Заголовки про «мільярди викрадених паролів» з'являються кожні кілька місяців. Вони лякають, але й збивають з пантелику: чи є там ваш пароль, чи треба міняти все поспіль і чи має це значення, якщо пароль у вас і так «складний»?

Добра новина: поради тих, хто пише правила, стали простішими, а не складнішими. У цьому посібнику свіжі офіційні рекомендації Національного інституту стандартів і технологій США (NIST) та Національного центру кібербезпеки Великої Британії (NCSC) перекладено на мову кількох звичок, які підходять звичайним людям.

Чому витоки стають дедалі більшими

Гучні заголовки про витоки часто описують не злам однієї компанії. Нерідко йдеться про добірки: облікові дані, зібрані роками з попередніх витоків і з комп'ютерів, заражених шкідливими програмами, об'єднують і поширюють. Відомості про такі добірки різняться, а число в заголовку зазвичай рахує записи, а не унікальних людей, тож важко сказати, скільки з них нові чи досі чинні.

Для вас важливе інше. Безкоштовний сервіс Have I Been Pwned, де можна перевірити, чи трапляється ваша адреса пошти у відомих витоках, станом на 21 жовтня 2026 року, коли ми перевіряли, налічував понад 17,8 мільярда скомпрометованих акаунтів з понад 1000 сайтів. За таких масштабів розумно виходити з того, що принаймні один ваш старий пароль уже десь витік.

Справжня небезпека — не сам витік, а повторне використання пароля. Якщо той самий пароль захищає пошту, банк і старий форум, витік із форуму дає зловмисникам ключ до всього іншого. Вони автоматично пробують викрадені пари «пошта й пароль» на безлічі сайтів.

Що кажуть офіційні рекомендації

У липні 2025 року NIST опублікував остаточну версію настанов щодо цифрової ідентифікації SP 800-63B-4. Вони написані для організацій, які мають системи входу, але багато говорять про те, що справді захищає акаунт:

  • Довжина важливіша за складність. Пароль, який є єдиним фактором, має містити щонайменше 15 символів. Сервіси мають приймати не менше 64 символів, щоб умістилися довгі парольні фрази.
  • Жодних обов'язкових сумішей. Сервіси не повинні вимагати правил на кшталт «одна велика літера, одна цифра, один символ». Такі правила породжують передбачувані паролі на зразок «Summer2026!».
  • Жодної планової зміни. Сервіси не повинні змушувати міняти пароль за розкладом, але мають вимагати зміну, якщо є ознаки, що пароль скомпрометовано.
  • Чорні списки. Сервіси мають звіряти нові паролі зі списком поширених, передбачуваних або вже скомпрометованих паролів.
  • Менеджери паролів — бажані. Сервіси мають дозволяти менеджери паролів і автозаповнення, а також вставлення з буфера обміну.
  • Жодних підказок і контрольних запитань під час вибору пароля.

NCSC каже приблизно те саме, тільки простіше: поєднайте три випадкові слова, і вийде пароль досить довгий і досить надійний — наприклад, три не пов'язані між собою слова, які легко уявити разом. NCSC також радить користуватися менеджером паролів.

П'ять звичок, які справді допомагають

1. Один пароль — один акаунт

Це найважливіша звичка. Унікальні паролі перетворюють витік на одному сайті на проблему лише цього сайту.

2. Робіть пароль довгим

Використовуйте три й більше випадкові слова або довгий випадковий рядок із генератора. Наш генератор паролів створює випадкові паролі просто в браузері за допомогою криптографічно стійкої випадковості, і сторінка ніколи не надсилає пароль мережею. Довжина важливіша, ніж додані символи.

3. Хай паролі пам'ятає менеджер паролів

Ніхто не здатен запам'ятати десятки унікальних паролів. Менеджер паролів зберігає їх, підставляє замість вас і вміє створювати нові. Захистіть сам менеджер довгою парольною фразою, яку ви більше ніде не використовуєте, і ввімкніть для нього двоетапну перевірку, якщо вона є.

4. Дайте пошті найсильніший захист

NCSC радить надійний і окремий пароль для пошти, бо той, хто контролює вашу пошту, може скинути паролі від більшості інших акаунтів. Ставтеся до неї як до головного ключа.

5. Увімкніть двоетапну перевірку

Двоетапна перевірка (2SV, її також називають двофакторною автентифікацією) просить друге підтвердження — наприклад, код із застосунку чи запит на телефоні. За словами NCSC, вона не дасть злочинцеві увійти у вашу пошту, навіть якщо він знає пароль. Увімкніть її спершу для пошти, потім для банку, соцмереж та інтернет-магазинів.

Як перевірити, чи зачепив вас витік

  • Перевірте свою адресу пошти на Have I Been Pwned. Сервіс покаже, у яких відомих витоках вона траплялася і які дані витекли.
  • Скористайтеся перевірками менеджера паролів. Багато менеджерів попереджають про повторювані, слабкі чи викрадені паролі.
  • Стежте за ознаками: незнайомі сповіщення про вхід, листи про скидання пароля, яких ви не замовляли, або повідомлення, які, за словами друзів, надсилали ви.

Якщо вашу адресу знайдено в списку витоків, це не означає, що хтось просто зараз сидить у вашому акаунті. Це означає, що цей пароль слід вважати публічним.

Що робити після витоку

  1. Змініть викрадений пароль на цьому сайті та на всіх сайтах, де ви використовували такий самий чи схожий.
  2. Почніть із пошти, далі фінансові акаунти, далі все інше.
  3. Увімкніть двоетапну перевірку, поки ви там.
  4. Завершіть інші сеанси, якщо сервіс це дозволяє, і перевірте способи відновлення (резервна пошта, номер телефону).
  5. Обережно з подальшими повідомленнями. За витоками часто йдуть фішингові листи, які згадують витік, щоб здаватися правдоподібними. Заходьте на сайт напряму, а не за посиланнями.

Не треба міняти здорові унікальні паролі лише через гучний заголовок. Настанови NIST чітко кажуть: мета — не планова зміна, а зміна за ознак компрометації.

Де тут допоможе VPN, а де ні

VPN захищає ваше з'єднання — наприклад, у публічному Wi-Fi, де він приховує від власника мережі, які сайти ви відвідуєте. Він не захищає пароль, який уже витік, і не може завадити комусь увійти з ним. Акаунти захищають надійні унікальні паролі й двоетапна перевірка, а VPN на кшталт VPNRice захищає шлях, яким ідуть ваші дані. Про мережевий бік читайте в нашому посібнику з безпеки в публічному Wi-Fi.

Головне

  • Виходьте з того, що старі паролі витекли; справжній ризик — повторне використання.
  • Використовуйте довгі паролі: три випадкові слова або згенерований рядок від 15 символів.
  • Зберігайте їх у менеджері паролів.
  • Дайте пошті окремий надійний пароль і двоетапну перевірку.
  • Перевірте Have I Been Pwned і міняйте паролі за ознак витоку, а не за таймером.