Управление файлами cookie
Настройки файлов cookie
Файлы cookie, необходимые для корректной работы сайта, всегда включены.
Другие файлы cookie можно настроить.
Другие файлы cookie можно настроить.
Исследование «Лаборатории Касперского». Какие пароли взламывают чаще всего
Примерное время чтения: 11 минут
Хотите всегда быть в курсе событий на рынке ИТ? Подписывайтесь на наш Telegram-канал!
- Простые последовательности цифр, имя кота или дата рождения — плохие варианты для пароля от аккаунта. Но люди до сих пор используют подобные комбинации, ведь слово запомнить проще, чем странную последовательность букв. Злоумышленникам тоже проще, только не запоминать, а взламывать.
«Лаборатория Касперского» проанализировала 231 млн уникальных паролей, которые попали в крупные утечки с 2023 по 2026 год, в том числе в России. Исследование показало: пользователи часто выбирают не случайные комбинации, а привычные и удобные для памяти конструкции. Как раз их легче всего взломать.
Другие исследования показывают похожую картину. Сервис мониторинга утечек данных DLBI изучал утечки из российских доменных зон, а Немецкий Институт цифровой инженерии имени Хассо Платтнера (HPI) проанализировал слитые аккаунты из даркнета.
Вывод: люди годами повторяют одни и те же ошибки. Рассмотрим, в чем они заключаются, какие просчеты самые частые и как создать надежный пароль.
Содержание:
Последовательности букв и цифр
Один из самых очевидных паттернов, которые задействованы в скомпрометированных паролях, — последовательности цифр. По данным «Лаборатории Касперского», 53% утекших паролей заканчивались цифрами, а 17% начинались с них. Почти 12% содержали числовую последовательность, похожую на дату, например год рождения, регистрации или другую значимую комбинацию от 1950 до 2030.
Еще один распространенный вариант — сочетания из букв, которые расположены на близлежащих клавишах. В утечках встречаются «qwerty», «ytrewq», «йцукен» и другие комбинации, которые легко быстро набрать. Для пользователя это удобно, но для злоумышленника — предсказуемо.
В рунете картина похожая. По данным DLBI, в первую тройку паролей, утекших в 2025 году, вошли «123 456», «12 345» и «123 456 777».
Имена, даты и слова
По данным «Лаборатории Касперского», 57% паролей содержат существующие слова. Это сильно снижает безопасность аккаунта. Половину из паролей со словами можно взломать меньше, чем за минуту, и только 12% — больше чем за год.
Пользователи часто выбирают слова с позитивной окраской: love, magic, friend, team, angel, star, eden. Встречаются и слова с негативным оттенком: hell, devil, nightmare, scar.
- Отдельно эксперты заметили влияние трендов: с 2023 по 2026 год количество упоминаний слова Skibidi в паролях выросло в 36 раз.
HPI фиксирует любовь пользователей к простым словам и бытовым комбинациям. В мировую десятку популярных паролей 2025 года попали варианты вроде hallo123, kaffeetasse, passwort и lol123.
В паролях на кириллице часто встречаются имена, например «Влад» и «Саша». Еще один популярный прием — набрать русское слово английскими буквами. Так «мама» превращается в «vfvf», «папа» — в «gfgf», а «пароль» — в «gfhjkm». Иногда делают наоборот: вводят английское имя в русской раскладке.
- Многие до сих пор считают надежным пароль в духе «любимое слово + дата + символ». Например, имя питомца, год рождения и восклицательный знак в конце. Формально в таком пароле есть буквы, цифры и спецсимвол.
Если пароль построен вокруг понятного слова, даты или имени, а цифры и символы просто добавлены в начало или конец, он остается удобной целью для подбора.
Длина пароля
Длина пароля важна, но сама по себе не гарантирует безопасность. По данным «Лаборатории Касперского», 60,2% всех утекших паролей можно взломать примерно за час, а 68,2% — за день. Риску подвержены и длинные комбинации: более 20% паролей длиной 15 символов можно взломать менее чем за минуту.
Пароли длиной 5−7 знаков могут подбираться практически мгновенно. Если защита слабая, пароль из семи цифр можно вычислить менее чем за секунду. При этом пароль длиной 16 символов с прописными и строчными буквами, цифрами и спецсимволами уже считается хорошим вариантом.
Так происходит из-за предсказуемости. Если пароль состоит из популярных слов и дат, взломать его просто, даже если в нем десятки символов.
