Ошибки при выборе паролей: даты, имена, шаблоны и повторы и как их исправить

Коротко: какие ошибки в паролях встречаются чаще всего и почему даты, имена и повторы взламывают

Большинство взломов аккаунтов происходит не из-за «хитрых хакеров», а потому что пароль предсказуем: он состоит из имени, даты рождения, слова с цифрами на конце или уже утёк с другого сайта. Автоматические подборщики пробуют такие варианты в первую очередь. По исследованию «Лаборатории Касперского» (утечки 2023–2026 годов, 231 млн уникальных паролей; пересказ на hi-tech.mail.ru), около половины паролей подбирается меньше чем за минуту, ещё примерно три из пяти — за час; более половины паролей заканчиваются цифрами, примерно каждый восьмой содержит год, а более половины паролей из новых утечек уже встречались в старых.

Эта статья — разбор типичных ошибок и того, как их исправить. Что считается надёжным паролем по NIST и OWASP, я разбирал в отдельной статье, как генерировать пароли — в статье про генератор. Здесь — про людей: какие схемы мы выбираем и почему они не работают.

1. Даты (рождения, свадьбы, годы). Вариантов у даты мало: около 365 дней на несколько десятков лет — порядка десятков тысяч комбинаций; NCSC прямо советует не использовать значимые даты.
2. Имена, клички, команды и слова из словаря. NCSC: такие сведения часто можно найти в социальных сетях; NIST требует сверять пароли со словарными словами и названием самого сервиса.
3. Слово + цифры + знак на конце. NIST отмечает, что при обязательных правилах состава пользователи предсказуемо добавляют цифру или символ к обычному слову.
4. Замена букв цифрами («п@роль», «p4ssw0rd»). NCSC: такие замены не делают пароль заметно надёжнее, потому что злоумышленники их знают.
5. Клавиатурные последовательности (qwerty, йцукен, 1234). По Касперскому, они встречаются примерно в 3 % случаев.
6. Повторное использование. Один пароль на разных сайтах открывает «подстановку учётных данных» (credential stuffing): по OWASP, это автоматическая проверка украденных пар логин и пароль на других сайтах; главная защита — многофакторная аутентификация.

В статье: что говорят исследования об утёкших паролях, разбор каждой ошибки с примерами и арифметикой, ошибки владельцев сайтов и команд, как исправить за вечер, десять ошибок в одном списке и PDF-чек-лист на 27 пунктов. Для проверки и генерации: генератор паролей на tools.cetto.ru (работает в браузере).

Оговорки по источникам. Использованы: рекомендации NCSC («три случайных слова»), страница NIST SP 800-63B-4 о паролях, описание подстановки учётных данных на сайте OWASP, аннотация доклада о zxcvbn (Dropbox, USENIX Security 2016), пересказ исследования «Лаборатории Касперского» на hi-tech.mail.ru и обзоры списков популярных паролей. Сам отчёт «Лаборатории Касперского» я не открывал, а в разных изданиях его цифры различаются (в версии 2025 года — утечки 2023–2025, каждый 200-й пароль оканчивался на «2024», около 10 % содержали числа-даты от 1990 до 2025, 54 % из утечек 2025 года уже были в старых базах), поэтому в статье указана версия 2026 года и ссылка на пересказ. Страница NordPass вернула 403: список самых частых паролей мира (123456, admin, 12345678, 123456789, 12345, password, admin123; данные открытых утечек с сентября 2024 по сентябрь 2025) приведён по новостным пересказам. Страница sostav.ru о кириллических паролях не открылась по времени; список (йцукен, пароль, любовь, привет, имена) — по фрагменту поисковой выдачи. Расчёты в разделах — моя арифметика с условными допущениями. Это не консультация по информационной безопасности.

Что говорят исследования утёкших паролей

• Скорость подбора. По пересказу исследования «Лаборатории Касперского» (2026): около половины паролей подбирается меньше чем за минуту, три из пяти — за час. В том же материале указано, что видеокарта RTX 5090 перебирает до 220 млрд MD5-хешей в секунду. Скорость зависит от способа хранения пароля на сайте и условий атаки; это показатель для утёкшей базы хешей, а не для онлайн-входа с ограничением попыток.
• Цифры и годы. Более половины паролей оканчиваются цифрами; примерно каждый восьмой содержит год, чаще всего от 1990 до 2026.
• Последовательности. «1234» — одна из самых частых цифровых комбинаций; клавиатурные цепочки вроде qwerty и ytrewq — около 3 %.
• Символы. Знак @ есть почти в каждом десятом пароле; это ожидаемая «замена a».
• Слова. Часто в основе эмоциональные слова: love, angel, life, star.
• Повторы. Более половины паролей из новых утечек встречались в предыдущих.
• Мировой список. По обзору NordPass за 2025 год (по пересказам), на первом месте 123456 (лидер шесть лет из семи), далее admin, 12345678, 123456789, 12345, password, admin123. В США самым частым оказалось admin.
• Кириллица. По публикации sostav.ru за 2024 год (по фрагменту выдачи): йцукен, пароль, любовь, привет, популярные имена.

Вывод один: люди выбирают очень похожие пароли, и подборщики это знают. Поэтому «придуманный» пароль почти всегда уступает случайному.

Разбор: ошибка, почему плохо, что делать

Для NIST правила состава не работают: страница о паролях называет ограниченную пользу требований «смешивать типы символов», потому что люди добавляют цифру или символ к обычному слову, и это вредит запоминаемости. Автор zxcvbn (Dropbox) в аннотации к докладу называет такие правила (LUDS: строчные, прописные, цифры, символы) «безусловно обременительной и неэффективной практикой безопасности» и предлагает оценщик, учитывающий реальные шаблоны.

