Ви маєте десятки облікових записів. Можливо навіть сотні. Перевірка всіх вимагає розумових зусиль, які більшість людей не готові нести. Результат? Ви вибираєте шлях найменшого опору. Ви вибираєте пароль, який легко запам’ятати. Ви використовуєте один і той же рядок на п’яти різних сайтах. Це здається зручним.
Це також кошмар безпеки.
Компанія з кібербезпеки NordPass відстежує цю поведінку щороку. Їхні дані за 2024 рік, зібрані з витоків даних у 44 країнах, показують, наскільки поганою стала ця звичка. Список найпоширеніших паролів – це цвинтар цифрової безпеки. Ось як виглядають головні порушники та чому вам потрібно негайно перестати їх використовувати.
Топ-25 найпоширеніших паролів 2024 року
Це не просто випадкові припущення. Вони є лінивими параметрами за замовчуванням мільйонів користувачів. NordPass виявила ці рядки у витоках даних, зафіксувавши частоту їх використання.
- 123456 : 1,2 мільйона випадків
- 123456789 : 693 000 випадків
- 12345678 : 365 000 випадків
- secret : 339 000 випадків
- password : 196 000 випадків
- qwerty123 : 144 000 випадків
- qwerty1 : 138 000 випадків
- 111111 : 106 000 випадків
- 123123 : 102 000 випадків
- 1234567890 : 93 000 випадків
- qwerty : 92 000 випадків
- 1234567 : 86 000 випадків
- 11111111 : 80 000 випадків
- abc123 : 58 000 випадків
- iloveyou : 54 000 випадків
- 123123123 : 51 000 випадків
- 000000 : 46 000 випадків
- 00000000 : 45 000 випадків
- a123456 : 42 000 випадків
- password1 : 41 000 випадків
- 654321 : 41 000 випадків
- qwer4321 : 36 000 випадків
- 1q2w3e4r5t : 35 000 випадків
- 123456a : 35 000 випадків
- q1w2e3r4t5y6 : 34 000 випадків
Подивіться перші п’ять позицій. Прості числа. Саме слово “password” (пароль). Це звучить абсурдно, але зручність перемагає пильність щоразу.
Чому шаблони на клавіатурі – це катастрофа
Перейдіть до цього списку, і ви помітите закономірність. Це невипадково. Більшість цих рядків слідують за фізичною розкладкою вашої клавіатури. Клавіші QWERTY. Послідовні числа.
Це катастрофічний збій у безпеці.
Хакерам не потрібний просунутий штучний інтелект, щоб зламати їх. Вони використовують автоматизовані скрипти. Ці скрипти виконують атаки методом грубої сили, використовуючи найпоширеніші списки паролів. Вони перевіряють ці рядки проти вашого облікового запису за секунди. Якщо ви використовуєте qwerty123 або 123456, ваш обліковий запис, швидше за все, вже скомпрометований, навіть до того, як атака буде зареєстрована як попередження.
Навіть “звичайні іменники”, такі як “secret” (секрет) або “iloveyou” (я тебе люблю), є слабкими. Вони є першими словами, які пробують за будь-якого словника атак. Вони не являють собою реальної перешкоди для автоматизованих інструментів.
Пастка особистих даних
Крім безглуздого набору символів на клавіатурі існує ще одна категорія вразливостей. Вона пов’язані з особистою інформацією.
Аналіз тенденцій показує, що використовують назви тварин (monkey, dragon, unicorn — мавпа, дракон, єдиноріг). Вони використовують назви видів спорту (baseball, football, soccer – бейсбол, футбол, футбол). Вони використовують власні імена, такі як «ashley» або «michael», часто написані малими літерами.
Що ще гірше, люди вбудовують дані, що ідентифікують, у свої облікові дані. Частини свого імені. Місто, в якому вони народилися. Рік народження.
Чому це небезпечно? Тому що ці дані є загальнодоступними. Вони є у соціальних мережах. Вони є у старих витоках даних. Шахраї можуть зібрати їх докупи за лічені хвилини. Хтось із ваших знайомих може вгадати його, якщо він має хоча б невиразне уявлення про ваше життя.
Ключовий висновок : Будь-який пароль, що містить особисті ідентифікатори або поширені фрази, є слабким. Його можна фішингувати чи вгадати знайомими.
Як побудувати більш надійний захист
Урок, який випливає з даних 2024 року, зрозумілий. Методи, які люди використовують для створення сильних паролів, активно роблять їх слабшими.
Уникайте рядків у числовому чи алфавітному порядку. Уникайте шаблонів на клавіатурі. Уникайте поширених іменників. І, що найважливіше, уникайте будь-якої особистої інформації.
Сильний пароль нічим не нагадує топ-25 список. Він має бути випадковим. Він має бути довгим. Він не повинен існувати в жодному словнику.
Ключовий висновок : Перестаньте додавати «1» або «!» до слабкого слова. Це не допомагає. Це
Більшість людей ставляться до свого цифрового життя як до будинку з відчиненими дверима. Вони залишають двері незачиненими, а світло включеним. Якщо ви дійсно хочете захистити свої дані, вам потрібно припинити думати як користувач і почати думати як ціль. Хороша новина полягає в тому, що інструменти для цього безкоштовні. Погана новина в тому, що більшість людей ігнорують їх доти, доки не стає надто пізно.
