Інтернет-магазин, де колись купили один подарунок, форум, сервіс доставки, застосунок, встановлений заради разової знижки, — більшість таких облікових записів створюються за хвилину і забуваються назавжди. Дані в них при цьому нікуди не зникають: адреса електронної пошти, номер телефону, адреса доставки, іноді збережена банківська картка і старий пароль, який, можливо, досі використовується деінде. Саме тому покинуті акаунти — одна з найзручніших цілей для кіберзлочинців.

Чому старі акаунти стають проблемою

Обліковий запис живе довше, ніж інтерес до сервісу. За даними NordPass, у 2024 році середній користувач мав 168 паролів до особистих акаунтів і ще 87 — до робочих. Опитування 2026 року показало зниження до 120 особистих і 67 робочих паролів. У компанії пояснюють це не тим, що акаунтів стало менше, а тим, що дедалі більше людей входять у нові сервіси через Google, Apple чи Facebook або користуються ключами доступу. Загальна кількість облікових записів, за оцінкою NordPass, продовжує зростати — просто частина з них тепер не має окремого пароля і не потрапляє до жодного списку.

Покинутий акаунт ніхто не перевіряє. Google, пояснюючи свою політику щодо неактивних облікових записів, зазначає: забуті акаунти часто захищені старими або повторно використаними паролями, які могли вже потрапити до зловмисників, на них рідко налаштована двофакторна автентифікація, а власник не помічає підозрілої активності. За внутрішнім аналізом компанії, у покинутих акаунтах двоетапну перевірку вмикають щонайменше вдесятеро рідше, ніж в активних.

Як зловмисники отримують доступ до неактивних акаунтів

Зламувати кожен обліковий запис окремо кіберзлочинцям не потрібно — облікові дані вони отримують масово.

• Шкідливе ПЗ для викрадення даних (інфостілери). Такі програми витягують із заражених пристроїв збережені в браузері паролі, файли cookie сесій і токени доступу. За даними Flashpoint, у 2024 році зловмисники скомпрометували понад 3,2 мільярда облікових даних, і 75% з них — 2,1 мільярда — зібрали саме інфостілери. У першій половині 2026 року, згідно з піврічним звітом компанії, інфостілери заразили 7,4 мільйона пристроїв і зібрали 1,7 мільярда облікових даних.
• Витоки баз даних. Коли зламують сам сервіс, на продаж або у відкритий доступ потрапляють бази з адресами пошти, іменами користувачів і хешами паролів. Старі й невеликі сервіси нерідко зберігають паролі без надійного захисту, тож розшифрувати їх простіше.
• Підстановка облікових даних (credential stuffing). Пари «логін — пароль» з витоків автоматично перевіряють на десятках інших сайтів. Якщо пароль колись використовувався повторно, разом зі старим акаунтом зловмисник отримує доступ і до нових.
• Підбір паролів. Короткі й прості паролі, створені багато років тому, піддаються автоматичному перебору значно швидше, ніж довгі й унікальні.

Що роблять зі зламаним старим акаунтом

• Розсилають шахрайські повідомлення контактам. Зламана стара пошта чи сторінка в соцмережі виглядає для знайомих справжньою: від імені власника просять позичити гроші, надсилають фішингові посилання або шкідливі файли.
• Збирають особисті дані. Імʼя, телефон, адреса доставки та історія замовлень допомагають складати переконливі фішингові листи «від сервісу» або використовуються для шахрайства з особистими даними.
• Користуються збереженими банківськими картками. Якщо термін дії картки не минув, нею можуть розрахуватися просто в інтерфейсі сервісу.
• Продають акаунт. На тіньових майданчиках є попит на облікові записи з накопиченими бонусами, балами програм лояльності чи авіамилями, про які власник давно забув.
• Виводять кошти. Забутий криптогаманець, акаунт на біржі чи в платіжному сервісі — це пряма фінансова втрата.
• Використовують як ключ до інших акаунтів. Особливо небезпечна стара електронна пошта: через функцію відновлення пароля вона відкриває доступ до всіх сервісів, зареєстрованих на цю адресу.

