«Ключи от квартиры»: защищаемся от хакеров

1. Кому можно говорить пароли и коды.
2. Где находится самое уязвимое место.
3. Как придумать сложный пароль и легко его запомнить.
4. Почему пароли должны быть разными.
5. Как защититься от похитителей паролей.

Мы постоянно слышим фразы типа «пароль нельзя говорить никому» или «никому не сообщайте код из смс». Но потом появляется какой-нибудь «сотрудник службы безопасности» и говорит, что вот лично он — исключение из правил, ему точно можно все сказать. А вдруг это правда? Мы же не знаем правил работы всех на свете сервисов.

Сохранить безопасность паролей, пин-кодов или кодов из смс поможет прием «ключи от квартиры». Представьте, что вместо пароля или кода вы отдаете ключи от собственной квартиры.

В отличие от виртуального пароля или кода из смс, ценность ключей от квартиры мы представляем лучше. Стоит их дать не в те руки — квартиру ограбят. Если мысленно присвоить кодам и паролям такую же ценность, то мошенникам станет намного сложнее похитить у вас деньги и личные данные.

У многих из нас есть Айфон или смартфон на Андроиде, аккаунты в соцсетях и интернет-банк. Чтобы все они работали, нужна электронная почта.

Для регистрации в популярных бесплатных почтовых сервисах — «Яндекс», «Мэйл-ру», «Джимейл», — достаточно указать пароль.

Допустим, хакер узнал пароль от вашей основной почты. Вот что он может сделать:

1. Сменить ваши пароли от всех соцсетей. Попросить от вашего имени денег у всех ваших друзей.
2. Изменить ваш пароль от «Айклауда» или «Гугл-плея». Затем украсть у вас деньги или заблокировать смартфон.
3. Изучить вашу переписку, из которой хакер наверняка вытащит ваши паспортные данные и номер карты. Из соцсетей он легко достанет девичью фамилию вашей матери.
4. Зная ваши паспортные данные и номер карты, хакер поменяет пароль от интернет-банка, сменит контактный номер телефона и сможет свободно распоряжаться всеми вашими деньгами.
5. Если хакер достанет в почте скан вашего паспорта, он сможет взять на ваше имя кредит в недобросовестной кредитной организации, и тогда к вам придут коллекторы.

И все это — из-за одного ненадежного пароля от почты.

Вряд ли вы хотите, чтобы дверь в вашу квартиру можно было открыть ключом из магазина «1000 мелочей». Ну а если воры все же захотят взломать квартиру, на это у них должно уйти не пять минут, а час, чтобы успела приехать полиция.

С паролями так же: они защищают наши цифровые ценности. Поэтому лучше относиться к ним так же, как к ключам от квартиры: хотя бы сделать не такими, как у соседей.

Пароль не обязательно должен выглядеть так, словно вы ударились головой о клавиатуру. Но при этом длинный пароль гораздо безопаснее короткого. Набор символов «Hfgw12!» подобрать куда легче, чем «DlinniyParol123». Семь символов компьютер хакера сможет взломать за несколько минут, а на десять уже уйдут годы.

Специалисты по безопасности считают, что надежный пароль содержит более 14 символов. Главное — чтобы пароль был уникальным, ведь «password1234567890» и «mailru987654321» хакеры проверят в первую очередь.

Придумать длинный и уникальный пароль довольно просто. Представьте свою любимую еду, место, музыку или книгу. Опишите это в нескольких словах, добавьте эпитет, напишите латиницей — и основа для пароля готова!

После того как придумаете пароль, представьте его в голове. Не сам набор символов, а то, что он описывает. Вспомните вкус пельмешек со сметанкой, какая же большая и крутая книга этот «Властелин колец» или как качает песня Numb группы Linkin Park.

Такие образы мозг запомнит лучше, чем буквы. Когда придет время вводить пароль, вы легко его вспомните, прокрутив образ в голове.

Еще один способ придумать надежную основу для пароля — это набирать фразу на русском языке при включенной английской раскладке. Например, «СчастьеВсемДаром» превратится в «CxfcnmtDctvLfhjv». Только учтите, что такой пароль может быть неудобно набирать со смартфона: зачастую клавиатуры на телефонах не показывают одновременно русскую и английскую раскладки.

Представьте, что вы сказочно разбогатели и купили все квартиры в одном подъезде. Чтобы не носить с собой связку ключей, во всех дверях вы сделали одинаковый замок. А через неделю обнаружили, что все квартиры вскрыты: взломщикам было достаточно подобрать один ключ, а остальное — дело техники.

Так же и с паролями. Стоит хакеру получить ваш пароль от одного сервиса, как он попытается ввести его на всех других.

К сожалению, утечки баз данных с паролями время от времени случаются, особенно в небольших компаниях. Будет обидно, если хакеры украдут базу данных клиентов пиццерии, в которой вы делали заказ три года назад, и заодно получат пароль от вашей почты и соцсети.

Запомнить отдельный пароль для каждого сайта нереально. Но это и не требуется. Если вы придумали пароль в предыдущем разделе, то сможете его модифицировать с помощью простого алгоритма.

1. Добавьте в начало цифру, равную количеству букв после точки. Для сайта с доменом .ru это «2», для .com — «3», для .avia — «4» и так далее.
2. Напишите ваш пароль.
3. Добавьте в конец две буквы из названия сайта.

Например, нас поразила культура Франции, поэтому для пароля мы выбрали фразу «VivaLaFrance». Тогда пароль для сайта yandex.ru будет «2VivaLaFranceya», а для google.com — «3VivaLaFrancego».

Можно усложнить алгоритм как угодно: писать цифры буквами, брать больше букв из имени сайта в определенном порядке и тому подобное. Все это сделает пароль еще сложнее и крепче.

