Во вторник, в конце месяца, когда бухгалтерия закрывает отчётность, Ирине приходит письмо из банка. В нём сказано, что по счёту замечена подозрительная операция и её нужно срочно подтвердить или отменить. Внизу — аккуратная кнопка «Отменить операцию». Ирина смотрит на часы, на очередь из задач и нажимает.

Страница открывается быстро и выглядит почти как банковская: знакомый значок, знакомые поля, даже шрифт похож. Ирина вводит логин, потом пароль, потом код из сообщения. Сайт благодарит, сообщает, что операция отменена, и предлагает вернуться в личный кабинет. Она возвращается к отчёту и на десять минут забывает о письме.

Через час её выбрасывает из рабочей почты. Потом перестаёт пускать бухгалтерская программа, а коллегам приходит письмо от её имени с просьбой срочно перевести деньги. К вечеру Ирина понимает, что потеряла не один пароль, а доступ к работе, переписке и деньгам организации.

Если пересказать эту историю одной фразой, получится: «Ирина ввела пароль на поддельном сайте». Фраза верная, но из неё легко сделать два неверных вывода. Первый — что всё решил один неосторожный клик, а до него она была в безопасности. Второй — что проблема в самом пароле, и будь он посложнее, ничего бы не случилось.

На самом деле пароль — это не секретная строка, которую нужно держать в голове, а один из нескольких барьеров на входе. Ломают обычно не строку. Ломают человека, который устал, спешит и доверяет тому, что видит на экране. Разница между этими взглядами и есть содержание статьи: она показывает, где заканчивается защита, которую даёт пароль, и начинается та, которую может дать только привычка.

Что происходит между «Войти» и открытой почтой

Прежде чем пустить человека в систему, сервер должен убедиться, что перед ним тот, за кого он себя выдаёт. Эта проверка называется аутентификацией, и от неё зависит всё остальное: какие данные вы увидите, что сможете изменить и чью переписку прочитаете. Пока проверка не пройдена, для системы вы никто.

Технически это устроено проще, чем кажется. Хороший сайт не хранит пароль в открытом виде: он хранит результат его преобразования, хеш. Это похоже на отпечаток пальца — по нему можно сверить, тот ли человек пришёл, но нельзя восстановить сам палец. Когда вы вводите пароль, сервер считает хеш и сравнивает с сохранённым, а если совпало, выдаёт временный пропуск — сессию. Дальше вы ходите по сайту уже с ним, а не с паролем.

Из этого следует важная вещь: пароль сам по себе не открывает ничего. Он срабатывает только в паре с логином и только на том сервере, который его ждёт. Ирина ввела правильный пароль — но не на сервере банка, а на чужой странице, которая этот пароль просто записала. Ни хеширование, ни шифрование, ни длина пароля здесь ни при чём: защита стояла на другой двери, а она вошла в соседнюю.

Удобно представить проходную на заводе. У вас есть пропуск, у охраны — список, кому в какую дверь можно. Охранник не запоминает ваше лицо, он сверяет номер со списком. Сервер устроен похоже, и, как любой охранник, он смотрит не только на пропуск: ему важно, с какого устройства вы пришли, из какой страны, не слишком ли часто ошибаетесь в пароле.

Именно поэтому у злоумышленника три пути, и все три обходят пароль, а не взламывают его. Можно угадать, потому что люди придумывают похожие пароли. Можно взять готовый из чужой базы, потому что люди повторяют один пароль на разных сайтах. Можно просто попросить — и человек сам введёт его куда надо. В истории Ирины сработал третий путь, но чтобы понять, почему он оказался таким разрушительным, придётся разобрать первые два.

Почему пароль уводят, а не подбирают

Самый старый путь — подбор. Программа пробует слова из словаря, имена, названия команд, даты, сочетания вроде «qwerty» и «123456», а также привычные замены: «а» на «@», «о» на ноль. Человеку такая замена кажется хитростью, но для перебора это не хитрость, а ещё один шаблон, который проверяют в первую очередь. Поэтому пароль, который выглядит сложным для человека, для программы часто выглядит предсказуемым: она перебирает не буквы, а способы, которыми люди придумывают пароли.

Второй путь требует от злоумышленника меньше усилий: дождаться утечки. Сайты хранят данные пользователей у себя, и рано или поздно часть таких баз оказывается в чужих руках — через старую программу, через ошибку в настройках, через собственного сотрудника. Иногда в базе лежат хеши, иногда пароли в открытом виде, и это отдельная беда сайта. Но для вас важнее другое.