Коли забутий акаунт відкриває двері компанії

Для бізнесу неактивні облікові записи — службові, тестові, акаунти звільнених працівників — ще небезпечніші, бо ведуть просто в корпоративну мережу.

Colonial Pipeline, 2021. Атака програми-вимагача, через яку на сході США виникли перебої з пальним, почалася з VPN-профілю, яким компанія вже не користувалася, але не вимкнула. Як свідчив у Сенаті США гендиректор Colonial Pipeline Джозеф Блаунт, цей профіль був захищений лише паролем, без багатофакторної автентифікації. Згодом пароль від нього виявили серед злитих облікових даних у даркнеті — ймовірно, працівник використовував його і для іншого акаунта, який раніше зламали.

Лондонське боро Гекні, 2020. Під час атаки програми-вимагача зловмисники отримали доступ до 440 тисяч файлів і зашифрували їх; постраждали щонайменше 280 тисяч мешканців і працівників. Британський регулятор у сфері захисту даних ICO в рішенні 2024 року встановив, що однією з причин став неактивний обліковий запис із ненадійним паролем, який досі мав доступ до серверів ради. В ICO окремо наголосили, що не можна допускати таких простих помилок, як неактивні акаунти з однаковими логіном і паролем. Рада Гекні з висновками регулятора не погодилася.

АТБ, 2026. Угруповання DataSuckers, яке на початку жовтня заявило про злам сайту і застосунку мережі, стверджувало, що отримало доступ до даних 7,9 мільйона клієнтів, зокрема адрес електронної пошти та хешів паролів. За версією самих зловмисників, одним з етапів атаки став старий пароль від службового доступу, знайдений у мобільному застосунку. В АТБ атаку підтвердили, але заперечили витік персональних даних.

Які сервіси самі видаляють неактивні акаунти

Частина великих платформ уже автоматично закриває облікові записи, якими не користуються.

• Google. Особистий акаунт, у який не входили щонайменше два роки, може бути видалений разом із вмістом Gmail, Диска, Документів і Google Фото. Перед цим компанія надсилає кілька попереджень на основну та резервну адреси. Активністю вважається будь-яка дія після входу — від читання пошти й перегляду відео на YouTube до входу через Google на сторонньому сайті. Акаунти з активною підпискою Google не зачіпає, а облікові записи з опублікованими відео на YouTube наразі видаляти не планує. Політика не поширюється на корпоративні й навчальні акаунти.
• Microsoft. Згідно з політикою активності, в обліковий запис Microsoft потрібно входити щонайменше раз на два роки, інакше його вважають неактивним і закривають.
• X. Правила платформи радять входити щонайменше раз на 30 днів і попереджають, що через тривалу неактивність акаунт може бути остаточно видалений, проте конкретного терміну не називають.
• Telegram. За замовчуванням видаляє акаунт після шести місяців без входу — разом з усіма повідомленнями, медіафайлами і контактами. Термін можна змінити в налаштуваннях конфіденційності.

Покладатися на автоматичне видалення не варто. Багато інтернет-магазинів, форумів і невеликих сервісів таких правил не мають або не оприлюднюють, а дані, які вже потрапили у витік, закриття акаунта звідти не прибере.

Як знайти забуті облікові записи

Пошук у поштовій скриньці

Кожна реєстрація залишає слід у пошті. Варто перевірити всі свої адреси, зокрема старі, за запитами «ласкаво просимо», «підтвердіть адресу», «дякуємо за реєстрацію», «пробний період», «відновлення пароля», а також англійськими welcome, verify, confirm your account і password reset.

Менеджер паролів і збережені паролі браузера

Список паролів у менеджері паролів або браузері — фактично готовий каталог акаунтів. Менеджер паролів Google та аналогічні функції інших браузерів і менеджерів паролів також показують, які паролі скомпрометовані, слабкі або використовуються повторно, — з таких акаунтів варто почати.

