Треть пользователей не меняет пароли даже после оповещения об утечке

Российский сервис разведки уязвимостей и утечек данных DLBI проанализировал реакции пользователей на оповещения об утечках их паролей.

Более тысячи наборов учетных данных, попавших в утечки 2026 года, проверялись на повторное появление в наборах утекших данных после того, как их владельцы получили оповещение о компрометации вместе с рекомендацией немедленно сменить пароль. Полученные данные о последующих утечках очищались от случаев компиляции ранее утекших данных, часто встречающихся на черном рынке данных.

По данным DLBI, чуть более 70% пользователей последовали рекомендации сменить пароль, а около 30% проигнорировали оповещение и продолжили использовать скомпрометированные данные. При этом больше половины этих пользователей (около 15% от общей выборки) использовали скомпрометированный пароль сразу в нескольких сервисах.

По мнению специалистов DLBI, число таких пользователей могло быть больше, однако как минимум ИБ-системы крупных компаний практикуют автоматический сброс скомпрометированного пароля с невозможностью установить ту же комбинацию заново. При этом для сервисов, которые используются в личных целях, смена пароля остается решением самого пользователя, который откладывает это действие и потом забывает о нем.

Как отметил основатель DLBI Ашот Оганесян, проблема игнорирования пользователями рекомендаций по информационной безопасности в последнее время стоит все острее. «Люди перегружаются постоянными описаниями хакерских угроз и мошеннических схем и впадают в прострацию, игнорируя проблемы безопасности, пока те не нанесут им реальный ущерб, а предпринять что-то будет уже поздно», – добавил он.

«Корпоративный сектор находится в лучшем положении, так как там политики безопасности исполняются автоматически и, если пароль скомпрометирован, он будет сброшен. Однако ситуация в малом бизнесе не слишком отличается от ситуации с личными аккаунтами. Решением может быть подключение важнейших облачных сервисов, используемых частными пользователями и малым бизнесом, к системам контроля компрометации учетных данных, чтобы автоматический сброс утекших паролей работал так же, как сейчас в крупных компаниях», – предложил Ашот Оганесян.