Пароли_и_безопасность

1.

ПРОЕКТ ПО ИНФОРМАТИКЕ
Пароли и
безопасность
Как устроены пароли, как их
взламывают и как защитить свой
аккаунт

2.

ПЛАН
О чём расскажу
01
02
03
Объясняю
Показываю
Учу защищаться
Что такое пароль, как его
Четыре реальных случая:
Конкретные шаги, которые
взламывают и как сайты
LinkedIn, Colonial Pipeline,
можно сделать уже
его хранят.
Bybit и Binance.
сегодня.
2 · Пароли и безопасность

3.

ТЕОРИЯ
Объясняю
Как устроены пароли и почему их
ломают
3 · Пароли и безопасность

4.

ЧАСТЬ 1 · ОБЪЯСНЯЮ
Что такое пароль
Пароль доказывает, что вход выполняет владелец аккаунта. Личность
проверяют по трём типам факторов.
Что вы знаете
Что у вас есть
Кто вы
Пароль, PIN-код, ответ на
Телефон, SIM-карта,
Отпечаток пальца, лицо,
секретный вопрос.
аппаратный ключ.
голос.
4 · Пароли и безопасность

5.

ЧАСТЬ 1 · ОБЪЯСНЯЮ
Самые частые пароли 2025
NordPass: данные утечек с сентября 2024 по сентябрь 2025.
1
123456
21,6 млн
2
admin
21,0 млн
5 из 10
3
12345678
8,3 млн
состоят только из цифр
4
123456789
5,7 млн
5
12345
4,0 млн
6
password
3,5 млн
7
Aa123456
2,5 млн
8
1234567890
1,4 млн
9
Pass@123
1,2 млн
10 admin123
1,1 млн
Такие пароли подбирают первыми. Источник: NordPass 2025.
5 · Пароли и безопасность
4 из 10
построены на словах admin и
password

6.

ЧАСТЬ 1 · ОБЪЯСНЯЮ
Как взламывают пароли
Перебор
Словарь
Программа проверяет все комбинации подряд.
Перебираются частые слова, имена и готовые
списки паролей.
Защита: длина пароля
Защита: не слова, а случайная фраза
Фишинг
Повторное использование
Поддельная страница просит ввести пароль, и
Утёкший пароль пробуют на других сайтах.
человек отдаёт его сам.
Защита: проверять адрес, 2FA
6 · Пароли и безопасность
Защита: свой пароль на сайт

7.

ЧАСТЬ 1 · ОБЪЯСНЯЮ
Почему короткий пароль ломается
6 ЦИФР
8 СТРОЧНЫХ БУКВ
10⁶
26⁸
1 000 000 вариантов. Для компьютера это
Около 209 миллиардов вариантов.
секунды.
Каждая новая буква увеличивает число вариантов в 26 раз. Для 12 букв их уже около
9,5 × 10¹⁶.
7 · Пароли и безопасность

8.

ЧАСТЬ 1 · ОБЪЯСНЯЮ
Как сайты хранят пароли
вводим
password
→
Хеш-функция
считает
→
хеш
5f4dcc3b5aa765d6
Хранится хеш
Назад не вернуть
Хеш повторяется
Сайт сохраняет отпечаток, а
По хешу трудно
Одинаковые пароли дают
не сам пароль.
восстановить исходный
одинаковые хеши.
пароль.
8 · Пароли и безопасность

9.

ЧАСТЬ 1 · ОБЪЯСНЯЮ
Почему быстрый хеш плох для паролей
63 млрд
≈3с
хешей SHA-1 в секунду считали взломщики с
понадобилось бы, чтобы перебрать все
видеокартами уже в 2012 году.
пароли из 8 строчных букв (209 млрд). Это мой
расчёт.
Что делают сайты
Берут специально медленные алгоритмы: bcrypt, scrypt, Argon2. Для сайта лишняя доля
секунды незаметна, а перебор замедляется в разы.
9 · Пароли и безопасность

10.

ЧАСТЬ 1 · ОБЪЯСНЯЮ
Соль: зачем она нужна
Соль: случайная строка, которую добавляют к паролю перед хешированием. У
каждого пользователя своя.
Без соли
С солью
Аня: 123456 → 7f3a91
Аня: 123456+k8Zq → c20e4d
Борис: 123456 → 7f3a91
Борис: 123456+Xm2p → 9b61f7
Хеши совпали: взломав один,
Хеши разные, готовые таблицы не
взломаешь все.
работают.
10 · Пароли и безопасность

11.

