Пароль, которому несколько лет, сам по себе не становится опасным. Гораздо важнее другое: не использовался ли он на других сайтах и не оказался ли среди украденных данных. Современные рекомендации по кибербезопасности больше не требуют менять надежный пароль просто по календарю, если нет признаков взлома.

А вот одинаковая комбинация для почты, магазина и соцсетей - уже серьезная проблема. Начинать проверку цифровой безопасности лучше с тех аккаунтов, потеря которых способна потянуть за собой остальные.

Начните с электронной почты

Основной почтовый ящик - фактически главный ключ ко всей цифровой жизни. Через него восстанавливают доступ к социальным сетям, облачным хранилищам, магазинам и множеству других сервисов.

Злоумышленнику достаточно получить контроль над почтой, чтобы попытаться поменять пароли и скрыть уведомления о происходящем. Поэтому именно этот аккаунт стоит проверять первым.

Зайдите в настройки безопасности и посмотрите:

• какие устройства подключены к почте;
• не было ли входов из незнакомых городов или стран;
• правильно ли указаны резервный адрес и номер телефона;
• не появились ли неизвестные правила переадресации;
• какие сторонние приложения получили доступ;
• включена ли многофакторная аутентификация.

Если пароль от почты используется еще где-то, его лучше заменить в первую очередь.

Следом - аккаунт телефона или компьютера

Google, Apple и Microsoft-аккаунты обычно хранят гораздо больше, чем обычная учетная запись на сайте. Там могут находиться фотографии, резервные копии, документы, контакты, история местоположений, сохраненные банковские карты и доступ к другим сервисам.

Проверьте список устройств. Старый телефон, проданный планшет или компьютер, которым давно никто не пользуется, не должны продолжать числиться среди подключенных устройств.

Заодно посмотрите недавние входы, способы восстановления доступа и приложения, которым разрешен доступ к учетной записи. Если сервис предлагает passkey, его можно использовать вместо обычного пароля: вход подтверждается конкретным устройством, отпечатком пальца, распознаванием лица или PIN-кодом, что дает дополнительную защиту от фишинга.

Банковские приложения тоже стоит пересмотреть

В интернет-банке пароль может вообще не быть главным способом авторизации. Но это не означает, что настройки безопасности можно оставить без внимания.

Убедитесь, что у банка указан актуальный номер телефона и электронная почта, а уведомления о платежах включены. Затем проверьте PayPal и другие платежные сервисы, инвестиционные приложения, интернет-магазины с сохраненными картами, сервисы такси и доставки, а также подписки, где хранятся платежные данные.

Если приложение показывает активные устройства или сеансы, завершите незнакомые подключения. А при подозрительных операциях нужно сразу связаться с банком - одной смены пароля недостаточно.

И еще одно важное правило: пин коды банковских приложений нельзя сообщать никому. Даже если собеседник представляется сотрудником банка или полиции.

Социальные сети могут стоить репутации

Взломанный аккаунт - это не всегда история про украденные деньги. Через чужую страницу могут рассылать знакомым просьбы занять деньги, размещать мошенническую рекламу или пытаться получить контроль над корпоративными страницами.

Особенно внимательно стоит проверить аккаунты тем, кто через личный профиль управляет рабочей страницей, рекламным кабинетом или аккаунтом организации. Один скомпрометированный пароль в таком случае способен открыть гораздо больше, чем личную переписку.

Проверьте активные сеансы, администраторов страниц, связанные аккаунты и подключенные приложения. Незнакомое устройство сначала отключите, затем поменяйте пароль и включите дополнительную защиту.

Не забудьте про мессенджеры. В них тоже есть списки подключенных компьютеров и веб-сеансов, а иногда злоумышленнику вообще не требуется знать пароль - достаточно получить доступ к уже разблокированному устройству.

Старую рабочую почту тоже нельзя оставлять без внимания

Рабочая учетная запись может содержать документы, контакты клиентов, внутреннюю переписку и доступ к корпоративным сервисам. Особенно неприятная ситуация возникает, когда один пароль используется одновременно для рабочих и личных аккаунтов.

Проверьте рабочую почту, облачные диски, сервисы видеоконференций и программы для управления проектами. Если человек давно ушел из компании, но доступ к старой учетной записи все еще сохраняется, об этом стоит сообщить бывшему работодателю.

Самая неприятная находка - забытый аккаунт

Форум, интернет-магазин, сайт знакомств, игровая площадка или сервис бронирования, которым не пользовались несколько лет, легко вылетает из памяти. Но учетная запись никуда не исчезает: в ней могут остаться телефон, адрес, дата рождения и старый пароль.

Полезно проверить основные адреса электронной почты через Have I Been Pwned - сервис показывает, фигурировал ли адрес в известных утечках данных. Сам факт обнаружения почты в списке еще не означает, что в утечку попал пароль: важно посмотреть, какие именно данные были скомпрометированы.

Не стоит вводить действующий пароль на случайных сайтах, которые обещают проверить его надежность. Для такой проверки безопаснее использовать встроенную функцию поиска скомпрометированных паролей в известном менеджере паролей или операционной системе.

Один пароль для всех сайтов - гораздо хуже старого пароля

Представим, что пароль не менялся пять лет, но все это время использовался только в одном месте и не попадал в утечки. Это одна ситуация.

А теперь тот же пароль используется для почты, магазина, соцсети и еще нескольких сервисов. Если база одного из них попадет к преступникам, они могут автоматически проверить ту же комбинацию на других популярных площадках. Такой способ атаки называется credential stuffing.

Эксперты рекомендуют использовать для каждого аккаунта отдельный пароль. Запомнить десятки случайных комбинаций практически невозможно, поэтому здесь пригодится менеджер паролей: он способен создавать длинные пароли, хранить их в зашифрованном виде и предупреждать о повторном использовании.

Для самого менеджера нужен отдельный длинный пароль или парольная фраза, которая больше нигде не используется. Многофакторную аутентификацию тоже стоит включить.

Второй фактор часто важнее очередной смены пароля

Даже сложный пароль можно украсть с помощью фишинговой страницы или вредоносной программы. Именно поэтому для почты, социальных сетей, облачных сервисов и других важных аккаунтов стоит включить MFA.

В качестве дополнительной защиты лучше использовать passkey, физический ключ безопасности или приложение-аутентификатор. SMS-код тоже повышает безопасность, хотя считается менее надежным вариантом.

Резервные коды восстановления сохраните отдельно от телефона. Иначе при потере устройства можно одновременно лишиться и второго фактора, и доступа к самому аккаунту.

В каких случаях пароль нужно менять сразу

Есть ситуации, когда ждать плановой проверки точно не стоит. Пароль необходимо менять, если:

• сервис сообщил об утечке данных;
• пришло уведомление о незнакомом входе;
• без вашего участия изменились настройки аккаунта;
• появились письма, которых вы не отправляли;
• кто-то запросил смену пароля;
• антивирус обнаружил вредоносную программу;
• пароль вводился на подозрительной странице;
• одна и та же комбинация используется в нескольких аккаунтах.

Если такое произошло, сначала защитите электронную почту. Затем с надежного устройства поменяйте пароль, завершите активные сеансы и отзовите доступ неизвестных приложений.

После этого ту же комбинацию нужно заменить везде, где она использовалась. Именно повторное использование превращает один скомпрометированный пароль в проблему сразу для нескольких аккаунтов.