Исследование утечек паролей в 2024 году: анализ угроз и рекомендации по защите

Утечки учетных данных остаются одной из самых значительных угроз кибербезопасности. Согласно отчету Specops 2025 Breached Password Report, в 2024 году было зафиксировано более 1 миллиарда украденных паролей, большинство из которых были скомпрометированы с помощью инфостилеров — вредоносных программ, предназначенных для кражи данных.

Исследование анализирует ключевые тенденции в использовании слабых паролей, методы атак хакеров и способы защиты корпоративных учетных записей. Основная цель – оценить, насколько компании готовы противостоять атакам, связанным с утечкой учетных данных, и предложить эффективные стратегии минимизации рисков.

2025_Breached-Password-Report_EN Скачать

Анализ украденных паролей: основные тренды

1. Масштабы угрозы

В течение 2024 года украдено более 1 089 342 532 паролей, что свидетельствует о беспрецедентном росте атак на учетные записи.
Из них 230 миллионов паролей соответствовали стандартным требованиям безопасности (содержали заглавные буквы, цифры и специальные символы).

2. Самые популярные слабые пароли

Несмотря на рекомендации по созданию сложных паролей, пользователи продолжают использовать предсказуемые комбинации. Топ-5 украденных паролей:

123456
admin
12345678
password
Password

Часто встречающиеся базовые термины в паролях:

Пятисимвольные: admin, guest, hello.
Шестисимвольные: qwerty, secret, azerty.
Семисимвольные: welcome, student, zxcvbnm.
Восьмисимвольные: password, adminisp, pakistan.

3. Длина пароля: насколько она влияет на безопасность?

Большинство украденных паролей имели длину 8-10 символов, что соответствует минимальным требованиям многих сервисов.

8 символов – 189 миллионов паролей.
9 символов – 153 миллиона.
10 символов – 160 миллионов.

Хакеры предпочитают короткие пароли, поскольку их легче взломать с помощью атак перебора (brute force).

Как хакеры воруют учетные данные?

1. Инфостилеры: главная угроза 2024 года

Инфостилеры – вредоносные программы, которые извлекают сохраненные пароли из браузеров, email-клиентов, файловых хранилищ и VPN-приложений.

Топ-3 инфостилеров 2024 года:

Redline – украл почти 50% всех проанализированных паролей.
Vidar – использовался в 17% случаев.
Raccoon Stealer – 11,7% утечек.

Как инфостилеры крадут пароли?

Фишинг и вредоносные вложения.
Компрометация браузеров (извлечение паролей из Chrome, Firefox, Edge).
Сбор данных из VPN-клиентов и облачных сервисов.
Мониторинг буфера обмена и клавиатурного ввода.
Передача украденных данных через зашифрованные каналы на серверы злоумышленников.

2. Использование украденных паролей в атаках

Захват учетных записей (Account Takeover) с последующим доступом к корпоративным данным.
Продажа учетных записей на теневых форумах и маркетплейсах даркнета.
Использование похищенных данных для атак на другие сервисы (credential stuffing).
Шантаж и вымогательство (угроза публикации данных).

Почему даже “сложные” пароли уязвимы?

1. Проблема предсказуемости

230 миллионов украденных паролей соответствовали стандартным требованиям безопасности, но все равно были легко угадываемыми.
Большинство пользователей используют стандартные комбинации символов, например:
- Pass@123
- P@ssw0rd
- Aa@123456
- Password@123

2. Проблема повторного использования паролей

59% пользователей повторно используют одни и те же пароли в разных сервисах.
Если пароль скомпрометирован в одной системе, он может быть использован для взлома других учетных записей.

3. Брютфорс-атаки и взлом паролей

Короткие пароли можно разгадать за секунды.
Даже SHA-256 хешированные пароли длиной менее 10 символов могут быть взломаны в течение нескольких дней.
Лучшей защитой является длина: 16-значный пароль практически невозможно взломать перебором.

Как защитить учетные записи?

1. Внедрение многофакторной аутентификации (MFA)

MFA снижает риск компрометации учетных записей даже в случае утечки пароля.
Рекомендуется использовать аппаратные ключи (FIDO2), а не SMS-коды, так как SIM-swapping атаки становятся все более распространенными.

2. Использование длинных паролей

Минимальная длина пароля не должна быть менее 12 символов.
Лучше использовать пароли-фразы (например, “СложныйПарольДляСайта2024!”).

3. Регулярная проверка на утечки

Мониторинг учетных записей на предмет утечки паролей с использованием сервисов вроде “Have I Been Pwned”.
Сканирование каталогов Active Directory на предмет скомпрометированных паролей.

4. Политики блокировки слабых паролей

Запрет использования распространенных паролей и их вариаций.
Использование блок-листов слабых паролей на корпоративных серверах.

5. Регулярное обновление программного обеспечения

Многие инфостилеры эксплуатируют уязвимости в браузерах и почтовых клиентах.
Автоматическое обновление программного обеспечения снижает риск заражения вредоносным ПО.

Заключение

Анализ утечек паролей за 2024 год подтверждает, что слабая защита учетных данных остается одной из главных проблем кибербезопасности. Несмотря на широкое распространение рекомендаций по безопасности, пользователи продолжают использовать предсказуемые и короткие пароли, делая их легкой мишенью для хакеров.

Наиболее эффективные меры защиты включают внедрение многофакторной аутентификации, отказ от слабых паролей, использование длинных уникальных комбинаций и мониторинг утечек данных. Только комплексный подход позволит снизить риски компрометации учетных записей и защитить корпоративные и личные данные от киберугроз.