Утечка опасна не тем, что вы потеряли пароль от форума, где обсуждали ремонт. Она опасна тем, что этот же пароль наверняка остался у вас где-то ещё. Один пароль на десять сайтов — не десять замков, а один замок, к которому сделали десять копий ключа: достаточно, чтобы выпала одна копия. Ирония в том, что человек, придумывая «надёжный» пароль, обычно придумывает его один раз и навсегда, а потом гордится, что помнит сложную комбинацию.

Третий путь вообще не требует техники, и именно он сработал у Ирины. Ей не подбирали пароль и не искали его в базах. Ей прислали письмо, которое выглядело как письмо от банка, и попросили подтвердить, что операция своя. Оставалось сделать страницу похожей на настоящую — а это сегодня несложно, — и человек ввёл всё сам. Такой обман называют фишингом, и подробный разбор ещё впереди.

Но здесь есть вопрос поважнее перечисления путей. Почему одна ошибка на одном сайте превратилась в потерю почты, рабочей программы и денег? Потому что пароль у Ирины был один. Если бы пароль от почты отличался от того, который она ввела на поддельной странице, цепочка оборвалась бы на первом шаге: злоумышленник получил бы доступ к одному сервису, но не к тому, через который восстанавливают все остальные.

Почему длина важнее значков

Самый дешёвый способ усложнить подбор — сделать пароль длиннее. Каждый дополнительный символ увеличивает число вариантов не на единицу, а в разы, и на длинной фразе перебор упирается уже не в изобретательность, а во время: его просто не хватает. Человек этого не чувствует: ему кажется, что «Солнце-2019» и «Солнце-2019-и-ветер» почти одинаковы. Для программы разница огромна.

Отсюда практический вывод, который многих удивляет: длинная фраза из обычных слов надёжнее короткого набора значков. «Синий чайник любит пятницу» запоминается с первого раза, легко набирается и не содержит ничего личного. Слово, в котором «а» заменили на «@», кажется сложным только человеку: перебор проверяет такие замены заранее, а запомнить комбинацию труднее, чем фразу. Парольная фраза — это несколько не связанных по смыслу слов, и вся её сила в длине и в том, что в ней нет логики, которую можно угадать по вашей жизни.

Второе свойство выглядит скучнее, но именно оно важнее первого: пароль должен быть уникальным. Мы уже видели, почему это так, и остаётся понять, почему правило так трудно соблюдать. Человек не может держать в голове тридцать разных фраз. Если он всё-таки пытается, то начинает упрощать — добавляет к одному слову название сайта, — и уникальность превращается в предсказуемость: получив один пароль, злоумышленник попробует его же с названием другого сервиса.

Здесь на помощь приходит менеджер паролей — программа, которая хранит пароли в зашифрованном виде и подставляет их на сайтах. Вы помните один главный пароль, остальные — длинные, случайные, ни на что не похожие — помнит она. Это снимает главный конфликт: уникальность перестаёт зависеть от памяти.

Звучит рискованно: «все пароли в одном месте». Но представьте сейф в квартире: да, в нём лежат все документы, зато они под замком, а не разбросаны по тумбочкам. Чтобы добраться до содержимого, злоумышленнику нужен главный пароль, а его вы никому не вводите, кроме самого менеджера. И есть бонус, о котором редко говорят: менеджер обычно подставляет пароль только на сохранённом адресе. На странице-двойнике он просто промолчит — и это лучший сигнал тревоги, какой можно получить бесплатно.

Но даже самый длинный и уникальный пароль остаётся знанием, а знание можно выманить. Поэтому нужен второй барьер: то, что у вас есть, а не то, что вы помните, — приложение с одноразовыми кодами, аппаратный ключ или, на худой конец, код в сообщении. Даже если пароль украли, без второго фактора войти не получится.

Начинать стоит с почты: именно через неё восстанавливают доступ ко всему остальному. Дальше — банк, государственные сервисы, рабочий аккаунт, соцсети. Код в сообщении слабее приложения и ключа, потому что сим-карту можно перевыпустить обманом, но он всё же лучше, чем ничего. И сразу сохраните резервные коды: это одноразовые наборы символов на случай потери телефона, и держать их надо не в том же телефоне.

Где заканчивается техника и начинается человек

Фишинг — это обман, при котором злоумышленник выдаёт себя за знакомую организацию или человека. Он не взламывает сервер, он взламывает доверие. Техника здесь почти не нужна: нужно письмо, похожая страница и немного спешки адресата. Поэтому второй фактор и не спасает от фишинга автоматически — человек сам вводит код туда, куда его просят.