ЧАСТЬ 1 · ОБЪЯСНЯЮ
Двухфакторная аутентификация
Пароль
введён верно
+
Код из приложения
482 913
→
Вход
разрешён
Приложение
Аппаратный ключ
SMS-код
Одноразовые коды, которые
Физическое устройство,
Удобно, но слабее: код
меняются каждые
которое подтверждает вход.
можно перехватить.
полминуты.
11 · Пароли и безопасность

12.

ЧАСТЬ 1 · ОБЪЯСНЯЮ
Ключи доступа (passkeys)
Это способ входить без пароля. Устройство создаёт пару ключей: открытый хранит
сайт, закрытый остаётся у вас.
Как входят
Чем надёжнее
Минусы
Сайт присылает запрос,
Пароль не передаётся, и
Если потерять устройство,
устройство подписывает его
красть его с сайта нечего.
нужен запасной способ
закрытым ключом после
Ключ привязан к настоящему
входа. Поддерживают такой
отпечатка, лица или PIN-
адресу, на фишинговой
вход пока не все сайты.
кода.
странице он не сработает.
12 · Пароли и безопасность

13.

ВЗЛОМ
Показываю
Четыре реальных случая: LinkedIn,
Colonial Pipeline, Bybit, Binance
13 · Пароли и безопасность

14.

ЧАСТЬ 2 · ПРИМЕР 1
LinkedIn, 2012: пароли без соли
117 млн
аккаунтов попали в продажу в 2016 году
Что случилось
Что пошло не так
Урок
В июне 2012 года в сеть
Пароли хранились как хеши
Сайт обязан хранить пароли с
выложили около 6,5 млн
SHA-1 без соли. По
солью. А вам нужен пароль,
хешей паролей. В 2016 году в
сообщениям, 90% из них
которого нет в списках.
продажу попали данные 117
раскрыли за 72 часа.
млн аккаунтов.
14 · Пароли и безопасность

15.

ЧАСТЬ 2 · ПРИМЕР 2
Colonial Pipeline, 2021: один пароль
$4,4 млн
выкуп за остановленный трубопровод
Что случилось
Что пошло не так
Урок
В мае 2021 года хакеры
Вход через старую VPN-
Включайте 2FA, не повторяйте
остановили крупный
учётку с одним паролем и без
пароли и удаляйте старые
топливный трубопровод США.
второго фактора. Пароль
учётные записи.
Компания заплатила выкуп
нашли в утёкших данных.
около $4,4 млн.
15 · Пароли и безопасность

16.

ЧАСТЬ 2 · ПРИМЕР 3
Bybit, 2025: взломали не биржу, а
разработчика
$1,46 млрд
украли за один перевод 21 февраля 2025
Что случилось
Как это сделали
Урок
Шёл плановый перевод из
Заразили компьютер
Холодный кошелёк и
холодного кошелька. Хакеры
разработчика Safe{Wallet},
мультиподпись не спасли:
подменили код страницы, и
поставщика кошелька с
подвёл компьютер
сотрудники подписали чужой
мультиподписью.
поставщика. Крупные
перевод.
Расследования связали атаку
переводы стоит проверять на
с группой Lazarus.
отдельном компьютере.
16 · Пароли и безопасность

17.

ЧАСТЬ 2 · ПРИМЕР 4 · 29 И 30 ОКТЯБРЯ 2026
Binance сообщила о взломе на
рекордную сумму
Крупнейшая криптобиржа по объёму торгов. Цифры ранние и могут
уточняться.
$6,3 млрд
ОЦЕНКА BINANCE: $6,3 МЛРД
17 · Пароли и безопасность
CHAINALYSIS НА МОМЕНТ КРАЖИ: $5,9 МЛРД

18.

ЧАСТЬ 2 · ПРИМЕР 4
Binance, 2026: что известно
Скорость
Реакция
Кто и как
По данным СМИ, большая
Вывод средств
TRM Labs связывает атаку с
часть средств ушла за
приостановили. Заморозили
Северной Кореей. Биржа
считанные минуты.
около $3 млрд. Биржа
сообщила, что всё могло
обещала покрыть потери
начаться с ноутбука
клиентов.
сотрудника.
Это оценки аналитиков, расследование продолжается.
18 · Пароли и безопасность

19.

ЧАСТЬ 2 · МАСШТАБ
Крупнейшие кражи криптовалюты
Binance, 2026
$6,3 млрд
Bybit, 2025
$1,46 млрд
Ronin, 2022
$625 млн
Coincheck, 2018
$530 млн
Bitget, 2026
$352 млн
С начала 2026 года до 8 сентября TRM Labs насчитала 333 инцидента на $1,73 млрд. За весь 2025 год
украли около $3,4 млрд (Chainalysis).
19 · Пароли и безопасность

20.

