«А как вообще все хранят свои пароли?» Ответим на это авторитетными данными опросов, а затем выведем из них безопасный метод. Если коротко: самые распространённые привычки хранения — это ровно те, что эксплуатируют атакующие.
Что говорят данные о том, «как все их хранят»
Цифры разнятся по странам и опросам, но несколько авторитетных исследований показывают одну и ту же закономерность.
Ежегодный отчёт Security.org показывает, что более половины взрослых в США полагаются на методы без менеджера (память, браузер, бумага). Хранение в браузере тоже растёт — но многие, кто хранит пароли в браузере, не осознают разницы в безопасности по сравнению со специализированным менеджером.
Почему быть «как все» рискованно
Распространённые привычки ведут прямиком к переиспользованию, слабым паролям и потере — ровно туда, где атакующие сильнее всего.
Когда вы «управляете по памяти», вы ограничиваете пароли тем, что способны запомнить — и потому переиспользуете одни и те же или похожие. Тогда один утёкший сервис позволяет атакующему попробовать эту пару везде ещё (credential stuffing). Тот факт, что большинство паролей в утечках переиспользованы, показывает, как приоритет «легко запомнить» напрямую превращается в цепочку компрометации.
Насколько безопасен каждый способ хранения
Распространённое, но рискованное
- Память: ограничена тем, что вы можете вспомнить → ведёт к переиспользованию и слабым строкам
- Бумага / стикеры: уязвимы к потере, подглядыванию через плечо, исчезновению; не масштабируется
- Хранение в браузере: лучше, чем ничего, но слабо против захвата устройства и бедно на мониторинг/обмен
- Открытый текст в таблице / приложении заметок: утечка одного файла раскрывает всё
Безопасные способы
- Менеджер паролей: сам генерирует и хранит сильный, уникальный пароль на каждый сайт; не заполнит на поддельных сайтах = устойчив к фишингу
- Passkey: вход вообще без крадущегося общего секрета
- MFA: останавливает злоупотребление, даже если пароль утёк
- Бумага только для кодов восстановления: ограничьте её кодами восстановления и т. п.
Суть не в том, чтобы «перестать пользоваться памятью или бумагой» — а в том, чтобы вообще убрать необходимость запоминать. Менеджер делает каждый вход уникальным и помнит их за вас, так что вам нужно защитить лишь один сильный мастер-пароль (и его резервную копию).
Взгляд этого сайта: данные отражают большинство, а не беспечное меньшинство
Что бросается в глаза — рискованное хранение это не кучка беспечных людей, а массовый статус-кво. Именно поэтому системное исправление побеждает силу воли. Сначала сделайте каждый аккаунт уникальным с помощью менеджера паролей, затем укрепите важные аккаунты, через которые восстанавливаются остальные, — почту, облако — с помощью passkey и устойчивой к фишингу MFA. Уже одно это убирает большинство «распространённых слабостей», на которые указывают данные выше.
Какой способ хранения подходит именно вам
Даже если в принципе лучше всего специализированный менеджер, реалистичный выбор зависит от ваших устройств и семьи. Выберите то, чем будете пользоваться постоянно.
| Ваша ситуация | Рекомендуемое место | Почему |
|---|---|---|
| Только iPhone и Mac | Встроенное приложение «Пароли» (связка ключей iCloud) | Генерация, автозаполнение и предупреждения об утечках без дополнительной подписки |
| В основном Android и Chrome | Google Password Manager | Уже встроен в Chrome и телефон, есть проверка паролей (Password Checkup) |
| Разные платформы, например Windows и iPhone | Специализированный облачный менеджер паролей | Одно хранилище для разных операционных систем |
| Общие аккаунты с семьёй | Специализированный менеджер с совместным доступом | Не нужно пересылать пароли в чатах или по почте |
| Член семьи, которому сложно с техникой | Встроенное в ОС хранилище плюс данные для восстановления на бумаге | Мало шагов, легко поддерживать. Один лист в определённом месте дома |
| Рабочие аккаунты | То, что определил ваш работодатель | Не смешивайте рабочие входы с личным менеджером |
Встроенные в ОС хранилища паролей гораздо безопаснее памяти, бумаги или приложения для заметок. Если сомневаетесь, начните с хранилища на устройстве, которым уже пользуетесь, и переходите на специализированный менеджер, когда понадобится работать на разных платформах.
