Заголовки о «миллиардах утёкших паролей» появляются каждые несколько месяцев. Они пугают, но и сбивают с толку: есть ли там ваш пароль, нужно ли менять всё подряд и имеет ли это значение, если пароль у вас и так «сложный»?

Хорошая новость: советы тех, кто пишет правила, стали проще, а не сложнее. В этом руководстве свежие официальные рекомендации Национального института стандартов и технологий США (NIST) и Национального центра кибербезопасности Великобритании (NCSC) переведены на язык нескольких привычек, которые подходят обычным людям.

Почему утечки становятся всё крупнее

Громкие заголовки об утечках часто описывают не взлом одной компании. Нередко речь идёт о подборках: учётные данные, собранные за годы из прежних утечек и с заражённых вредоносными программами компьютеров, объединяют и распространяют. Сведения о таких подборках расходятся, а цифра в заголовке обычно считает записи, а не уникальных людей, поэтому трудно сказать, сколько из них новые или всё ещё действующие.

Для вас важно другое. Бесплатный сервис Have I Been Pwned, где можно проверить, встречается ли ваш адрес почты в известных утечках, на 21 октября 2026 года, когда мы проверяли, насчитывал более 17,8 миллиарда скомпрометированных аккаунтов более чем с 1000 сайтов. При таких масштабах разумно исходить из того, что хотя бы один ваш старый пароль где-то уже утёк.

Настоящая опасность — не сама утечка, а повторное использование пароля. Если один и тот же пароль защищает почту, банк и старый форум, утечка с форума даёт злоумышленникам ключ ко всему остальному. Они автоматически пробуют утёкшие пары «почта и пароль» на множестве сайтов.

Что говорят официальные рекомендации

В июле 2025 года NIST опубликовал окончательную версию руководства по цифровой идентификации SP 800-63B-4. Оно написано для организаций, у которых есть системы входа, но многое говорит о том, что действительно защищает аккаунт:

  • Длина важнее сложности. Пароль, который используется как единственный фактор, должен быть не короче 15 символов. Сервисы должны принимать не менее 64 символов, чтобы помещались длинные парольные фразы.
  • Никаких обязательных смесей. Сервисы не должны требовать правил вроде «одна заглавная, одна цифра, один символ». Такие правила порождают предсказуемые пароли вроде «Summer2026!».
  • Никакой плановой смены. Сервисы не должны заставлять менять пароль по расписанию, но обязаны потребовать смену, если есть признаки, что пароль скомпрометирован.
  • Чёрные списки. Сервисы должны сверять новые пароли со списком распространённых, предсказуемых или уже скомпрометированных паролей.
  • Менеджеры паролей приветствуются. Сервисы должны разрешать менеджеры паролей и автозаполнение, а также вставку из буфера обмена.
  • Никаких подсказок и контрольных вопросов при выборе пароля.

NCSC говорит примерно то же, только проще: объедините три случайных слова, и получится пароль достаточно длинный и достаточно надёжный — например, три не связанных между собой слова, которые легко представить вместе. NCSC также советует пользоваться менеджером паролей.

Пять привычек, которые действительно помогают

1. Один пароль — один аккаунт

Это самая важная привычка. Уникальные пароли превращают утечку на одном сайте в проблему только этого сайта.

2. Делайте пароль длинным

Используйте три и больше случайных слова или длинную случайную строку из генератора. Наш генератор паролей создаёт случайные пароли прямо в браузере с помощью криптографически стойкой случайности, и страница никогда не отправляет пароль по сети. Длина важнее, чем добавленные символы.

3. Пусть пароли запоминает менеджер паролей

Никто не способен запомнить десятки уникальных паролей. Менеджер паролей хранит их, подставляет за вас и умеет создавать новые. Защитите сам менеджер длинной парольной фразой, которую вы больше нигде не используете, и включите для него двухэтапную проверку, если она есть.

4. Дайте почте самую сильную защиту

NCSC рекомендует надёжный и отдельный пароль для почты, потому что тот, кто контролирует вашу почту, может сбросить пароли от большинства других аккаунтов. Относитесь к ней как к главному ключу.

5. Включите двухэтапную проверку

Двухэтапная проверка (2SV, её также называют двухфакторной аутентификацией) запрашивает второе подтверждение — например, код из приложения или запрос на телефоне. По словам NCSC, она не даст преступнику войти в вашу почту, даже если он знает пароль. Включите её сначала для почты, затем для банка, соцсетей и интернет-магазинов.

Как проверить, затронула ли вас утечка

  • Проверьте свой адрес почты на Have I Been Pwned. Сервис покажет, в каких известных утечках он встречался и какие данные утекли.
  • Используйте проверки менеджера паролей. Многие менеджеры предупреждают о повторяющихся, слабых или утёкших паролях.
  • Следите за признаками: незнакомые уведомления о входе, письма о сбросе пароля, которых вы не запрашивали, или сообщения, которые, по словам друзей, отправляли вы.

Если ваш адрес нашёлся в списке утечек, это не значит, что кто-то прямо сейчас сидит в вашем аккаунте. Это значит, что этот пароль надо считать публичным.

Что делать после утечки

  1. Смените утёкший пароль на этом сайте и на всех сайтах, где вы использовали такой же или похожий.
  2. Начните с почты, затем финансовые аккаунты, затем всё остальное.
  3. Включите двухэтапную проверку, раз уж вы там.
  4. Завершите другие сеансы, если сервис это позволяет, и проверьте способы восстановления (резервная почта, номер телефона).
  5. Осторожнее с последующими сообщениями. За утечками часто следуют фишинговые письма, которые упоминают утечку, чтобы казаться правдоподобными. Заходите на сайт напрямую, а не по ссылкам.

Не нужно менять здоровые уникальные пароли только потому, что появился громкий заголовок. Руководство NIST ясно говорит: цель — не плановая смена, а смена при признаках компрометации.

Чем здесь может помочь VPN, а чем нет

VPN защищает ваше соединение — например, в публичном Wi-Fi, где он скрывает от владельца сети, какие сайты вы посещаете. Он не защищает пароль, который уже утёк, и не может помешать кому-то войти с ним. Аккаунты защищают надёжные уникальные пароли и двухэтапная проверка, а VPN вроде VPNRice защищает путь, по которому идут ваши данные. О сетевой стороне читайте в нашем руководстве по безопасности в публичном Wi-Fi.

Главное

  • Исходите из того, что старые пароли утекли; настоящий риск — повторное использование.
  • Используйте длинные пароли: три случайных слова или сгенерированную строку от 15 символов.
  • Храните их в менеджере паролей.
  • Дайте почте отдельный надёжный пароль и двухэтапную проверку.
  • Проверьте Have I Been Pwned и меняйте пароли при признаках утечки, а не по таймеру.