ЧАСТЬ 2 · ВЫВОДЫ
Что общего у четырёх случаев
СЛУЧАЙ
ЧТО ПОШЛО НЕ ТАК
КАК ИЗБЕЖАТЬ
LinkedIn, 2012
Пароли хранились без соли
Соль и медленное хеширование
Colonial, 2021
Один пароль, нет 2FA, забытая
учётка
2FA, уникальные пароли, удаление старых
доступов
Bybit, 2025
Взломан компьютер разработчика у
поставщика
Проверка переводов на отдельном
компьютере
Binance, 2026
Возможный взлом ноутбука
сотрудника
Защита устройств, минимум прав,
мониторинг
В каждом случае подвело хранение паролей, человек или лишний доступ.
20 · Пароли и безопасность

21.

ЗАЩИТА
Учу
защищаться
Что можно сделать уже сегодня
21 · Пароли и безопасность

22.

ЧАСТЬ 3 · ЗАЩИТА
Пять правил для аккаунта
1
Длинная фраза, 12+ символов
Перебор занимает намного дольше
2
Свой пароль на каждом сайте
Утечка на одном сайте не открывает остальные
3
Менеджер паролей
Хранит пароли в зашифрованном виде
4
Двухфакторная аутентификация
Без второго фактора войти нельзя, даже если
пароль известен
5
Не вводить пароль по ссылкам из
писем
Так работает фишинг
22 · Пароли и безопасность

23.

ЧАСТЬ 3 · ЗАЩИТА
Мифы о паролях
МИФ
Пароль нужно менять каждый месяц
ФАКТ
NIST советует менять пароль, только
если есть признаки взлома
МИФ
Замена букв на символы делает пароль
надёжным
ФАКТ
P@ssw0rd и Admin@123 есть в
списках частых паролей
МИФ
Чем сложнее знаки, тем лучше
ФАКТ
Длина важнее: NIST рекомендует от 15
символов
МИФ
Менеджерам паролей нельзя доверять
ФАКТ
NIST требует разрешать их, они
помогают делать сильные пароли
23 · Пароли и безопасность

24.

ЧАСТЬ 3 · ЗАЩИТА
Как распознать фишинг
Странный адрес
Спешка
В названии сайта опечатка или лишние слова.
«Аккаунт заблокируют через час». Так вас
торопят, чтобы вы не думали.
Просьба о коде
Чужой файл
Просят пароль или код из SMS по ссылке из
Неожиданное вложение от незнакомого
письма.
человека.
Что делать: не переходить по ссылке, открыть сайт вручную и проверить
уведомления там.
24 · Пароли и безопасность

25.

ЧАСТЬ 3 · ЗАЩИТА
Как работает менеджер паролей
1
Вы придумываете
один главный пароль,
длинную фразу
2
›
Менеджер создаёт
случайный пароль
для каждого сайта
3
›
Все пароли хранятся
в зашифрованном
виде
Главный пароль нельзя терять, а для менеджера стоит включить 2FA.
25 · Пароли и безопасность
4
›
При входе он сам
подставляет нужный
пароль

26.

ЧАСТЬ 3 · ЗАЩИТА
Каждая буква умножает варианты на 26
309 млн
209 млрд
141 трлн
95 квадрлн
457 тыс.
4 буквы
6 букв
8 букв
10 букв
Высота столбцов условная (степень числа вариантов). Для строчных латинских букв.
26 · Пароли и безопасность
12 букв

27.

ЧАСТЬ 3 · ЗАЩИТА
Что делать, если аккаунт взломали
1
2
3
Сменить пароль на новый
и уникальный
Выйти из аккаунта на всех
устройствах
Включить двухфакторную
аутентификацию
4
5
6
Проверить пересылку
писем и привязанные
номера
Сменить такой же пароль
на других сайтах
Предупредить друзей и
написать в поддержку
сайта
27 · Пароли и безопасность

28.

ЧАСТЬ 3 · ЗАЩИТА
Пять шагов на сегодня
1
Включите 2FA в почте и соцсетях
2
Поставьте менеджер паролей и смените повторяющиеся пароли
3
Главный пароль сделайте длинной фразой из нескольких слов
4
Проверьте свою почту на утечки: haveibeenpwned.com
5
Не вводите пароль по ссылкам из писем и сообщений
28 · Пароли и безопасность

29.

