Мегавитоки паролів перестали бути сенсацією — вони стали буденністю. У червні 2026 року дослідники знайшли у відкритому доступі базу на 24 мільярди записів із паролями у відкритому вигляді — одну з найбільших, які взагалі бачили. Навіть якщо ваше імʼя ніде публічно не «світилося», старий пароль міг давно осісти в одній із таких баз, і саме це робить його небезпечним. Нижче — як перевірити, чи витекли ваші дані, і що зробити, щоб захистити акаунти.
Мегавитоки стали регулярними
У червні 2026 року дослідники Cybernews виявили у відкритому доступі кластер Elasticsearch на 24 мільярди записів і понад 8,3 ТБ даних — одну з найбільших баз облікових даних, які взагалі бачили. Переважна більшість — це логи шкідливого ПЗ-викрадача (infostealer): логіни, паролі у відкритому вигляді й адреси сервісів, до яких вони відкривають доступ. Дані зібрані з 36 джерел, серед них — десятки Telegram-каналів, присвячених торгівлі краденими обліковими записами. Базу вже закрили, але паролі, що повторюються, досі наражають акаунти на ризик.
Це не поодинокий випадок, а закономірність. У січні 2026 року той самий колектив знайшов кластер на 8,73 мільярда записів про громадян і компанії Китаю — з національними ID, адресами й паролями у відкритому вигляді; виявив його український дослідник Боб Дяченко. А ще раніше, у червні 2025 року, Cybernews повідомив про 16 мільярдів облікових даних у 30 наборах — теж переважно з логів infostealer-ів.
Планку до того задавали інші збірки: «матір усіх витоків» (MOAB) у січні 2024 року з понад 26 мільярдів записів і файл rockyou2024.txt із майже 10 мільярдами паролів відкритим текстом.
Висновок простий: витоки такого масштабу тепер зʼявляються кожні кілька місяців, і питання не в тому, чи потрапить ваш пароль до однієї з баз, а в тому, коли це станеться — якщо ще не сталося.
Чому це загрожує саме вам
Головна небезпека — не сам факт витоку, а звичка повторно використовувати паролі. Маючи готовий список логінів і паролів, зловмисники запускають атаки з підстановкою облікових даних (credential stuffing): автоматично підставляють вкрадену пару «пошта + пароль» на сотнях інших сайтів. Якщо ви використали один і той самий пароль у пошті, банку й маркетплейсі, компрометація одного сервісу відчиняє двері до решти.
Окрема загроза — згадані infostealer-и. Вони крадуть не лише паролі, а й активні сесійні куки та токени. Це означає, що в частині випадків зловмисник може зайти в акаунт, обійшовши навіть двофакторну автентифікацію, бо система вважає його вже авторизованим користувачем.
Як перевірити, чи витік ваш пароль
Перш ніж щось міняти, варто дізнатися, чи фігурують ваші дані у відомих витоках. Для цього є кілька безкоштовних і надійних інструментів:
- Have I Been Pwned— найвідоміший сервіс перевірки. Введіть свою електронну адресу, і він покаже, у яких витоках вона фігурувала. Окремий розділ Pwned Passwords дозволяє перевірити конкретний пароль.
- Cybernews Personal Data Leak Checker— перевіряє адресу за базами, які акумулює команда Cybernews. Дані, що ви вводите, хешуються, і для пошуку використовується лише хеш.
Якщо користуєтеся менеджером паролів або вбудованими сховищами Google чи Apple, вони, найімовірніше, вже мають функцію моніторингу й самі попередять, якщо якийсь із ваших паролів засвітився у витоку.
Що зробити прямо зараз
Якщо перевірка показала, що ваші дані скомпрометовано (а в масштабах останніх витоків це досить імовірно), виконайте кілька кроків:
- Змініть паролі там, де вони повторюються. Почніть із найважливішого — електронної пошти, до якої привʼязані інші акаунти, банківських застосунків і основних соцмереж.
- Зробіть кожен пароль унікальним. Один сервіс — один пароль. Тримати десятки складних комбінацій у голові нереально, тому скористайтеся менеджером паролів (наприклад, Bitwarden, 1Password або KeePassXC) чи вбудованим у браузер сховищем.
- Переходьте на ключі доступу (passkeys), де це можливо. Це безпарольний спосіб входу, який неможливо «злити» у вигляді тексту й важко підробити. Після витоку 2025 року на passkeys прямо перейти радила Google; цю технологію підтримують також Apple і Microsoft.
- Увімкніть двофакторну автентифікацію. Краще через застосунок-автентифікатор або апаратний ключ, а не через SMS — коди в повідомленнях легше перехопити.
- Будьте насторожі щодо фішингу. Після великих витоків зростає кількість цільових листів і повідомлень. Не переходьте за підозрілими посиланнями й не вводьте паролі на сторінках, на які потрапили з листа, навіть якщо лист виглядає офіційно.
Як захиститися надовго
Разові зміни паролів допомагають загасити конкретну пожежу, але стійкий захист — це звички:
- Використовуйте менеджер паролів як основне сховище й генератор довгих випадкових паролів. Для самого менеджера задайте окремий надійний пароль, який ніде більше не застосовуєте.
- Поступово замінюйте паролі на ключі доступу скрізь, де сервіс це підтримує.
- Не завантажуйте зламані програми, «активатори» й сумнівні застосунки — саме так на пристрої найчастіше потрапляють infostealer-и, що крадуть збережені паролі та сесії.
- Тримайте систему й антивірусний захист оновленими, а пристрої — «чистими». Витоки на кшталт мегабаз 2025–2026 років значною мірою живляться саме зараженими компʼютерами звичайних користувачів.
Поширені запитання
Чи означає витік, що мій акаунт уже зламали?
Ні. Поява пароля у витоку означає лише, що він потенційно відомий зловмисникам. Реальна загроза виникає, якщо ви використовуєте цей пароль і досі та ще й повторюєте його на інших сайтах. Тому ключове — оперативно змінити такий пароль і зробити його унікальним.
Чи захищає двофакторна автентифікація від таких витоків?
Здебільшого так, і вмикати її варто обовʼязково. Але це не абсолютний захист: шкідливе ПЗ-викрадач може красти активні сесійні куки, що дозволяють у частині випадків обійти другий фактор. Тому 2FA варто поєднувати з унікальними паролями й переходом на ключі доступу.
Що таке passkey і чи варто переходити?
Passkey (ключ доступу) — це спосіб входу без пароля, привʼязаний до вашого пристрою й захищений біометрією або PIN-кодом. Його не можна «злити» текстом, як звичайний пароль, і набагато важче підробити фішингом. Для критично важливих акаунтів перехід на passkeys — один із найкращих кроків, які можна зробити вже зараз.
Як часто треба міняти паролі?
Регулярна примусова зміна «про всяк випадок» уже не вважається обовʼязковою. Сучасна рекомендація — змінювати пароль тоді, коли є привід: він засвітився у витоку, ви підозрюєте компрометацію або повторно використовували його деінде. Набагато важливіше, щоб кожен пароль був довгим і унікальним.
