Кибербезопасность для начинающих: защита за один вечер
29 октября 2026 года с горячих кошельков Binance за несколько часов ушло около $6,3 млрд — крупнейшая кража криптовалюты в истории. По первой версии биржи, блокчейн никто не ломал: атакующие захватили рабочий ноутбук одного инженера и через него добрались до сервиса, который отправляет выводы. Большие взломы начинаются с людей и их устройств, маленькие — тоже. Хорошая новость: базовая защита останавливает почти все атаки на обычных людей, и на неё хватит одного вечера. Вот порядок.
Бесплатный курс по темеКибербезопасность с нуля: курс с нуляНачать курс →
Шаг 1: пойми, почему ты цель
Большинство атак массовые, а не личные. Утекает база какого-нибудь сайта, боты пробуют эти пары «почта + пароль» везде, и где пароль совпал — они внутри. Атакующие заходят через три двери: аккаунт (подобранный или украденный пароль, перехваченный SMS-код), устройство (вирус, кража, телефон без блокировки) и ты: тебя уговаривают отдать код или поставить программу.
«Мне нечего красть» — миф: угнанный аккаунт используют, чтобы просить деньги у твоих друзей от твоего имени. Начни с трёх ключей от всего: почты, номера телефона и главного устройства. Урок: Как один ноутбук стоил $6,3 млрд
Шаг 2: свой пароль на каждый сайт, и длина решает
Когда утекает один сайт, боты пробуют тот же пароль на почте, в банке и на бирже. Это называется credential stuffing, и один повторный пароль открывает все двери. «Dan2004!» выглядит сложным, но имена и годы боты пробуют первыми. Шесть случайных слов из списка на 7776 слов дают около 2·10²³ комбинаций: легко запомнить, невозможно подобрать. Слова выбирай генератором, а не головой.
NIST, американский институт стандартов, говорит: длина важнее «сложности», пароль, который защищает в одиночку, должен быть от 15 символов, а плановая смена паролей не нужна — только при признаках утечки. Проверь свою почту на Have I Been Pwned: если она есть в утечке, смени этот пароль везде, где он повторялся. Урок: Пароли, которые не подобрать
Шаг 3: пусть пароли помнит менеджер
Запомнить 100 разных паролей нельзя, и не нужно. Менеджер паролей хранит для каждого сайта случайный пароль от 20 символов в зашифрованном хранилище, а ты помнишь одну длинную мастер-фразу. Встроенные варианты — «Пароли» от Apple и Google Password Manager, отдельные — Bitwarden, 1Password, Proton Pass.
Бонус: он ловит фишинг. Менеджер привязывает пароль к точному адресу, поэтому на сайте-двойнике молчит. Если на «знакомом» сайте он не предлагает пароль — стоп, проверь адрес. Первыми перенеси пароли от почты, банка и биржи, остальные — при следующем входе. Урок: Менеджер паролей: помнить один
Шаг 4: включи двухфакторку, лучше всего passkey
В исследовании Google 2019 года против целевых атак SMS-код остановил 76% попыток, подтверждение на устройстве — 90%, аппаратный ключ — 100%. SMS — самая слабая ступень: в январе 2024 года мошенники уговорили оператора перевести номер американской SEC на свою SIM-карту и угнали её аккаунт в X. Приложение-аутентификатор лучше. Passkey — лучше всего: он привязан к точному адресу сайта и на подделке просто не сработает. Резервные коды сохрани на бумаге дома. Урок: Двухфакторка: от SMS до passkey
Шаг 5: закрой почту и номер
Почти любая ссылка «Забыли пароль?» приходит на почту, так что у кого почта — тот заходит почти куда угодно. Сделай проверку на 10 минут: уникальный пароль плюс passkey или аутентификатор, свои резервные почта и телефон, никаких пересылок и чужих фильтров, и выход со всех незнакомых устройств.
Защити номер от SIM-свопа: попроси у оператора PIN на перенос номера или запрет замены SIM без личного визита (часто это называется Number Lock или SIM Protection) и поставь PIN на саму SIM-карту. Пропала связь без причины — сразу звони оператору с другого телефона. Урок: Почта и номер: главные ключи
Шаг 6: обновляйся, а не «напомнить завтра»
14 марта 2017 года Microsoft закрыла дыру в Windows. 12 мая вирус-вымогатель WannaCry через ту же дыру поразил больше 200 000 компьютеров в 150 странах. В том же году Equifax потеряла данные 147 млн человек через баг, для которого уже было исправление. Включи автообновления на телефоне, ноутбуке, в браузере и банковских приложениях и не держи деньги на устройстве, которое больше не получает обновлений безопасности. Урок: Обновления: скучная суперсила
Шаг 7: защити телефон от кражи
Самая неприятная схема: вор подсматривает код разблокировки, потом крадёт телефон и сбрасывает твои аккаунты. Ставь шесть цифр и больше (четыре — всего 10 000 комбинаций), прикрывай экран при вводе и включи «Защиту украденного устройства» на iPhone или защиту от кражи на Android. Спрячь превью сообщений на заблокированном экране, чтобы там не светились коды, и ставь приложения только из App Store и Google Play. Урок: Телефон: замок, кража и приложения
Шаг 8: распознавай фишинг и фальшивую поддержку
Читай адрес справа налево до первого «/»: в binance.com.login-check.io хозяин — login-check.io. А ещё лучше одна привычка: никогда не переходи по ссылкам из писем и сообщений туда, где входишь или платишь. Открывай приложение или закладку напрямую. Урок: Фишинг: как не клюнуть
Настоящая поддержка никогда не просит код, пароль или сид-фразу, никогда не просит поставить AnyDesk или другую программу удалённого доступа и никогда не говорит перевести деньги «на защищённый счёт». Прозвучало одно из этого — клади трубку. Урок: Фальшивая поддержка
Шаг 9: держи план на случай взлома
Порядок важнее скорости. Возьми чистое устройство, заблокируй пострадавший аккаунт (на бирже — в настройках безопасности или через поддержку в приложении), смени пароль от почты и выйди со всех устройств. Игнорируй «экспертов по возврату крипты», которые появляются после поста о взломе: ФБР отдельно предупреждало об этих схемах с предоплатой. Подай заявление на биржу и в полицию: украденные средства иногда удаётся заморозить. Урок: План на случай взлома
Частые вопросы
С чего начать изучение кибербезопасности новичку?
Со своих аккаунтов: уникальный пароль на каждый сайт в менеджере паролей, двухфакторка (по возможности passkey) на почте, в банке и на бирже и автообновления. Это закрывает двери, через которые идёт большинство атак, и занимает примерно один вечер.
Какой самый важный совет по кибербезопасности?
Первой защити почту. Через неё сбрасываются пароли от всего остального, поэтому ей нужен уникальный пароль, passkey или приложение-аутентификатор и проверка, что нет чужих правил пересылки.
Безопасна ли двухфакторка через SMS?
Она намного лучше, чем никакой, но это самый слабый вариант: номер могут украсть через SIM-своп, и коды уйдут мошеннику. Где сервис позволяет, выбирай приложение-аутентификатор или passkey.
Бесплатный курс по темеКибербезопасность с нуля: курс с нуляНачать курс →