Менять пароль каждые три месяца и ставить @ вместо «а»: 6 мифов о защите аккаунтов, которые только вредят

Какой пароль от почты продержится дольше: P@ssw0rd2026! с собачкой, нулём и восклицательным знаком или четыре случайных слова вроде «сирень трамвай кефир ноябрь»? Программа для подбора паролей ответит быстрее вас, и собачке этот ответ не понравится.

Менять пароль каждый квартал, разбавлять буквы значками, ничего не записывать: этим правилам нас учат на работе и в банке больше двадцати лет. А в 2025 году американский институт стандартов NIST, откуда они когда-то и пошли, записал у себя обратное. Ниже шесть таких мифов: какие просто бесполезны, а какие прямо вредят вашей почте, банку и Госуслугам.

Миф 1. «Пароль надо менять каждые три месяца»

Это правило многие знают по работе: раз в квартал система требует новый пароль, не похожий на три предыдущих. Звучит заботливо. На деле она почти не защищает: новый пароль люди делают из старого.

Причина в людях. Когда пароль приходится менять постоянно, никто не придумывает каждый раз новый с нуля. Делают Весна2026!, потом Лето2026!, потом Осень2026!. Или прибавляют единичку в конце. Исследователи из Университета Северной Каролины в 2010 году проверили это на 7700 аккаунтах своих студентов и сотрудников. Они брали старый пароль человека и подбирали новый у 41% аккаунтов, в среднем меньше чем за три секунды на обычном компьютере. А у 17% новый пароль угадывался меньше чем за пять попыток прямо в окне входа.

Выходит наоборот. Как раз против вора, который уже знает старый пароль, плановая смена почти не работает: новый он угадывает за секунды.

Это давно признали и те, кто правило вводил. Британские специалисты по кибербезопасности отговаривали от принудительной смены ещё в рекомендациях 2015 года, а в 2016-м их новый центр NCSC повторил это публично. Microsoft в 2019 году убрала её из базовых настроек безопасности Windows и назвала «древней и устаревшей мерой очень низкой ценности». А в июле 2025 года NIST выпустил новую редакцию своего стандарта SP 800-63B, где написано прямо: сервисы не должны требовать периодической смены пароля. Раньше там стояло мягкое «не рекомендуется», теперь это запрет.

Миф 2. «Сложный пароль — это с @, цифрой и большой буквой»

Сайты годами учили нас, что надёжный пароль обязательно содержит заглавную букву, цифру и спецсимвол. Люди выполняют требование самым очевидным способом: берут слово, делают первую букву большой, меняют «а» на @, «о» на ноль и дописывают единицу.

Беда в том, что это очевидно и для программ перебора. У них есть готовые наборы замен: а→@, о→0, дописать в конец 1 и 2. Популярная программа hashcat, например, берёт словарь из миллионов слов и прогоняет каждое через сотни таких замен. Пароль P@ssw0rd для неё ничем не отличается от password: тот же словарь плюс одна строчка правил.

Длина работает совсем по-другому. Каждый лишний символ умножает число вариантов, которые надо перебрать. Поэтому NIST в новой редакции требует от сервисов минимум 15 символов для пароля, который служит единственной защитой, и запрещает им навязывать правила вроде «обязательно цифра и спецсимвол». Мы как-то сами посадили обычный мини-ПК подбирать пароли: пароль из восьми цифр он вскрыл за десять секунд. Цифры и подробности — в материале за сколько взломают ваш пароль.

Отсюда и ответ на вопрос из начала. Четыре случайных слова, не связанных между собой, дают пароль в двадцать с лишним букв, который легко запомнить и трудно перебрать. Главное, не придумывать слова самому: из головы лезут связанные между собой. Пусть их выберет генератор в менеджере паролей или обычный игральный кубик.

Требование «обязательно спецсимвол» на сайтах в 2026 году — вредное наследие. Взломщику оно не мешает, а человека гонит писать пароль на стикере у монитора. Держится оно, по-видимому, потому, что галочку в чек-листе поставить проще, чем переписать правила.

Миф 3. «Мой аккаунт никому не нужен»

Самый живучий миф, и самый опасный. Кажется, что взлом — это когда хакер сидит и подбирает пароль именно к вашей почте. Так почти никогда не бывает.

Взламывают базами. Какой-нибудь сайт с рецептами или интернет-магазин теряет базу пользователей, и миллионы пар «почта + пароль» уходят в сеть. Дальше роботы пробуют эти пары на всех крупных сервисах подряд: почта, соцсети, маркетплейсы, банки. Если вы поставили один и тот же пароль на сайт с рецептами и на почту, робот войдёт в почту с первой попытки. Подбирать ничего не надо. Microsoft в 2024 году отбивала в среднем около 7000 атак на пароли в секунду, и это только её собственные сервисы входа.

Масштаб утечек проще всего увидеть на сайте Have I Been Pwned, где собраны слитые базы. На 12 октября 2026 года там больше 17,8 млрд записей с более чем тысячи взломанных сайтов. Там же можно ввести свою почту и посмотреть, в какие утечки она попадала. Сервис показывает только список утечек, сами пароли он не раскрывает.

Зачем взломщику ваш аккаунт, если вы не миллионер? Чтобы написать вашим друзьям «займи до пятницы», зайти в маркетплейс с привязанной картой, забрать бонусы, сбросить пароли от других сервисов через вашу почту. Почта вообще главный ключ: через неё восстанавливают доступ почти ко всему.

Миф 4. «Замочек в адресной строке — значит, сайт настоящий»

Замочек слева в адресной строке проверяют все, и почти все понимают его неправильно. Кое-что он действительно значит, но совсем не то, что думают.