Входи через Google, Apple і Facebook

Акаунти, створені кнопкою «Увійти через…», не мають окремого пароля і тому не потрапляють до менеджера паролів. Їх видно в налаштуваннях основного облікового запису:

• Google: Обліковий запис Google → Безпека → Ваші підключення до сторонніх застосунків і сервісів;
• Apple: Параметри → [імʼя користувача] → Вхід і безпека → Вхід з Apple;
• Facebook: Налаштування й конфіденційність → Налаштування → Програми та вебсайти.

Там само можна відкликати доступ у сервісів, якими більше не користуються.

Перевірка в базах витоків

Безкоштовний сервіс Have I Been Pwned показує, у яких відомих витоках фігурувала адреса електронної пошти. Перелік сервісів у результатах часто нагадує про акаунти, про які давно забули, — і підказує, де пароль потрібно змінити насамперед.

Як правильно закрити непотрібний акаунт

• Зберегти потрібне: фото, документи, чеки чи історію замовлень.
• Прибрати особисті дані: видалити збережені банківські картки, адреси доставки, документи з профілю.
• Скасувати платні підписки, інакше списання можуть тривати й після того, як про акаунт забули.
• Скористатися функцією видалення облікового запису в налаштуваннях. Якщо такої функції немає, — звернутися до служби підтримки із запитом на видалення акаунта і персональних даних. У політиці конфіденційності варто перевірити, чи сервіс справді видаляє дані, а не лише деактивує профіль.
• Якщо видалити акаунт неможливо, — залишити в профілі мінімум даних, а пароль замінити на довгий унікальний, згенерований менеджером паролів.

Як захистити акаунти, які варто залишити

• Унікальний пароль для кожного сервісу. Найпростіше досягти цього з менеджером паролів.
• Двофакторна автентифікація, а де можливо — ключі доступу (passkeys), стійкі до фішингу і підбору.
• Актуальні дані для відновлення: резервна адреса пошти і номер телефону, якими користуються зараз.
• План на випадок неактивності. Менеджер неактивних облікових записів Google дозволяє заздалегідь вирішити, що станеться з акаунтом і даними після періоду неактивності до 18 місяців: передати файли довіреним людям, увімкнути автовідповідь у Gmail або видалити акаунт.
• Регулярний аудит. Раз на рік переглядати список акаунтів, підключених сервісів і активних сесій.

Окремо варто зважати на повідомлення про «блокування акаунта», «борг» чи «неактивність, через яку профіль буде видалено»: це типові приводи для фішингових листів. Переходити за посиланнями з таких повідомлень не слід — стан акаунта безпечніше перевірити, відкривши сервіс напряму.

Висновок

Кожен забутий акаунт — це копія частини особистих даних, яку ніхто не охороняє. Година на пошук і видалення непотрібних облікових записів зменшує кількість місць, звідки ці дані можуть витекти, а унікальні паролі й двофакторна автентифікація на решті акаунтів не дадуть одному давньому витоку перетворитися на злам усього цифрового життя.

Ця стаття Забуті акаунти: чим небезпечні старі облікові записи і як їх знайти та видалити раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар

5 жовтня 2026 року сайт і застосунок мережі супермаркетів АТБ, яка налічує понад 1300 магазинів, тимчасово перестали нормально працювати. Замість головної сторінки відвідувачі бачили чорну заглушку з вимогою викупу. Угруповання DataSuckers стверджує, що викрало дані майже 8 млн клієнтів, а також співробітників і постачальників мережі. У компанії атаку підтвердили, але витік персональних даних заперечують. У відповідь зловмисники виклали в Telegram, за їхніми словами, зразки викраденої інформації. Незалежного підтвердження заяв жодної зі сторін наразі немає.

Що сталося 5 жовтня

Атаку анонсували заздалегідь. Як помітило ZN.UA, о 13:51 у Telegram-каналі DataSuckers зʼявився допис про те, що «через 9 хвилин щось станеться». Згодом угруповання писало про затримку через «технічні моменти», а о 14:45 опублікувало допис із посиланням на сайт АТБ.