- Главный эксперт «Лаборатории Касперского» Сергей Голованов объясняет, что злоумышленники не перебирают все варианты вслепую. Взломщики используют базы популярных паролей и «мутаторы» — инструменты, которые создают варианты знакомых слов: parol, p@rol, password, par0l, paro1 и похожие комбинации.
Спецсимволы
Большинство парольных политик требуют добавить к паролю хотя бы один спецсимвол. И чаще всего добавляют их:
- @ собака гордо забирает первое место, она есть в каждом десятом пароле.
- . точка расположилась на втором месте.
- ! восклицательный знак берет бронзу.
Замена вроде «a» на «@» может выглядеть надежно, но все равно остается шаблонной. Современные инструменты перебора учитывают такие привычки пользователей и проверяют их в первую очередь.
Старые пароли на новых аккаунтах
Еще одна проблема — повторное использование паролей. По данным «Лаборатории Касперского», 54% паролей, которые компания зафиксировала в новых утечках, уже встречались раньше. Частично это связано с тем, что одни и те же базы могут переходить из одного датасета в другой, но есть и другая причина: многие пользователи годами не меняют пароли.
Средний срок жизни пароля составляет 3−5 лет. Чем дольше он используется, тем выше вероятность его утечки из-за взлома, фишинга или заражения устройства вредоносным ПО.
Ситуация становится хуже, когда один и тот же пароль используется сразу для нескольких аккаунтов. В этом случае злоумышленнику достаточно найти комбинацию в одной старой утечке и попробовать ее на других сайтах.
- Пароль может устареть не потому, что его прямо сейчас кто-то взломал. Он устаревает, когда годами повторяется, попадает в старые базы, копируется в новые аккаунты и остается единственным ключом сразу к нескольким дверям.
Как придумать надежный пароль
Если кратко — не использовать распространенные паттерны, максимально рандомизировать порядок символов и увеличить длину пароля. А теперь расскажем подробнее:
- Использовать больше элементовСильным считается пароль в 16−20 знаков: с прописными и строчными латинскими буквами, цифрами и спецсимволами.
- Сгенерировать пароль, а не придуматьЭто поможет не задействовать в пароле паттерны, которые люди могут не осознавать: частые символы, сочетания букв или цифр. Менеджер паролей сгенерирует случайную комбинацию и сохранит ее — вам запоминать ее не придется.
- Проверить устойчивость пароля ко взломамНапример, с помощью Password Checker, Kaspersky Password Manager или утилиты zxcvbn.
- Убедиться, что ваших паролей нет в утекших базахДля этого зайдите на сайт haveibeenpwned.com.
- Не использовать один пароль в нескольких сервисахОдин аккаунт — один пароль. Если что-то будет скомпрометировано, это нанесет меньший ущерб, так как код больше ни к чему не подойдет.
FAQ
Один из самых популярных паролей в мире — «123 456». Он годами остается в топе утекших комбинаций, потому что его легко запомнить и быстро набрать.
В мировых рейтингах также часто встречаются простые последовательности вроде «123 456 789», qwerty, password и бытовые слова с цифрами. Пользователи часто выбирают не случайные комбинации, а то, что им удобно запомнить — и, к сожалению, легко взломать.
В мировых рейтингах также часто встречаются простые последовательности вроде «123 456 789», qwerty, password и бытовые слова с цифрами. Пользователи часто выбирают не случайные комбинации, а то, что им удобно запомнить — и, к сожалению, легко взломать.
По данным DLBI, в первую тройку паролей, которые утекли в рунете в 2025, вошли «123 456», «12 345» и «123 456 777». Еще в паролях встречаются имена, даты и русские слова, набранные в английской раскладке: например, «мама» как «vfvf» или «пароль» как «gfhjkm». Такие приемы кажутся хитрыми, но для инструментов взлома это обычные шаблоны.
Надежный пароль — длинный, уникальный и случайный. Хороший ориентир: 16−20 символов, прописные и строчные латинские буквы, цифры и спецсимволы. Но важна не только длина: если пароль состоит из имени, даты и восклицательного знака, он все равно остается предсказуемым.
Лучше не придумывать код вручную, а сгенерировать его в специальном менеджере. Для каждого сервиса нужен отдельный пароль: если один аккаунт взломают, злоумышленники не смогут использовать ту же комбинацию для почты, рабочих сервисов или банковского приложения.
Лучше не придумывать код вручную, а сгенерировать его в специальном менеджере. Для каждого сервиса нужен отдельный пароль: если один аккаунт взломают, злоумышленники не смогут использовать ту же комбинацию для почты, рабочих сервисов или банковского приложения.
Екатерина Ключникова
контент-менеджер