За 2025 год в массивах слитых данных в криминальных источниках нашли 1,1 млн мастер-паролей от популярных менеджеров паролей. Об этом говорится в отчете за 2026 год американской компании SpyCloud, специализирующейся на анализе киберпреступности. Технический директор компании по защите данных Haspbox Александр Гусев рассказал «Газете.Ru», как злоумышленники получают «ключ от всех аккаунтов».
Хороший парольный кошелек не хранит мастер-пароль в открытом виде, поэтому взлом сервера разработчика не даст хакерам доступ к данным клиентов. Однако ключевую комбинацию перехватывают другими способами.
Первый — поддельное окно менеджера паролей (классический фишинг): пользователь сам вводит мастер-пароль на поддельном сайте, и комбинация уходит злоумышленнику.
Второй — программа-шпион на компьютере, которая записывает нажатия клавиш и снимает экран: в этом случае сложность пароля не спасает. «Пример — взлом популярного менеджера паролей LastPass в 2022 году, когда злоумышленник заразил личный компьютер сотрудника и перехватил его мастер-пароль, а затем обошел многофакторную проверку», — отметил Гусев.
Третий способ — слабый или многократно использованный пароль: достаточно утечки на одном сайте, чтобы комбинацию проверили на входе в кошелек.
Чтобы не стать жертвой хакеров, Александр Гусев советует семь правил защиты мастер-пароля. Во-первых, нужно придумать отдельную длинную фразу не менее чем из 16 символов или из пяти–семи случайных слов и не использовать ее больше нигде. Также стоит включить многофакторную защиту самого менеджера — лучше ключ безопасности или вход по стандарту FIDO/WebAuthn (биометрия, пин-коды, токены), устойчивый к фишингу.
Не стоит вводить мастер-пароль в окно, всплывшее внутри сайта: безопаснее закрыть его и открыть официальное приложение или закрепленную кнопку менеджера в браузере. Реже вводить пароль вручную помогает локальная разблокировка по биометрии или PIN-коду. Также важно обновлять операционную систему, браузер и расширения, не использовать взломанное ПО и хранить резервные коды многофакторной аутентификации офлайн.
Если мастер-пароль вводился на подозрительной странице или устройство заражено, менять его нужно с другого, заведомо чистого устройства, затем завершить все активные сеансы, удалить неизвестные доверенные устройства и заменить важные пароли — прежде всего от основной почты, банковских и рабочих аккаунтов. Простая смена мастер-пароля не спасет от уже украденных cookie-файлов и не заменит пароли внутри хранилища, подчеркнул эксперт.
Ранее сообщалось о современных способах хранения паролей в интернете.