزامی کنند. چنین قواعدی رمزهای قابل‌حدسی مثل «Summer2026!» به بار می‌آورند.
تعویض دوره‌ای ممنوع. سرویس‌ها نباید شما را مجبور کنند رمز را طبق برنامهٔ زمانی عوض کنید، اما وقتی نشانه‌ای از افشای رمز وجود دارد باید تعویض را الزامی کنند.
فهرست سیاه. سرویس‌ها باید رمزهای جدید را با فهرستی از رمزهای رایج، قابل‌حدس یا از پیش افشاشده مقایسه کنند.
مدیر رمز عبور پذیرفته است. سرویس‌ها باید استفاده از مدیر رمز عبور و پرکردن خودکار را مجاز کنند و بهتر است چسباندن را هم اجازه دهند.
بدون راهنمای رمز و سؤال امنیتی هنگام انتخاب رمز.

NCSC همین را به زبانی ساده‌تر می‌گوید: سه کلمهٔ تصادفی را کنار هم بگذارید تا رمزی به‌اندازهٔ کافی بلند و قوی بسازید؛ مثلاً سه کلمهٔ بی‌ربط که بتوانید با هم در ذهن تصویرشان کنید. NCSC استفاده از مدیر رمز عبور را هم توصیه می‌کند.

پنج عادتی که واقعاً کمک می‌کند

۱. برای هر حساب یک رمز

این مهم‌ترین عادت است. رمزهای یکتا باعث می‌شوند نشت در یک سایت فقط برای همان سایت دردسر درست کند.

۲. رمز را بلند کنید

از سه کلمهٔ تصادفی یا بیشتر استفاده کنید، یا یک رشتهٔ تصادفی بلند از یک تولیدکننده. تولیدکنندهٔ رمز عبور ما رمزهای تصادفی را در مرورگر خودتان و با تصادفی‌سازی رمزنگاشتی می‌سازد و صفحه هرگز رمز را از طریق شبکه نمی‌فرستد. طول از افزودن نماد مهم‌تر است.

۳. به خاطر سپردن را به مدیر رمز عبور بسپارید

هیچ‌کس نمی‌تواند ده‌ها رمز یکتا را به خاطر بسپارد. مدیر رمز عبور آن‌ها را نگه می‌دارد، به‌جای شما پر می‌کند و می‌تواند رمز تازه بسازد. خودِ مدیر رمز را با عبارت عبور بلندی که هیچ جای دیگر به کار نمی‌برید محافظت کنید و اگر تأیید دومرحله‌ای دارد، روشنش کنید.

۴. قوی‌ترین محافظت را به ایمیل بدهید

NCSC رمزی قوی و جداگانه برای ایمیل توصیه می‌کند، چون هر کس ایمیل شما را در اختیار داشته باشد می‌تواند رمز بیشتر حساب‌های دیگرتان را بازنشانی کند. ایمیل را کلید اصلی خود بدانید.

۵. تأیید دومرحله‌ای را روشن کنید

تأیید دومرحله‌ای (2SV، که احراز هویت دوعاملی هم نامیده می‌شود) مدرک دومی می‌خواهد؛ مثلاً کدی از یک برنامه یا تأییدی روی گوشی. به گفتهٔ NCSC، این کار حتی اگر مجرم رمز شما را بداند، جلوی دسترسی او به ایمیلتان را می‌گیرد. اول برای ایمیل روشنش کنید، بعد برای بانک، شبکه‌های اجتماعی و حساب‌های خرید.

چطور بفهمید درگیر نشت شده‌اید یا نه

نشانی ایمیل خود را در Have I Been Pwned بررسی کنید. این سرویس نشان می‌دهد ایمیلتان در کدام نشت‌های شناخته‌شده بوده و چه نوع داده‌ای افشا شده است.
از بررسی‌های مدیر رمز عبور استفاده کنید. بسیاری از آن‌ها دربارهٔ رمزهای تکراری، ضعیف یا نشت‌کرده هشدار می‌دهند.
مراقب نشانه‌ها باشید: هشدارهای ورود ناآشنا، ایمیل‌های بازنشانی رمز که درخواستشان نکرده‌اید، یا پیام‌هایی که دوستانتان می‌گویند از طرف شما رسیده است.

پیدا شدن نامتان در فهرست نشت به این معنا نیست که کسی همین حالا در حسابتان است؛ یعنی آن رمز را باید عمومی‌شده دانست.

پس از نشت چه کنید

رمز نشت‌کرده را عوض کنید، هم در همان سایت و هم در هر سایتی که همان رمز یا رمزی شبیه آن را داشتید.
از ایمیل شروع کنید، بعد حساب‌های مالی، بعد بقیه.
همان‌جا تأیید دومرحله‌ای را روشن کنید.
از نشست‌های دیگر خارج شوید اگر سرویس این امکان را دارد، و راه‌های بازیابی (ایمیل پشتیبان، شمارهٔ تلفن) را بازبینی کنید.
مراقب پیام‌های بعدی باشید. پس از نشت‌ها اغلب ایمیل‌های فیشینگی می‌آیند که برای باورپذیر بودن به همان نشت اشاره می‌کنند. به‌جای کلیک روی پیوند، مستقیم به سایت بروید.

لازم نیست رمزهای سالم و یکتا را فقط به‌خاطر یک تیتر بزرگ عوض کنید. راهنمای NIST روشن است: هدف تعویض دوره‌ای نیست، بلکه تعویض هنگام وجود نشانهٔ افشاست.

VPN کجا کمک می‌کند و کجا نه

VPN از اتصال شما محافظت می‌کند؛ مثلاً در وای‌فای عمومی، که سایت‌هایی را که باز می‌کنید از گردانندهٔ شبکه پنهان می‌کند. اما از رمزی که قبلاً نشت کرده محافظت نمی‌کند و نمی‌تواند جلوی ورود کسی با آن رمز را بگیرد. رمزهای قوی و یکتا و تأیید دومرحله‌ای از حساب‌هایتان محافظت می‌کنند؛ VPNای مثل VPNRice از مسیری که داده‌هایتان طی می‌کند. برای جنبهٔ شبکه، راهنمای امنیت در وای‌فای عمومی ما را ببینید.

نکته‌های کلیدی

فرض کنید رمزهای قدیمی نشت کرده‌اند؛ خطر واقعی استفادهٔ دوباره است.
از رمزهای بلند استفاده کنید: سه کلمهٔ تصادفی یا رشته‌ای تولیدشده با ۱۵ نویسه یا بیشتر.
آن‌ها را در مدیر رمز عبور نگه دارید.
به ایمیل رمزی جداگانه و قوی و تأیید دومرحله‌ای بدهید.
Have I Been Pwned را بررسی کنید و رمزها را هنگام وجود نشانهٔ نشت عوض کنید، نه طبق زمان‌بندی.