Он показывает, что соединение между вашим браузером и сайтом зашифровано. Подслушать, что вы вводите, по дороге не получится. Но кто сидит на другом конце, замок не говорит. Поддельная страница банка с адресом на одну букву длиннее получает такой же замок за несколько минут и бесплатно. Как домофон: он исправно соединит вас с квартирой, но кто снял трубку наверху, он не знает.

Сама Google признала, что замок вводит людей в заблуждение. В 2023 году команда Chrome написала в блоге: смысл значка правильно понимали только 11% участников их исследования. И добавила, что почти все фишинговые сайты работают по HTTPS, так что замок у них тоже есть. Поэтому начиная с Chrome 117, осенью 2023 года, замок в адресной строке стали заменять нейтральным значком настроек. Последняя цифра от рабочей группы APWG, которая следит за фишингом: в начале 2021 года защищённое соединение было у 83% фишинговых сайтов.

Миф 5. «Код из СМС — ерунда, его всё равно перехватят»

Это миф наизнанку: тут защиту, наоборот, недооценивают. В интернете много страшилок про перехват СМС и подмену сим-карты, и после них кажется, что второй шаг входа ничего не даёт. Даёт, и очень много.

В 2019 году Google вместе с учёными из Нью-Йоркского университета и Калифорнийского университета в Сан-Диего посчитала, сколько атак останавливает второй шаг. Код по СМС на привязанный номер заблокировал 100% автоматических атак роботов, 96% массового фишинга и 76% целевых атак, когда взломщик охотится лично за вами. Подтверждение входа через уведомление на телефоне справилось ещё лучше: 99% массового фишинга и 90% целевых атак. Цифры касаются аккаунтов Google. У других сервисов картина, скорее всего, похожая, хотя точных российских цифр нет.

Перехват СМС случается, но это дорогая целевая атака. У нас главная угроза куда приземлённее: человек сам называет код. Звонит человек, называет себя службой безопасности банка или оператором связи и просит продиктовать цифры из СМС, чтобы отменить подозрительную операцию. Никакой перехват не нужен, код отдают добровольно. Ни банк, ни Госуслуги, ни оператор никогда не просят продиктовать код по телефону.

Надёжнее СМС — приложение-генератор одноразовых кодов, оно работает без сим-карты и сети. Госуслуги, кстати, такой вход поддерживают. В настройках безопасности профиля можно выбрать одноразовый код из приложения-генератора, код в мессенджере MAX или биометрию. Вход по СМС Минцифры с конца 2025 года поэтапно отключает: с телефона его уже может не быть, на компьютере он пока работает. С приложением есть оговорка, о которой Госуслуги предупреждают сами: потеряете доступ к нему, войти по одноразовому коду не получится. Поэтому включайте его, только если у приложения настроена резервная копия. Если СМС-коды на телефон вообще не доходят, разбирали, почему не приходит СМС с кодом.

Миф 6. «Записывать пароли на бумажке — верх беспечности»

Стикер на мониторе в офисе — и правда плохая идея. Но сама идея записать пароль не так ужасна, как её рисуют.

Ещё в 2005 году известный специалист по безопасности Брюс Шнайер советовал записывать пароли на листок и хранить его в кошельке, рядом с другими ценными бумажками. Логика простая. Ваш пароль крадут люди за тысячи километров, через утёкшие базы и фишинговые страницы. Удалённо до листка в кошельке или ящике стола не дотянуться. Зато человек, которому разрешили записывать, ставит длинные и разные пароли, а не один Masha1985 на всё.

Лучше бумажки, конечно, менеджер паролей: он сам придумывает длинные пароли, сам их подставляет и не даст ввести пароль на поддельном сайте, потому что не узнает адрес. Какой выбрать, подробно разбирали в обзоре менеджеров паролей. Но если с менеджером пока не складывается, тетрадка в ящике стола всё равно лучше, чем один пароль на всё.

Две оговорки. Не фотографируйте листок на телефон и не переписывайте его в заметки без пароля: утащат телефон — утащат и всё остальное. Что делать, если это уже случилось, есть в инструкции на случай, если украли или потеряли смартфон. И пароль от почты лучше всё-таки помнить наизусть.

Что ещё спрашивают про пароли

Моя почта нашлась в утечке сайта, которым я давно не пользуюсь. Что делать? Смените пароль везде, где стоял такой же. Сам заброшенный сайт уже не важен, важен пароль, который из него утёк.

Отпечаток пальца или лицо вместо пароля — это надёжнее? Для телефона в кармане удобно и вполне надёжно: биометрия открывает один телефон, тот, что у вас в руках. Но за ней всё равно стоит PIN-код или пароль, и именно его спросят после перезагрузки. Он и должен быть хорошим.

Хватит ли PIN-кода из четырёх цифр на телефоне? От случайного человека хватит: после нескольких ошибок телефон блокирует ввод. Но шесть цифр не сложнее запомнить, а вариантов в сто раз больше. Только не год рождения и не 123456.

Браузер предлагает сохранить пароль. Соглашаться? Это лучше, чем один пароль на всё, особенно если браузер сам придумывает длинные. Но за незапертым компьютером браузер сам подставит ваши пароли в любую форму, а его хранилище — первое, что ищут программы-воришки. Отдельный менеджер с собственным мастер-паролем надёжнее.

Пароли чаще крадут массово: из чужих утечек, через поддельные страницы и звонки из банка. Поэтому первое дело на пять минут сегодня — зайти в настройки почты, поставить ей длинный пароль, которого больше нет нигде, и включить второй шаг входа.

Если статья помогла — поделитесь с теми, кому может пригодиться. И заходите в наш канал в MAX, Telegram и Дзен — там анонсы новых материалов.