ИТОГ
Что у нас получилось
Объяснил
как пароли ломают и как их хранят.
Показал
четыре случая: LinkedIn, Colonial Pipeline, Bybit и Binance.
Рассказал
как защищаться: длинный пароль, менеджер паролей и 2FA.
Спасибо за внимание!
29 · Пароли и безопасность

30.

ДОПОЛНИТЕЛЬНО
Пароль-лаборатория
Веб-страница: проверка пароля, генератор и памятка. Всё считается в браузере,
пароли никуда не отправляются.
Проверка
Генератор
Памятка
Показывает длину, энтропию
Случайные пароли через
Семь правил защиты
и время подбора для
crypto.getRandomValues,
аккаунта, которые можно
быстрого и медленного хеша.
длина от 8 до 32 знаков.
отмечать галочками.
Ссылка: https://claude.ai/artifact/J4ELyRNCuffEBdHiyqW6j4
30 · Пароли и безопасность

31.

ВОПРОСЫ
О чём можно спросить
1
3
5
7
Почему нельзя хранить пароль в
открытом виде?
Чем 2FA лучше длинного пароля?
Что делать, если аккаунт взломали?
Почему взломали Binance, раз защита
сильная?
31 · Пароли и безопасность
2
4
6
8
Зачем нужна соль, если есть хеш?
Можно ли доверять менеджеру
паролей?
Заменят ли ключи доступа пароли?
Как проверить, утёк ли мой пароль?

32.

ОТВЕТЫ · ЧАСТЬ 1
Хранение и защита паролей
1. Почему нельзя хранить пароль в
открытом виде?
Если базу украдут, все пароли сразу станут известны. Хеш
2. Зачем нужна соль, если есть
хеш?
Без соли одинаковые пароли дают одинаковые хеши, и готовые
3. Чем 2FA лучше длинного пароля?
Они работают вместе. Длинный пароль трудно подобрать, а
защищает: из него трудно получить пароль.
таблицы хешей работают. Соль это ломает.
второй фактор спасает, если пароль украли.
4. Можно ли доверять менеджеру
паролей?
32 · Пароли и безопасность
Да, если главный пароль длинный и включена 2FA. NIST требует,
чтобы сайты разрешали менеджеры паролей.

33.

ОТВЕТЫ · ЧАСТЬ 2
Взломы и новые способы входа
5. Что делать, если аккаунт
взломали?
Сменить пароль, выйти на всех устройствах, включить 2FA,
6. Заменят ли ключи доступа
пароли?
Возможно, со временем. Они защищают от фишинга, но пока их
7. Почему взломали Binance, раз
защита сильная?
Слабым звеном бывает человек. По сообщению биржи, всё
8. Как проверить, утёк ли мой
пароль?
Проверьте почту на сайте haveibeenpwned.com. Если адрес там
33 · Пароли и безопасность
проверить пересылку писем, предупредить друзей.
поддерживают не все сайты.
могло начаться с ноутбука сотрудника.
есть, смените пароль везде, где он повторялся.

34.

ЗАПАСНОЙ СЛАЙД
Словарь терминов
Хеш
«Отпечаток» пароля, который
получается после хеш-функции
Соль
Случайная добавка к паролю перед
хешированием
Перебор
Проверка всех комбинаций подряд
Фишинг
Обман, чтобы человек сам отдал
пароль
2FA
Вход с паролем и вторым фактором
Passkey
Вход по паре ключей вместо пароля
Утечка
Данные пользователей попали к
посторонним
VPN
Защищённый канал для удалённого
доступа к сети
34 · Пароли и безопасность

35.

ИСТОЧНИКИ
Где проверить цифры
Частые пароли 2025: отчёт NordPass, таблицы в Википедии, пересказ Devolutions и Fox News
Рекомендации по паролям: NIST SP 800-63-4, обзоры Admin Magazine и Mobile Helix
LinkedIn 2012 и скорость перебора SHA-1: TechCrunch, Sophos, работа на arXiv
Colonial Pipeline 2021: Reuters, Al Jazeera, Associated Press
Bybit 2025: BleepingComputer, Decrypt, CoinJar, TechCrunch
Binance 2026, $6,3 млрд и заморозка около $3 млрд: Reuters через Khaleej Times
Оценка Chainalysis $5,9 млрд и потери 2025 года: The National
Атрибуция TRM Labs: New York Times через Futurism. Ноутбук сотрудника: Azernews
Bitget 2026 и статистика TRM Labs: AFP через Daily Tribune
Passkeys: описания стандартов FIDO2 и WebAuthn (Portnox, Keeper Security)
Цифры по Binance ранние и могут уточняться. Перед сдачей проверьте их по ссылкам.
35 · Пароли и безопасность