Теперь для каждого сайта у вас уникальный пароль — хакеры так просто вас не взломают. Достаточно запомнить образ и алгоритм, а все остальное пусть не забивает голову. Вспомнить конкретный пароль можно будет, лишь взглянув на название сайта.

Так как надежный пароль подобрать нереально, мошенники попытаются его украсть. Скажем, заманят на поддельный сайт и заставят там его ввести. Обычно в такой ситуации они рассчитывают на то, что вы будете невнимательны и вовремя не распознаете подделку. Но если взять на вооружение несколько простых методов, у них не останется и шанса похитить ваши данные.

Следить за адресной строкой. Иногда мошенники меняют буквы в адресе сайта местами или регистрируют похожие адреса. Расчет на то, что вы не станете вглядываться и по привычке введете свои данные.

Даже если знакомый человек прислал вам ссылку, внимательно прочитайте адрес сайта, прежде чем вводить там какие-либо данные. Быть может, вашего знакомого взломали, а ссылка ведет на поддельный сайт.

Не игнорируйте непонятные символы в адресной строке: если вместо «e» видите «ė», вместо «k» — «ķ», а вместо «с» — «ċ», скорее всего, это не пыль на мониторе, а попытка вас обмануть.

Используйте менеджеры паролей. Это программы, которые запоминают и защищают пароли. Пароли хранят в зашифрованном виде, так что даже разработчики менеджеров их не видят. Если злоумышленник получит доступ к вашему устройству, он тоже не сможет их похитить: для расшифровки ему понадобится еще и мастер-пароль, а его знаете только вы сами.

Главная польза менеджеров в том, что они проверяют адрес сайта за вас. Если вы сохранили пароль для yandex.ru, то программа не предложит его заполнить на сайте yandex.com или yanbex.ru. Так что если вы не видите подсказки от менеджера — скорее всего, сайт поддельный.

В некоторые браузеры уже встроен менеджер паролей, например в «Сафари», «Яндекс Браузер» или «Гугл-хром». Если вы используете одну учетную запись на всех устройствах, браузеры синхронизируют ваши пароли. Если вы уже заходили на сайт с компьютера, то подсказка с паролем появится и на смартфоне.

Если вас не устраивают менеджеры паролей в браузере, можно скачать отдельные программы: попробуйте LastPass, Kaspersky Password Manager или 1Password.

Храните пароли только в менеджере или в голове. Не держите пароли на стикерах на мониторе. Не носите их в бумажнике. Не записывайте в заметки в телефоне. Иначе вся надежность пойдет насмарку.

Настройте двухфакторную аутентификацию. Иногда эту функцию называют «подтверждение входа» или «дополнительная проверка».

Для входа в аккаунт помимо пароля нужно будет ввести случайно сгенерированный код. Даже если хакеры похитят пароль, они не смогут пройти дальше: для этого им придется похитить и ваш телефон. Подобрать код не получится: он меняется после каждой попытки ввода.

Обычно код отправляют в смс или через специальные приложения. «Телеграм» или «Вконтакте» пришлет код на другое устройство, на котором вы вошли, а «Джимейл» или «Яндекс» могут прислать его на запасную электронную почту.

Двухфакторную аутентификацию поддерживают все популярные почтовые сервисы, социальные сети и финансовые приложения. Зайдите в настройки, найдите этот пункт и включите его.

Не говорите никому код от двухфакторной защиты. Чтобы получить доступ к вашему аккаунту, мошенникам не обязательно спрашивать ваш пароль. Они могут нажать кнопку «забыл пароль» на сайте, ввести вашу почту, а потом выманить у вас код или ссылку на восстановление пароля под различными предлогами. После этого они поставят свой пароль, сменят почту и лишат вас доступа к аккаунту.

Установите пин-код на симкарту. Если вор украдет смартфон, он переставит симкарту в свое устройство, прочитает смс от сервисов и получит доступ к вашим данным и деньгам. А с пин-кодом у него ничего не выйдет: симка не будет работать, пока на телефоне не введут правильные четыре цифры. После нескольких неудачных попыток карта заблокируется.

Чтобы установить пин-код, надо сначала включить его в настройках телефона, а потом поменять с дефолтного на надежный. В Т⁠—⁠Ж есть подробная статья о том, как установить пин-код на симкарту.

Не доверяйте роботам. Некоторые мошенники поступают особо цинично. Например, звонят, представляются сотрудником службы безопасности и говорят, что от вас нужен код из смс или письма. Но так как сказать код просят только мошенники, сообщать его не нужно: для этого вас якобы переключат на голосового помощника. Бездушной машине сказать код уже можно, она же не мошенник.

На самом деле ни на какого робота вас не переключат: мошенники могут включить какие-то звуки для имитации голосового помощника, но останутся на линии и услышат, как вы диктуете код.

Эта схема работает не только с двухфакторной аутентификацией, но и с кодами для подтверждения покупок в интернете. Будьте внимательны и не забывайте про прием «взять паузу» в таких случаях.

Мы разобрались с негодяями, которые крадут наши пароли и деньги втихую. Пришло время перейти на следующий уровень: научиться вычислять мошенников, которые не прячутся, а открыто рекламируют свои «услуги».

В следующем уроке мы разберемся, как оценивать предложения вложиться или сэкономить и обходить стороной подозрительные сделки.

1. Охраняйте ваши пароли так, словно это ключи от квартиры.
2. В первую очередь защитите электронную почту.
3. Используйте уникальный пароль для каждого сайта.
4. Запомнить пароль поможет яркий образ и алгоритм.
5. Держите пароль только в голове или менеджере паролей.
6. Просят ввести пароль — проверьте адрес сайта.
7. Используйте двухфакторную аутентификацию.