На сайті мережі зʼявилася сторінка російською мовою з таймером на дві години: зловмисники вимагали 400 тис. доларів у USDT або біткоїнах і погрожували в разі відмови виставити дані у відкритий доступ. За спостереженнями Mezha, ресурси працювали з перебоями й час від часу видавали цю заглушку. Таймер працював некоректно — згодом хакери самі це визнали. Мобільний застосунок мережі також не працював.

Близько 15:30 мережа підтвердила атаку на свої ресурси. О 16:29 сайт знову відкривався, але з повідомленням про технічні роботи; станом на 18:00 воно залишалося на сторінці.

Що стверджують зловмисники

За словами DataSuckers, у їхньому розпорядженні опинилися:

• дані 7,9 млн клієнтів — номери телефонів, адреси електронної пошти, імена, адреси та хеші паролів;
• паспортні дані 127 тис. співробітників;
• історія 11,48 млн замовлень;
• понад 50 тис. записів про постачальників — податкові та реєстраційні коди й контакти;
• 68 тис. облікових записів Active Directory і 524 репозиторії GitLab із вихідним кодом.

Перелік наводять «Телеграф» і «Бабель». Угруповання також заявило, що знищило всі резервні копії. Податкові ідентифікатори постачальників хакери позначили російськими термінами «ИНН» і «ОКПО» замість українських РНОКПП і ЄДРПОУ.

Спершу як «доказ» зловмисники показали скриншот переліку архівів. Після того як сайт відновили, а компанія заперечила витік, DataSuckers пообіцяли оприлюднити зразок даних. За інформацією The Record, такі зразки згодом зʼявилися в Telegram-каналі угруповання. Водночас хакери заявили, що не зливатимуть базу повністю, а продадуть її.

Ні автентичність зразків, ні заявлений масштаб незалежно не підтверджено — на це звертають увагу і «Главком», і The Record. Деякі цифри викликають питання: за даними The Record, у мережі працює понад 60 тис. людей, тоді як хакери заявляють про паспортні дані 127 тис. співробітників. Розбіжність може свідчити як про перебільшення, так і про те, що в базі є записи колишніх працівників.

Позиція АТБ

Прессекретар мережі Сергій Демченко в коментарі РБК-Україна підтвердив атаку, але заперечив загрозу для даних клієнтів:

Дійсно, відбувається хакерська атака на ресурси компанії. Жодних персональних даних не зачепили, тому що на ресурсах вони не зберігаються. Небезпеки немає

За його словами, сайт закрили, а фахівці зʼясовують, що саме сталося. На запит «Економічної правди» у пресслужбі сформулювали позицію обережніше: там «не кажуть про злам сайту», але підтверджують спробу хакерської атаки. Мережа також офіційно підтвердила атаку «Суспільному» й пообіцяла найближчим часом відновити роботу всіх серверів.

У дописі у Facebook компанія наголосила, що тимчасова заставка не вплинула на безпеку даних, сайт повністю контролюється АТБ, а інформація надійно захищена. Клієнтів закликали довіряти лише офіційним повідомленням мережі. Технічних деталей інциденту й термінів повного відновлення сервісів АТБ, як зазначає AIN.UA, не повідомила.

Хто такі DataSuckers

DataSuckers — кіберзлочинне угруповання, яке атакує компанії й вимагає викуп за викрадені дані. Свій Telegram-канал воно веде російською мовою; на момент атаки на АТБ у ньому було понад 3200 підписників. Telegram-акаунт для звʼязку показує геолокацію «Прага, Чехія», однак така мітка не є надійним свідченням реального місцезнаходження.

До АТБ угруповання атакувало переважно російські компанії. У середині вересня воно заявило про злам туроператора Tez Tour: за словами хакерів, вони близько двох тижнів перебували в його системах і підмінили сайт. Компанія підтвердила збій у роботі сайту, але не викрадення даних. Наприкінці вересня DataSuckers взяли відповідальність за атаку на мережу «Додо Піца» — вона, за даними The Record, визнала можливий доступ зловмисників до імен, адрес, телефонів, дат народження й історії замовлень клієнтів. Базу хакери тоді пропонували продати приблизно за 100 тис. доларів.

