Багато хто впевнений: варто змінити 4-значний PIN-код на 6-значний — і смартфон стане надійно захищеним. Дослідження безпеки показують протилежне: проти реального зловмисника, у якого обмежена кількість спроб, різниця між чотирма та шістьма цифрами мінімальна, а подеколи довший код навіть легше вгадати. До того ж сьогодні головна загроза — це вже не підбір коду, а ситуація, коли хтось підглядає, що ви вводите, а потім краде сам пристрій.
Що показало дослідження
Команда фахівців з Рурського університету в Бохумі, Інституту безпеки і приватності імені Макса Планка та Університету Джорджа Вашингтона провела перше масштабне дослідження того, як люди обирають PIN-коди саме для розблокування смартфонів. Учасникам Apple- та Android-пристроїв пропонували встановити чотири- або шестизначний код; частина могла обрати будь-яку комбінацію, частина — лише ту, що не потрапила до «чорного списку» заборонених варіантів.
Ключовий висновок: проти атакувальника, обмеженого кількома десятками спроб (саме так працює розблокування смартфона), 6-значний PIN-код дає мізерний приріст захисту порівняно з 4-значним — а на коротких дистанціях навіть програє.
Конкретні цифри з дослідження — частка кодів, які вдається вгадати:
- 10 спроб (максимум, який допускає iOS): підбирається 4,6% 4-значних і 5,7% 6-значних кодів.
- 30 спроб (менш наполегливий зловмисник на Android): 7,6% проти 8,8%.
- 100 спроб (розумна верхня межа для Android): 16,2% проти 12,5%.
Тобто на перших десятках спроб довший код не лише не допомагає, а навіть частіше відкриває пристрій зловмиснику.
Чому 6 цифр інколи слабші за 4
З погляду математики різниця колосальна. Чотиризначний код — це 10 тисяч можливих комбінацій, шестизначний — мільйон. Якби зловмисник міг перебирати варіанти без обмежень, повний перебір усіх 4-значних кодів зайняв би близько 12 хвилин, а всіх 6-значних — близько 20,5 годин.
Але на практиці смартфон не дає перебирати безкінечно: після кількох помилок вмикаються паузи та блокування. А отже, вирішує не розмір простору комбінацій, а те, наскільки передбачувано люди обирають код. І тут виявилася парадоксальна річ: найпоширеніші 6-значні коди розподілені ще «вужче», ніж 4-значні. Люди масово беруть прості послідовності на кшталт 123456 чи повтори однакових цифр, тож кілька перших здогадок зловмисника спрацьовують навіть частіше.
Які PIN-коди обирати не варто
Дослідники зібрали найпопулярніші комбінації. Якщо ваш код є в цьому переліку або побудований за схожою логікою — його варто змінити:
| Найпоширеніші 4-значні | Найпоширеніші 6-значні |
| 1234, 0000, 2580, 1111, 5555 | 123456, 654321, 111111, 000000, 123123 |
| 5683, 0852, 2222, 1212, 1998 | 666666, 121212, 112233, 789456, 159753 |
За цими комбінаціями стоять упізнавані шаблони: 2580 — це вертикальна лінія посередині клавіатури, 5683 на старих кнопкових розкладках складається у слово «LOVE», 159753 малює на цифровому полі літеру «X», а 789456 — це просто рядки клавіатури. Зловмисники чудово знають ці «візерунки» й перевіряють їх першими.
Чому небезпечно просто «дописати дві цифри» до старого коду
Окрема наукова робота дослідила поширену звичку: переходячи на 6-значний код, люди беруть свій старий 4-значний і додають до нього ще дві цифри. Виявилося, що це особливо вразливий сценарій. Якщо зловмисник уже знає ваш попередній 4-значний код, він може вгадати понад 25% таких «подовжених» 6-значних кодів усього за 10 спроб і понад 30% — за 30. Інакше кажучи, новий код успадковує всі слабкості старого.
Головна загроза 2020-х: підгледіти код і вкрасти телефон
Сьогодні зловмисникам часто взагалі не потрібно нічого вгадувати. Поширеною стала схема, яку детально описали журналісти-розслідувачі: у людному місці чи барі хтось підглядає, як власник вводить код розблокування, а потім викрадає сам смартфон. Знаючи код, злодій отримує не просто доступ до пристрою.
PIN-код (passcode) — це «корінь довіри» всієї системи. Біометрія — Face ID, Touch ID, розблокування за відбитком — лише надбудова над ним: щойно сканування не спрацьовує або пристрій перезавантажується, телефон усе одно просить код. А маючи код, зловмисник може змінити пароль облікового запису, вимкнути функції пошуку пристрою, отримати доступ до збережених паролів і банківських застосунків — і заблокувати справжнього власника назавжди. Описані випадки, коли потерпілі втрачали доступ до банківських застосунків ще до того, як устигали позначити телефон як втрачений.
Як виробники відповіли на цю загрозу
Apple. У відповідь на хвилю таких крадіжок Apple додала функцію Stolen Device Protection (захист викраденого пристрою), доступну з iOS 17.3. Коли вона ввімкнена, для найбільш чутливих дій поза «знайомими» місцями (домом чи роботою) самого коду вже недостатньо — система вимагає Face ID або Touch ID. А зміна пароля облікового запису Apple чи вимкнення біометрії передбачає обовʼязкову годинну затримку з повторною біометричною перевіркою. Це дає власнику час заблокувати пристрій дистанційно.
Android. Google вибудувала власний набір захисту від крадіжок. Функція Identity Check (перевірка особи), що зʼявилася в Android 15, вимагає біометрію для критичних дій — зміни PIN-коду, вимкнення захисту, доступу до паролів і банківських застосунків — коли пристрій перебуває поза довіреними локаціями. Доповнюють її Theft Detection Lock (миттєве блокування екрана, якщо телефон вихоплюють із рук), Offline Device Lock, дистанційне блокування через браузер та збільшені паузи після невдалих спроб введення коду. Частину цих функцій потрібно ввімкнути вручну.
Як захистити свій PIN-код і смартфон
- Використовуйте щонайменше 6 цифр, а краще — літерно-цифровий код. Більший приріст безпеки дає не подовження коду, а перехід на складніший пароль із літер і цифр.
- Уникайте дат, повторів і «візерунків» на клавіатурі. Роки народження, 1111, 123456, лінії та фігури на цифровому полі — найперші кандидати на підбір.
- Не робіть новий код «продовженням» старого. Не додавайте дві цифри до колишнього 4-значного коду — обирайте незалежну комбінацію.
- Увімкніть біометрію. Face ID, Touch ID чи розблокування за відбитком зменшують потребу набирати код у публічних місцях, де його можуть підгледіти.
- Активуйте захист від крадіжок. Stolen Device Protection на iPhone та Identity Check і повʼязані функції на Android варто ввімкнути заздалегідь — після крадіжки буде вже пізно.
- Прикривайте екран, коли вводите код. У транспорті, барі чи черзі затуляйте руку — так само, як біля банкомата.