Как проверить свои привычки хранения
Найти слабые места можно примерно за десять минут.
Запустите проверку сохранённых паролей
В Chrome: ваш профиль в правом верхнем углу → «Passwords» (пароли) (или меню → «Passwords and autofill» → «Google Password Manager») → «Checkup» (проверка) слева. Там перечислены скомпрометированные, повторно используемые и слабые пароли. На iPhone такие же предупреждения собраны в разделе «Безопасность» приложения «Пароли».
Найдите копии открытым текстом
Поищите «пароль», «password» или «pass» в приложении для заметок, фотографиях на телефоне (скриншотах), сообщениях самому себе, таблицах и текстовых файлах. Перенесите найденное в нормальное хранилище, затем удалите оригиналы, в том числе из корзины.
Сначала устраните повторное использование на важных аккаунтах
Даже если шаг 1 показал много предупреждений, исправлять всё сразу не нужно. Сначала смените пароли почты, аккаунта Apple/Google, банка и интернет-магазинов.
Проверьте силу паролей, которые придумываете сами
Для тех, что приходится придумывать, например мастер-пароля, проверьте длину и угадываемость с помощью проверки надёжности пароля.
Частые ошибки и как их исправить
- Менять пароль, меняя только последнюю цифру: такой легко угадать по старому. Меняйте на совершенно другой и только при уведомлении об утечке.
- «Один сильный пароль для всего»: сила не важна, если одна утечка открывает все аккаунты. Используйте отдельный пароль для каждого сервиса.
- Оставлять старые заметки или таблицу после импорта в менеджер: после импорта удалите оригиналы открытым текстом.
- Хранить коды восстановления только внутри менеджера: если доступ потерян, до них не добраться. Держите коды восстановления и в отдельном месте, например на бумаге.
Реальные примеры: как способ хранения повлиял на ущерб
Два случая из разборов инцидентов на этом сайте, где хранение и повторное использование паролей напрямую привели к ущербу.
- Takufile-bin (2019): оператор хранил пароли для входа открытым текстом, и они утекли вместе примерно с 4,8 млн записей. Пользователи, которые использовали те же пароли в других местах, оказались под угрозой и там. Что могли сделать пользователи: давать каждому сервису свой пароль.
- 7pay (2019): двухэтапной проверки не было, поэтому для входа хватало ID и пароля. Пароль, повторно использованный после утечки в другом месте, позволял войти сразу. На стороне пользователя помогают отказ от повторного использования и включение двухэтапной проверки там, где она есть.
В обоих случаях, даже при изъянах на стороне оператора, пользователи с уникальным паролем для каждого сервиса могли не дать ущербу распространиться на другие свои аккаунты.
Читать дальше
- Проверка утечек: Как проверить, не утёк ли ваш пароль (Have I Been Pwned)
- На практике: как выбрать менеджер паролей (базовый шаг, который убирает необходимость запоминать)
- Частый вопрос: безопасно ли хранить пароли в Google Drive?
- Следующий шаг: что такое passkey / как выбрать MFA
- Со стороны разработчика: как безопасно хранить пароли (хеширование и соль)
Источники
- Security.org, «Password Manager Annual Report (2024)»: security.org
- Bitwarden, «World Password Day Global Survey (2024)»: bitwarden.com
- Verizon, «2024 Data Breach Investigations Report (DBIR)»: verizon.com
- NIST, «SP 800-63B-4 Digital Identity Guidelines: Authentication and Authenticator Management» (август 2025 года): pages.nist.gov
- Google, «Check if your passwords have been exposed or are weak» (Password Checkup): support.google.com
- Apple Platform Security, «Password security recommendations»: support.apple.com