Арифметика предсказуемости

Оценки ниже — мои расчёты при условных допущениях; реальные подборщики умнее.

• Дата рождения вида ДДММГГГГ. Около 365 дней × 80 лет ≈ 29 тыс. вариантов, это около 15 бит. Любая дата в пароле — это не 8 символов, а лишь 15 бит угадывания.
• Слово + 2 цифры + знак. Если подборщик знает 10 тысяч распространённых слов, 100 вариантов цифр и 10 знаков, получается примерно 10⁷ вариантов, около 23 бит. Для сравнения: 8 случайных символов из 80 знаков дают около 50 бит, а 16 символов — около 101 бит (расчёт в статье про генератор).
• Три случайных слова (NCSC). Если брать из списка в 7 776 слов, три слова дают около 39 бит, шесть слов — около 78 бит (расчёт по списку EFF). Поэтому для важных аккаунтов нужна фраза подлиннее.
• Повтор. Для подбора уже не нужно: достаточно, чтобы пароль был в утёкшей базе.

Оговорка: длинные пароли и фразы помогают, только если они случайны. Фраза из любимой цитаты, песни или собственных данных быстро ломается словарём.

Ошибки владельцев сайтов и команд

• Общий пароль на всех. Один пароль от CMS, хостинга или рекламного кабинета на сотрудников и подрядчиков: невозможно отозвать доступ одному человеку и понять, кто что сделал.
• Пароль «по умолчанию». admin, admin123, пароль из инструкции хостинга: в мировом списке NordPass за 2025 год admin и admin123 входят в первую десятку (по пересказам).
• Пароль в переписке с подрядчиком. Отправка пароля вместе с логином открытым текстом в мессенджере или почте.
• Уход сотрудника без смены доступов. Пароль и права остаются; доступ должен быть отозван в день ухода.
• Нет двухфакторной защиты на домене, хостинге, CMS, почте и рекламных кабинетах. По OWASP, многофакторная аутентификация — основная мера против подстановки учётных данных.
• Подсказки и контрольные вопросы («девичья фамилия матери»): ответ часто можно найти в открытых источниках. OWASP отмечает, что утёкшие данные для восстановления позволяют сбросить пароль, даже если пароль не повторялся.
• Своя регистрация без защиты от слабых паролей. Если на вашем сайте есть личные кабинеты, сверяйте пароли со списком утёкших (NIST: блокировать пароли из прошлых утечек, словарные слова и название сервиса) и разрешайте длинные пароли и пробелы. Не ограничивайтесь требованием «одна заглавная и один символ».
• Персональные данные клиентов. Пароли и доступы — часть мер защиты: «152-ФЗ для интернет-магазина» (не юридическая консультация).

Как исправить за вечер

1. Составьте список аккаунтов: домен, хостинг, CMS, почта, вебмастера, метрика, рекламные кабинеты, платёжные и маркетплейсы, мессенджеры.
2. Начните с почты, домена и хостинга: они позволяют сбросить доступы ко всему остальному.
3. Включите двухфакторную защиту везде, где она есть.
4. Установите менеджер паролей и замените слабые и повторяющиеся пароли случайными: генератор паролей (16–20 символов, без похожих символов, если пароль придётся читать).
5. Для главного пароля менеджера придумайте случайную фразу из 6 и более слов и запомните её.
6. Раздайте доступы по ролям: отдельные учётные записи сотрудников и подрядчиков, права по задачам, срок доступа.
7. Проверьте срок домена и хостинга и актуальность контактных данных: Whois домена.
8. Зафиксируйте правила в одной странице регламента и повторяйте проверку раз в квартал.

Десять частых ошибок

1. Значимая дата в пароле (рождение, свадьба, год).
2. Имя, кличка, команда, название магазина в пароле.
3. «Слово1!» как «надёжный» пароль.
4. Замена букв цифрами вместо длины.
5. Клавиатурные цепочки и «1234».
6. Один пароль на несколько сайтов и «почти такой же» с другой цифрой.
7. Пароль по умолчанию (admin, admin123) у админки.
8. Пароль в мессенджере или таблице в открытом виде.
9. Нет двухфакторной защиты на ключевых аккаунтах.
10. Общий пароль на команду и непроверяемый уход сотрудников.

Что проверяю в аудите я

В техническом SEO-аудите я проверяю доступы к сайту: кто и как заходит в CMS, хостинг, домен, DNS, вебмастера и рекламные кабинеты, есть ли двухфакторная защита, открыты ли админки, актуальны ли контакты и срок домена, нет ли признаков взлома (спам в индексе, чужие страницы). Результат: PDF-отчёт на 30–50 страниц, технические задания для программистов, прогноз по трафику и заявкам и созвон, на котором я лично расскажу о найденных ошибках и отвечу на вопросы. Стоимость от 30 000 ₽, срок 3–5 рабочих дней для небольшого сайта и 7–10 для крупного магазина.

Итоговый чек-лист (короткая версия, полная в PDF)

• В паролях нет дат, имён, кличек, названия магазина и клавиатурных цепочек.
• Каждый сервис имеет уникальный случайный пароль; повторов нет.
• Пароли лежат в менеджере; главный пароль — случайная фраза из 6 и более слов.
• На домене, хостинге, CMS, почте и рекламных кабинетах включена двухфакторная защита.
• Пароли по умолчанию заменены; доступы выданы по ролям, ушедшим отозваны.
• Пароли меняются при подозрении на утечку, а не «по календарю».

Об автореВладимир Родионов

Интернет-маркетолог, частный SEO-специалист cetto.ru. 10+ лет в IT, 200+ реализованных проектов, сертификация Яндекса и Google.

Все статьи автора →Задать вопрос в Telegram →