Угруповання позиціонує себе як фінансово, а не політично мотивоване. 1 жовтня воно заявило, що його нібито розшукують правоохоронці трьох країн, і пообіцяло «розширюватися на сусідні країни». ZN.UA описує типову схему його атак: доступ до серверів, викрадення баз даних, видалення резервних копій, підміна сайту й публічна вимога грошей. Проте підстав стверджувати, що АТБ атакували саме так, наразі немає. Публічних доказів того, що учасники групи є громадянами росії чи повʼязані з російськими спецслужбами, також немає.

Чому жодну з версій поки не можна вважати остаточною

Підміна головної сторінки — так званий дефейс — сумнівів не викликає: її бачили тисячі відвідувачів, а ЗМІ зафіксували скриншоти. Проте дефейс свідчить лише про те, що зловмисники змогли змінити вміст сайту. Сам по собі він не доводить викрадення баз даних.

Водночас перелік, який наводять хакери, виходить далеко за межі публічного сайту: Active Directory і GitLab — це внутрішня корпоративна інфраструктура. Заяви АТБ різняться за формулюваннями: в одних ідеться про те, що персональні дані не зберігалися на атакованих ресурсах, в інших — що «жодних даних АТБ не було викрадено». Окремого коментаря щодо тверджень про внутрішні системи компанія публічно не надавала.

Вимагачі нерідко перебільшують масштаби атаки, щоб посилити тиск на жертву й привернути увагу. Але й перші заяви компаній про відсутність витоку не завжди бувають остаточними — повну картину зазвичай дає лише розслідування. Поки його результатів немає, обидві версії залишаються заявами сторін. Те саме стосується й оприлюдненого «зразка»: невеликий фрагмент даних не доводить ані масштабу витоку, ані того, що дані взято саме із систем АТБ, а не зібрано з інших джерел.

Окремий вимір інциденту — інформаційний. Як помітив «Бабель», одразу після атаки низка анонімних телеграм-каналів поширила заяви хакерів без перевірки й подала непідтверджені цифри як факт.

Що робити клієнтам АТБ

Незалежно від того, чи підтвердиться витік, гучні новини про атаки на великі компанії стають приводом для шахрайських розсилок. Тож варто дотримуватися кількох правил:

1. Не переходити за посиланнями у повідомленнях про «компенсацію», «бонуси за незручності» чи «перевірку витоку» від імені АТБ. Інформацію про інцидент варто перевіряти лише на офіційному сайті й сторінках мережі.
2. Змінити пароль в інших сервісах, якщо той самий пароль використовувався для облікового запису АТБ. Хешування захищає пароль лише частково: прості й поширені комбінації можна підібрати. Надалі для кожного сервісу варто мати окремий пароль — найзручніше зберігати їх у менеджері паролів.
3. Увімкнути двоетапну перевірку для електронної пошти та месенджерів — саме ці облікові записи найчастіше намагаються захопити, маючи номер телефону й email жертви.

4. Скептично ставитися до дзвінків від «служби безпеки АТБ» чи «банку». Справжні представники не просять продиктувати код із SMS, дані картки чи пароль.
5. Не шукати й не завантажувати «злиті бази» у Telegram чи на форумах: під виглядом архівів із даними часто поширюють шкідливе ПЗ.

Співробітникам мережі, чиї паспортні дані згадують хакери, варто стежити за своєю кредитною історією, щоб вчасно помітити спроби оформити позику на їхнє імʼя. Постачальникам — уважно перевіряти листи про «зміну реквізитів»: дані про ІПН, ЄДРПОУ та контакти можуть стати основою для шахрайських рахунків. Будь-яку таку зміну варто підтверджувати телефонним дзвінком за відомим номером, а не за контактами з листа.

Ситуація розвивається. Матеріал оновлюватиметься в міру появи нових підтверджених даних.

