Якщо ви користуєтеся одним паролем на кількох сайтах, ви не самі. За різними опитуваннями, так робить більшість людей, і хакери це чудово знають. Витік із якогось забутого форуму означає, що вашу пошту з тим самим паролем перевірять на всіх популярних сервісах. Це називається credential stuffing, і працює воно, на жаль, добре.
Тому основне правило таке: один сайт — один пароль. Запам’ятати сорок унікальних комбінацій неможливо, і тут на допомогу приходить менеджер паролів. Bitwarden, 1Password, вбудовані рішення в браузерах чи на телефоні: усе краще за аркуш на моніторі й файл passwords.txt на робочому столі. Запам’ятовувати доведеться лише один майстер-пароль.
Якщо вигадуєте його самі, довжина важливіша за хитрі символи. Фраза з чотирьох-п’яти випадкових слів надійніша за «P@ssw0rd2024!», яку підберуть за секунди. Підстановка літер цифрами нікого не дивує, злам до цього готовий.
Другий рівень захисту — двофакторна автентифікація. Навіть якщо пароль украли, без другого фактора зловмисник далі не пройде. Найгірший варіант — код у SMS: номер можна перехопити, підмінивши SIM-картку. Краще застосунок-генератор кодів на зразок Authy чи Google Authenticator, а ще краще апаратний ключ або passkey.
Passkeys варто розглянути окремо. Це вхід за допомогою біометрії чи PIN-коду пристрою без пароля взагалі. Їх неможливо видурити фішинговою сторінкою, бо ключ прив’язаний до справжнього домену. Підтримка вже є в Google, Apple, Microsoft та в багатьох інших сервісах.
І ще дві дрібниці. Перевірте свою пошту на haveibeenpwned.com, щоб знати, які ваші дані вже гуляють мережею. І в першу чергу захистіть головну електронну скриньку, бо через неї відновлюються доступи до всього іншого.
Це займе вечір, а потім ви про це забудете. Саме так й має працювати безпека.