Как одинаковый пароль открывает чужие аккаунты автоматом

Представьте, что у злоумышленника есть список из миллиона пар «почта — пароль», утёкший с какого-то сайта. Он не станет разбираться, кто эти люди. Он напишет программу, которая попробует каждую пару на почте, маркетплейсах, в соцсетях и банках.

Даже если подойдёт одна пара из ста, это десять тысяч рабочих аккаунтов за ночь. Именно поэтому использование одинакового пароля опаснее, чем кажется: страдает не тот сайт, где была утечка.

Почему это работает так хорошо

Люди повторяют пароли. Это не глупость, а следствие арифметики: у среднего человека десятки аккаунтов, и запомнить десятки разных строк невозможно. Повторяют и слегка видоизменяют — что программу перебора тоже не смущает, вариации она проверяет заодно.

Второй фактор — вторая причина, по которой это не работает. Там, где он включён, правильный пароль сам по себе ничего не даёт.

Как понять, что вас проверяют

• Письма «вы пытались войти» или «подозрительная попытка входа» с сервисов, куда вы не заходили.
• Коды подтверждения, которых вы не запрашивали. Это значит, что пароль уже подошёл и остановил вход только второй фактор.
• Аккаунт внезапно требует сменить пароль «по соображениям безопасности».

Код, который вы не запрашивали, — это сигнал тревоги, а не спам. Он означает, что ваш пароль у кого-то есть.

Что делать

1. Не вводить код, который пришёл без вашего участия, ни на каком сайте и тем более не диктовать его по телефону.
2. Сменить пароль на этом сервисе — и на всех, где стоял такой же.
3. Включить второй фактор, если его не было.
4. Проверить список активных сессий и завершить незнакомые.

Единственное надёжное лечение

Уникальный пароль на каждом сайте. Тогда утечка с форума остаётся утечкой с форума, а не раздаёт доступ к почте и банку. Помнить их все не нужно и невозможно — это работа менеджера паролей.

Если менять всё разом не хочется, начните с трёх: почта, банк, главный мессенджер. Именно их подставляют первыми.