Ця стаття Атака на сайт АТБ: що заявляють хакери DataSuckers, що відповідає компанія і що робити клієнтам раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Восьмисимвольний пароль, складений випадково з великих і малих літер, цифр і спецсимволів, у 2026 році витримує повний перебір приблизно 132 роки. Такий самий пароль лише з малих літер падає приблизно за два тижні, а передбачуваний — за лічені секунди.

Ці розрахунки наводить щорічна таблиця Hive Systems. Нижче — що означають такі цифри, чому довжина важить більше за спецсимволи і як безпечно перевірити власні паролі на надійність та витоки.

Скільки часу потрібно, щоб зламати пароль

Американська компанія з кібербезпеки Hive Systems із 2020 року щороку публікує таблицю, яка показує, скільки часу забере перебір пароля залежно від його довжини та набору символів. Версію 2026 року оприлюднили 14 липня. Розрахунок спирається на реальні заміри: дослідники орендували у хмарі дві машини з вісьмома відеокартами NVIDIA RTX 5090 кожна і перебирали паролі, захищені поширеним алгоритмом хешування bcrypt із коефіцієнтом складності 10. Така «ферма» обробляла близько 138,7 тис. хешів на секунду.

Джерело: Hive Systems, Password Table 2026. Дані 2024 року Hive Systems перерахувала за тими самими налаштуваннями bcrypt для коректного порівняння.

Тенденція очевидна: щороку час злому скорочується приблизно на 20–25%. Паролі від цього не слабшають — просто обладнання, яке можна орендувати для перебору, стає потужнішим і дешевшим. За підрахунками Hive Systems, повний перебір пароля з восьми випадкових малих літер на такій «фермі» обійдеться приблизно у 3400 доларів оренди відеокарт.

Чому блокування після кількох невдалих спроб не рятує

Поширене заперечення: сайти ж блокують вхід після кількох неправильних паролів. Hive Systems пояснює, що таблиця моделює інший сценарій. Зловмисник уже отримав базу даних із хешами паролів унаслідок витоку і перебирає варіанти на власному обладнанні, офлайн. Тут немає ні ліміту спроб, ні блокування, ні сповіщень про підозрілий вхід — лише час.

Дослідники також зазначають, що модель не враховує багатофакторну автентифікацію. Другий фактор не завадить дізнатися пароль із викраденого хешу, але суттєво ускладнить вхід в обліковий запис із цим паролем.

Чому ці цифри — найоптимістичніший сценарій

Таблиця показує максимальний час для паролів, згенерованих випадково. Самі автори дослідження наголошують: люди передбачувані, тож реальні паролі падають значно швидше. Зловмисники починають не з повного перебору, а зі словників, списків популярних паролів і баз попередніх витоків.

У 2026 році Hive Systems уперше заміряла цей сценарій на реальному обладнанні. Одна орендована відеокарта RTX 5090 підібрала пароль, схожий на приклад із таблиці (o#mA24ft), приблизно за три секунди — за умови, що першими перебиралися передбачувані варіанти. Приблизно стільки ж часу знадобилося на пароль «password» зі стандартним словником витоків і правилами модифікації.

Висновок дослідників: якщо пароль уже фігурував у витоку, містить словникові слова або використовується на кількох сайтах, оптимістичні цифри з таблиці до нього не застосовуються.

А штучний інтелект?

ШІ допомагає зловмисникам шукати вразливості та складати фішингові листи, але перебір bcrypt-хешів — це задача обчислювальної потужності, а не «мислення». За даними Hive Systems, ШІ не пришвидшує роботу окремої відеокарти, зате спрощує оренду та координацію кількох машин одночасно — саме тому цьогорічна «ферма» швидша за торішню. Спеціалізовані ШІ-прискорювачі для центрів обробки даних у тестах виявилися не кращими, а часто й повільнішими за ігрові відеокарти.

Що насправді робить пароль надійним

Головний чинник — довжина. Кожен додатковий символ множить кількість можливих комбінацій значно сильніше, ніж ще один тип символів, тому довга парольна фраза надійніша за короткий пароль, який лише виглядає складним. Друга умова — випадковість: фраза з цитати, пісні чи особистих даних не має переваг, які дає довжина.

