Знаете, что меня бесило десять лет подряд? Я придумывал «надёжный» пароль, гордился собой, а через месяц снова сидел и тыкал в кнопку «Забыли пароль?». Снова. И снова обещал себе, что больше так не повторится.
Потом я познакомился с парнем из отдела безопасности крупного банка. Он за пять минут объяснил мне принцип, который перевернул всё. С тех пор я не забыл ни одного пароля. Ни одного.
Сейчас расскажу, как это работает. Без сложных схем и без программ-менеджеров, если вы им не доверяете.
Почему ваши пароли утекают, даже если вы умный
По данным исследования Hive Systems за 2025 год, пароль из 8 символов с цифрами и буквами разного регистра современный компьютер подбирает за 39 минут. Это если буквы и цифры. А если только маленькие буквы, то за 3 секунды.
Когда я это услышал впервые, у меня челюсть отвисла. Я-то думал, что мой Qwerty123 это крепость.
Главная беда не в сложности пароля. Главная беда в том, что мы используем один и тот же пароль на десяти сайтах. И когда какой-нибудь форум сливает базу, злоумышленники тут же пробуют ваш логин с тем же паролем во всех популярных сервисах. Это называется credential stuffing, и по статистике 4PDA именно так взламывают 80% обычных аккаунтов.
Суть не в том, что вы придумали слабый пароль. Проблема в том, что вы придумали один пароль на всё.
Метод якоря: три шага, один раз на всю жизнь
Я называю его методом якоря. Идея простая до неприличия. Вы придумываете один секретный «костяк», который знаете только вы, и приклеиваете к нему маркер сайта.
Вот как это устроено по шагам.
1. Придумайте фразу-якорь. Не слово, а именно фразу. Что-то личное, чего нет в интернете. Скажем, ваша бабушка жила в деревне Малиновка и держала кота по кличке Барсик. Фраза: «бабушка в Малиновке любила кота Барсика».
Теперь возьмите первые буквы каждого слова на русской раскладке: бвМлкБ. Уже неплохо. Но мало.
2. Переключите раскладку. Напечатайте бвМлкБ, не глядя на клавиши, в английской раскладке. Получится ,dVlR,. Видите? Уже выглядит как абракадабра, которую невозможно угадать.
3. Добавьте цифры. Возьмите год, который вы точно не забудете. Не год рождения, его легко найти в соцсетях. А, скажем, год, когда вы переехали в новую квартиру. Допустим, 2017.
Получаем ,dVlR,2017. Это и есть ваш якорь. Он у вас один. Навсегда.
Как привязать якорь к сайту
Вот тут начинается магия. Берёте название сайта и добавляете к якорю по простому правилу, которое выберете сами.
Допустим, правило такое: первые две буквы названия сайта спереди, последняя сзади.
Для Сбербанка: Сб,dVlR,2017к
Для Озона: Оз,dVlR,2017н
Для Госуслуг: Го,dVlR,2017и
Что получилось? Десять разных паролей по 14 символов каждый. Все уникальные. Все запоминаются за секунду, потому что вы помните только якорь и правило склеивания.
А теперь представьте, что у вас слили базу с одного сайта. Хакер видит пароль Оз,dVlR,2017н. Догадается ли он, что для Сбербанка нужно подставить Сб и к? Никогда. Потому что правило знаете только вы.
Я пользуюсь этим методом четыре года. У меня около 70 аккаунтов. Я не записал ни одного пароля. И не забыл ни одного.
Что говорят специалисты, и почему двухфактор обязателен
Когда я рассказал про этот подход знакомому из mobile-review, он кивнул и добавил пару деталей. Якорь должен быть не короче 8 символов. Цифры и спецсимволы внутри якоря, а не только в конце, потому что брутфорс начинает перебор как раз с конца.
И ещё. Раз в два года меняйте якорь на критичных сервисах. Банк, почта, госуслуги. Остальное можно не трогать, если двухфакторная аутентификация включена.
Кстати, про двухфактор. Без него любой пароль, даже самый сложный, защищает наполовину. Потому что фишинг работает не через подбор, а через обман. Вам присылают письмо, похожее на письмо от банка, вы вводите логин и пароль на поддельной странице, и всё. Никакой брутфорс не нужен.
Двухфакторка ломает эту схему. Даже если злоумышленник знает ваш пароль, он не пройдёт без кода из приложения на вашем телефоне.
Ошибки, которые я видел сотни раз
Люди делают одни и те же глупости. Вот самые популярные.
Подставляют год рождения. Год рождения есть в открытых источниках. Соцсети, утечки старых баз, форумы. Злоумышленник проверит его в числе первых.
Используют имя ребёнка или жены. То же самое. Открытая информация.
Добавляют 1 в конец старого пароля. Когда сайт требует сменить, ставят qwerty123 на qwerty1234. Любой алгоритм перебирает это в числе первых же вариантов.
Хранят пароли в заметках телефона. Если телефон попадёт в чужие руки и не будет блокировки, все пароли уйдут разом. Видел такое у тёщи. Хорошо, что просто потеряла, а не украли.
Используют один пароль на почту и на всё остальное. Почта это ключ ко всем сервисам, потому что через неё восстанавливают доступ. Пароль от почты должен быть уникальным и самым длинным из всех, что у вас есть.
А что насчёт менеджеров паролей
Знаю, кто-то скажет: зачем эти схемы, есть KeePass, Bitwarden, 1Password. И это правда хорошие штуки. Я сам пользуюсь KeePass для рабочих учёток. Но у менеджеров есть один минус. Если вы забыли мастер-пароль, вы потеряли всё. Если базу украли вместе с мастер-паролем, вы потеряли всё.
Поэтому я держу гибридную схему. Якорь-метод для всего, что я ввожу руками каждую неделю. Менеджер для редко используемых сервисов, где пароль длинный и случайный.
Проверьте свой пароль прямо сейчас
Зайдите на сайт haveibeenpwned.com и введите свою почту. Сервис покажет, сколько раз ваши учётки засветились в утечках. У меня в первый раз вышло 17 утечек. Я тогда чуть со стула не упал.
Потом введите туда же свой текущий пароль на странице Pwned Passwords. Если он есть в базе утечек, меняйте немедленно. Не через неделю, не завтра. Сейчас.
Это как с замком на двери. Пока ничего не случилось, кажется, что и так сойдёт. А потом приходишь домой, а двери нараспашку.
Шесть шагов, которые закрывают вопрос раз и навсегда
Чтобы вы не запутались, вот что нужно сделать прямо сегодня.
- Придумайте фразу-якорь из 5–7 слов. Только то, чего нет в интернете про вас.
- Переведите первые буквы в другую раскладку.
- Добавьте значимые для вас цифры внутри.
- Выберите правило склейки с названием сайта.
- Включите двухфакторку на почте, банке и госуслугах.
- Проверьте свою почту на haveibeenpwned.
Всё. Шесть пунктов. Минут двадцать времени, если делать спокойно. И вы навсегда уйдёте от ситуации, когда сидите в три часа ночи и пытаетесь восстановить доступ к личному кабинету.
Я протестировал этот подход на родителях. Маме 67, папе 71. Через час оба пользовались. Через месяц никто не забыл. Это, пожалуй, лучший аргумент в пользу метода.
Если остались вопросы, как привязать якорь именно к вашему случаю, или какое правило склейки выбрать, спрашивайте. Я отвечаю всем, у кого болит.