1. Перестаньте покладатися на пам’ять під час створення паролів
Найбільша помилка, яку роблять люди, це спроба бути «хитрим» при створенні паролів. Ви знаєте цей сценарій. “Password123” – це лінь. «Summer2024!» – Передбачувано. Навіть якщо ви змінюєте рік або додаєте символ, це все одно залишається шаблоном. Людський мозок погано справляється із випадковістю. Він прагне структури. Хакери люблять структуру, бо її легко зламати.
Єдиний по-справжньому надійний пароль це той, який ви не знаєте.
Веб-браузери, такі як Chrome, можуть генерувати такі рядки за вас. Вони створюють довгі, хаотичні комбінації великих і малих літер, цифр і розділових знаків. Атака методом грубої сили (коли програмне забезпечення пробує кожну можливу комбінацію) стає математично неможливою за достатньої довжини та складності.
Але є каверза? Ви не можете запам’ятати такий пароль.
Тому ви записуєте його чи зберігаєте. Це підводить нас до наступного пункту.
2. Чому двофакторна автентифікація – це обов’язкова вимога
Двофакторна автентифікація (2FA) додає другий рівень перевірки. Це не просто «приємне доповнення». Це різниця між зламаним замком та відчиненими дверима.
Ось як це працює. Навіть якщо хакер вкраде ваш пароль в результаті витоку даних або атаки фішингу, він не зможе увійти в систему без другого фактора. Це може бути текстове повідомлення на ваш телефон, код електронною поштою або одноразовий токен із програми, такої як Google Authenticator.
Математика проста. Щоб отримати доступ, їм потрібні і ваш пароль, і ваш фізичний пристрій. Якщо вони мають лише одне, але не інше, вони залишаються заблокованими.
«Двофакторна автентифікація експоненційно підвищує рівень безпеки, тому що навіть якщо хакер вкраде ваш пароль, він не зможе увійти в систему, якщо він також не матиме доступу до цього другого облікового запису електронної пошти або фізичного доступу до вашого смартфона».
Так, це додає кілька секунд до входу в систему. Ви натиснете зайву кнопку. Ви перевірите свій телефон. Зробіть це. Час, заощаджений завдяки запобіганню крадіжці особистості, нескінченний.
3. Пастка підбору облікових даних
Використання одного і того ж пароля для всіх облікових записів — найшвидший спосіб втратити все.
Уявіть, що ви використовуєте MyDogIsMax1 для своєї електронної пошти, банку та сайту для покупок. Один із цих сайтів зламують. Зловмисники вивантажують базу даних у даркнет. Їм не важлива ваша електронна пошта. Їм важливі гроші.
Вони використовують скрипт. Цей скрипт бере цей пароль і пробує його на сотнях інших великих сайтів. Це називається підбором облікових даних (credential stuffing). Для них це найнижчі зусилля, але висока нагорода.
Якщо ви використовуєте унікальний пароль для кожного облікового запису, успішність такої атаки падає до нуля. Один витік торкається лише одного облікового запису. Інші залишаються в безпеці. Все так просто.
Дилема менеджера паролів
Вам потрібні складні, унікальні паролі. Ви не можете запам’ятати їх усі. Вам потрібний інструмент.
На сцену виходить менеджер паролів. Ці програми зберігають ваші облікові дані у зашифрованому сховищі. Вам потрібно запам’ятати лише один головний пароль. Програмне забезпечення заповнює все інше. Більшість сучасних браузерів мають цю вбудовану функцію. Це зручно. Дані синхронізуються між пристроями.
Але є ризик.
Якщо ви використовуєте хмарний менеджер паролів, ваше сховище знаходиться на сервері. Якщо цей сервер зламають, ваші ключі виявляться розкритими. Якщо ви втратите свій головний пароль, ви будете назавжди заблоковані, якщо у вас немає плану відновлення.
Для максимальної безпеки шукайте автономні рішення. Деякі менеджери паролів зберігають дані лише на вашому локальному комп’ютері. Без синхронізації у хмарі. Без віддаленого сервера. Існують навіть апаратні пристрої, схожі на флешки чи калькулятори. Вони не мають підключення до Інтернету. Вони ізольовані за своєю конструкцією.
«Найбезпечніші менеджери зберігають паролі лише на вашому локальному комп’ютері, а не на якомусь сервері».
Якщо ви оберете автономний варіант, ви повинні запам’ятати свій головний пароль. Запишіть його на папері. Сховайте у сейфі. Не кладіть його поруч із комп’ютером. Не зберігайте його у текстовому файлі на робочому столі. Фізична безпека має значення, коли цифрова безпека є локальною.
Стародавнє коріння сучасних секретів
Ми не перші, хто турбувався про шпигунів та секрети. Шифрування – це не сучасний винахід. Воно налічує тисячі років.
Найперший відомий приклад з’являється у Стародавній Індії близько 300 року до н.е. У тексті «Артхашастра», індуїстському трактаті про державне управління, описується використання зашифрованих повідомлень солдатами та шпигунами. Їм треба було передавати інформацію так, щоб вороги не могли її прочитати. Вони використовували шифри підстановки. Вони змінювали значення літер.
Сьогодні ми використовуємо ту саму логіку. Ми просто використовуємо більш швидкі комп’ютери та складнішу математику. Принцип залишається тим самим. Сховайте сенс. Захистіть ключ.
Ви можете продовжувати використовувати той самий пароль, який використали у 2015 році. Або ви можете використовувати випадковий рядок, двофакторну автентифікацію та унікальне сховище. Вибір за вами Хакери чекають.
