Ломают не технику, а человека

В кино взлом выглядит как подбор пароля бегущими цифрами. В отчётах он выглядит иначе. Verizon Data Breach Investigations Report выпуска 2025 года разбирает подтверждённые утечки данных и показывает вот что:

• около 60% подтверждённых утечек произошли с участием человеческого действия: клик, разговор по телефону, отправка данных не туда;
• украденные учётные данные — самый частый первый шаг: 22% случаев;
• фишинг — 16% как первичный способ проникновения;
• в атаках на веб-приложения украденные учётные данные фигурируют в 88% случаев.

Учётные данные — это просто логин и пароль. «Украденные» здесь почти никогда не значит «подобранные». Это значит: их отдали. Ввели на поддельной странице, использовали повторно после чужой утечки, продиктовали в трубку.

Три сценария, из которых состоит почти всё

• Пароль всплыл в чужой утечке. Вы придумали его один раз и поставили на десять сайтов. Утёк один сайт — проверять пару логин-пароль будут везде.
• Код выманили разговором. Человек сам называет одноразовый код или сам вводит его там, где его быть не должно.
• Получили доступ к устройству. Разблокированный телефон, приложение «для помощи», поставленное по чужой просьбе.

Сколько это в рублях

Банк России публикует обзор операций, совершённых без добровольного согласия клиентов. Цифры за 2025 год:

Соблазн прочитать это как «риск ничтожен»: доля 0,00071%, средняя сумма 18 тысяч. Но 0,00071% — это доля от всех переводов страны, а не ваша вероятность. А 18 тысяч — среднее, в котором есть и списанная зарплата, и проданная квартира.

Где проходит пробой

Сопоставьте два числа: 13 895,4 млрд предотвращено — 29,3 млрд прошло. Автоматика банка отсекает практически всё, что похоже на мошенничество: нетипичный получатель, странное время, чужое устройство. Проходит то, что не похоже. А не похож на мошенничество перевод, который человек делает сам, со своего телефона, спокойно, по своей воле — потому что ему объяснили, что он спасает деньги.

Честная оговорка про рост

Количество операций выросло на 31,2%, и это число легко превратить в заголовок «мошенничество взлетело на треть». Осторожнее: с октября 2025 года появилась специальная кнопка для сообщения о мошенничестве, и обращаться стали те, кто раньше при небольших суммах не шёл ни в банк, ни в полицию. Часть роста — улучшение учёта, а не только рост преступности.

Это не оправдание и не успокоение. Это навык, который в лекции пригодится ещё дважды: прежде чем пугаться цифры, спросить, как её считали.

Ваша карта: что от чего зависит

Прежде чем что-то защищать, надо понять, что через что восстанавливается. У большинства людей карта одинаковая.

Почта — корень

Через неё сбрасываются пароли почти ко всему остальному: нажал «забыл пароль» — письмо пришло на почту — доступ получен. Если у почты слабый или повторно использованный пароль, всё остальное защищено ровно настолько же, независимо от того, какие пароли стоят там.

Номер телефона — второй корень

На него приходят коды, к нему привязаны аккаунты. Отсюда два следствия: PIN-код на SIM-карту (чтобы вынутая из потерянного телефона симка не заработала в чужом) и осторожность с перевыпуском — если номер вдруг «замолчал» без причины, это повод позвонить оператору.

Дальше по важности

• банк и портал госуслуг;
• мессенджеры — через них просят деньги у ваших контактов от вашего имени;
• маркетплейсы и всё, где привязана карта.

Упражнение на пять минут. Выпишите свои аккаунты столбиком и напротив каждого отметьте, через что он восстанавливается. Почти у всех строчек окажется один и тот же адрес почты. Это и есть ваша карта — и ваш список приоритетов на следующие полчаса.