Цю логіку закріплює і стандарт цифрової ідентифікації NIST SP 800-63B-4, фінальну редакцію якого Національний інститут стандартів і технологій США оприлюднив у серпні 2025 року. Документ адресований сервісам, які перевіряють паролі, і вимагає від них:

• щонайменше 15 символів для пароля, який є єдиним фактором входу, і щонайменше 8 — якщо пароль працює разом із другим фактором;
• підтримувати паролі завдовжки щонайменше 64 символи, пробіли та символи Unicode;
• не вимагати обовʼязкової суміші великих літер, цифр і спецсимволів;
• не змушувати користувачів періодично змінювати пароль — зміна обовʼязкова лише за ознак компрометації;
• перевіряти новий пароль за списком популярних, очевидних і злитих паролів;
• дозволяти менеджери паролів, автозаповнення та вставлення пароля з буфера обміну.

Для користувача з цього випливають три практичні правила: довжина від 15 символів, окремий пароль для кожного сервісу і відмова від «хитрих» замін літер цифрами чи символами в словникових словах — такі модифікації NIST називає тривіальними й передбачуваними.

Як перевірити надійність пароля без ризику

Онлайн-калькулятори на кшталт How Secure Is My Password? від Security.org оцінюють лише час повного перебору. Вони не знають, чи фігурує пароль у витоках, і не враховують словникові атаки. Вводити туди справжні паролі від облікових записів не варто: для експерименту достатньо пароля тієї самої довжини та структури.

Надійніший спосіб — вбудовані перевірки, які аналізують уже збережені паролі й шукають одразу три проблеми: слабкі, повторювані та скомпрометовані.

Перевірка паролів Google (Chrome і Android)

Інструмент доступний на сторінці passwords.google.com: потрібно обрати перехід до перевірки паролів і запустити перевірку. У Chrome на компʼютері він відкривається через меню «Паролі та автозаповнення» → «Менеджер паролів Google» → «Перевірка». За даними Google, результат ділиться на три категорії: скомпрометовані паролі, які опубліковано в мережі, паролі, використані для кількох облікових записів, і слабкі паролі. У налаштуваннях Менеджера паролів можна також увімкнути сповіщення на випадок, якщо Google знайде збережені паролі в мережі.

Застосунок «Паролі» на iPhone

У застосунку «Паролі» потрібно відкрити розділ «Безпека». Як пояснює Apple, iPhone автоматично позначає паролі, які легко вгадати або які використовуються кілька разів, а також може відстежувати їх появу у відомих витоках. Моніторинг витоків вмикається в «Параметрах» → «Програми» → «Паролі» перемикачем «Виявляти скомпрометовані паролі». Покрокова інструкція — у матеріалі про вразливі паролі на iPhone.

Менеджери паролів

Подібні звіти про слабкі, повторювані й злиті паролі пропонують і окремі менеджери паролів. Порівняння перевірених варіантів — в огляді менеджерів паролів.

Як дізнатися, чи пароль потрапив у витік

Найвідоміший безкоштовний інструмент — сервіс Pwned Passwords від Have I Been Pwned, який обробляє понад 18 млрд запитів на місяць. Він дає змогу перевірити пароль, не передаючи його: пароль хешується алгоритмом SHA-1 локально, на сервер надходять лише перші пʼять символів хешу, а остаточне порівняння відбувається на пристрої користувача. Цей механізм називається k-анонімністю. Перевіряти паролі за базами витоків рекомендує і NIST, тому сервіс широко вбудовують у власні системи розробники.

На головній сторінці Have I Been Pwned можна також дізнатися, у яких відомих витоках фігурувала електронна адреса.

Якщо пароль знайдено, його більше не можна використовувати — і змінити потрібно всюди, де він стояв. Головна загроза тут — атаки з підстановкою облікових даних (credential stuffing): зловмисники автоматично пробують злиті пари «логін — пароль» на інших сайтах, розраховуючи на повторне використання паролів.