Вернёмся к письму Ирины и посмотрим на него внимательнее, теперь уже зная, что оно поддельное. Первый признак — адрес отправителя: название банка написано верно, а домен отличается одной лишней буквой. Второй — срочность: «операция будет подтверждена автоматически», и на раздумья остаются минуты. Третий — обращение: вместо имени и отчества «Уважаемый клиент», а значок на странице смазан по краю.

Четвёртый признак — ссылка. Если навести курсор на кнопку, в подсказке видно адрес, который не совпадает с текстом, а иногда и содержит имя банка в середине чужого домена — так, что при быстром взгляде кажется правильным. Пятый — сама просьба: настоящий банк не просит вводить пароль по ссылке из письма и никогда не спрашивает код из сообщения. Шестой — вложение, которого вы не ждали: счёт, квитанция, «документ на подпись». Седьмой — просьба сохранить разговор в тайне: «это внутренняя проверка, никому не сообщайте». Восьмой — смена канала: письмо приходит на почту, а действовать просят в мессенджере или по телефону.

Здесь важно не выучить восемь пунктов, а уловить логику: каждый признак — это попытка отнять у вас время на проверку. Срочность гонит вперёд, похожий адрес мешает усомниться, просьба о тайне отрезает советчика. Если письмо торопит, значит, кто-то не хочет, чтобы вы остановились и открыли приложение банка или позвонили по номеру с обратной стороны карты.

Теперь цепочка Ирины видна целиком. Письмо привело её на чужую страницу, страница забрала пароль и код, пароль подошёл к почте, потому что был тем же, а из почты злоумышленник запросил сброс пароля рабочей программы и получил ссылку в письме. Заодно он поставил правило пересылки, чтобы копии писем уходили на чужой адрес, и написал коллегам от её имени. Ни одно звено не было взломом в киношном смысле. Каждое было решением, принятым в спешке.

А теперь представим, что было бы иначе. Если бы Ирина не нажимала кнопку в письме, а открыла приложение банка, письмо осталось бы просто письмом. Если бы пароль от почты отличался от банковского, украденный пароль открыл бы один сервис, а не всю цепочку. Если бы её почту защищал второй фактор, входа с чужим паролем не случилось бы вовсе. Наконец, менеджер паролей не подставил бы пароль на поддельной странице и тем самым дал бы ей паузу. Достаточно было любого из этих барьеров — не всех сразу.

Если данные уже введены, действовать нужно быстро и по порядку. Сначала смените пароль на этом аккаунте и на всех, где он повторялся, затем завершите все сеансы, чтобы злоумышленника выбросило из системы. Проверьте правила пересылки и фильтры в почте: через них удобнее всего тихо читать чужие письма. Включите второй фактор, если его ещё нет, и посмотрите, какие приложения имеют доступ к аккаунту.

Потом займитесь деньгами и людьми. Проверьте банк и платёжные сервисы: не появилось ли новых получателей, подписок и устройств. Предупредите близких и коллег, потому что от вашего имени уже могут писать с просьбой о деньгах. Если пострадали деньги, звоните в банк сразу: у него есть свои процедуры, и чем раньше вы о них сообщите, тем больше вариантов останется. Универсального срока здесь нет, поэтому единственная разумная тактика — не откладывать.

Возражение, которое обычно звучит после всего этого: «получается, надо постоянно быть настороже, это утомляет». Да, утомляет, и это часть проблемы. Защита, которая требует героизма каждый день, не работает: человек устаёт и возвращается к привычному. Поэтому имеет смысл не бороться с собой, а поменять привычки — один раз настроить менеджер паролей, один раз включить второй фактор на почте, один раз договориться с собой, что банк — это приложение, а не ссылка в письме. Такие решения принимаются в спокойный день и действуют в тревожный.

Главная мысль

Пароль — это не секретная строка, а один из барьеров на входе, и работает он только вместе с остальными. Длина и уникальность защищают от подбора и утечки, менеджер паролей снимает конфликт между уникальностью и памятью, второй фактор страхует на случай, если пароль уже утёк. Каждый из этих барьеров снижает цену одной ошибки.

Ирина потеряла доступ не потому, что пароль был слабым. Он был обычным, как у большинства. Цепочку замкнуло то, что за спиной пароля не оказалось других барьеров: почта открывалась тем же паролем, второго фактора не было, а привычки проверять отправителя — тоже. Любой из этих барьеров разорвал бы цепочку, и ни один из них не требует технических знаний.

Поэтому правильный вопрос при входе — не «достаточно ли сложный у меня пароль», а «что ещё упадёт, если этот пароль уйдёт». Ломают не строку. Ломают человека, который торопится, — и защита нужна именно от этой спешки.

Что делать дальше