Надійний пароль — не остання лінія захисту

Навіть ідеальний пароль можна виманити на фішинговому сайті: стандарт NIST прямо зазначає, що паролі не захищені від фішингу. Стійкими до нього вважаються лише криптографічні методи автентифікації, зокрема ключі доступу (passkeys) на основі WebAuthn і FIDO2, які привʼязуються до домену справжнього сайту. Одноразові коди з SMS NIST відносить до «обмежених» методів через ризики, повʼязані з телефонною мережею.

Тож там, де сервіс підтримує ключі доступу, варто переходити на них, а для решти облікових записів — поєднувати довгий унікальний пароль із двофакторною автентифікацією через застосунок-автентифікатор.

Ця стаття Як перевірити надійність пароля: скільки часу хакерам потрібно на злам у 2026 році раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Іспанське агентство із захисту даних (AEPD) вперше отримало повідомлення про порушення захисту персональних даних, яке, за версією постраждалої організації, виконав ШІ-агент на базі відомої великої мовної моделі.

Згідно з описом інциденту, агент почав із пошуку вразливостей у типових файлах і успішно пройшов авторизацію. Опинившись усередині системи, він самостійно продовжив шукати вразливості вже в самому застосунку — і, знайшовши їх, зміг змінити персональні дані та отримати доступ до рахунків-фактур.

Що саме змінилося

Використання ШІ у зловмисних кампаніях не є новиною: генеративні моделі давно застосовують для написання фішингових листів, перекладу шахрайських кампаній, підміни особи та аналізу коду. Поява агентів, наголошує AEPD, дає якісно інший результат — агент отримує мету, планує проміжні завдання, використовує інструменти, виконує код, звіряється з джерелами та самостійно змінює поведінку залежно від того, що знаходить.

Сам ШІ при цьому не створює нових загроз. Він збільшує швидкість, масштаб і здатність до адаптації вже відомих технік, скорочуючи час, який захисники мають на виявлення та стримування атаки. Того ж висновку дійшов Національний криптологічний центр Іспанії в настанові CCN-CERT BP/36 про наступальний ШІ, де офензивний ШІ описано як операційну спроможність, уже інтегровану в реальні кампанії.

Поява ШІ-агентів у наступальній сфері має спонукати до негайного перегляду моделей безпеки та захисту даних

Чотири висновки для тих, хто обробляє дані

Аналіз ризиків. Загальної згадки про шкідливе ПЗ, фішинг і несанкціонований доступ уже недостатньо — атаки, виконані або підсилені ШІ, треба вносити в оцінку ризиків окремо, бо автоматизація суттєво змінює ймовірність, швидкість і охоплення інциденту.

Час реагування. Процедури, розраховані на атаки з ручним керуванням, можуть не спрацювати проти агента, який одночасно аналізує кілька активів, перебирає способи доступу та швидко змінює тактику.

Цифрові ідентичності та облікові дані. Агент, який заволодів обліковим записом, ключем API чи токеном із надмірними правами, здатен працювати на машинній швидкості й дістатися до кількох сервісів раніше, ніж організація помітить аномальну поведінку.

Автоматизація захисту. Людський нагляд лишається обовʼязковим, але має спиратися на механізми виявлення, стримування й реагування, які працюють достатньо швидко. Покладатися лише на ручне втручання більше не можна.

Чого це повідомлення ще не доводить

AEPD окремо наголошує: дані походять із повідомлення самої постраждалої організації й ще підлягають перевірці. Використання конкретної моделі не означає, що її саму чи інфраструктуру постачальника було скомпрометовано, або що інструмент створювали для зловмисної діяльності. Одне повідомлення також не дає підстав говорити про статистичну тенденцію — це радше сигнал, що атаки з опорою на ШІ перестали бути теоретичним ризиком.

Ширший контекст

Випадки з агентною активністю останнім часом фіксують і в масштабніших операціях. У липні ШІ-агенти OpenAI вийшли за межі тестового середовища під час внутрішнього оцінювання й скоординовано проникли у виробничу інфраструктуру Hugging Face — без участі зовнішніх зловмисників.

Google Threat Intelligence Group описала інцидент, у якому фінансово вмотивований зловмисник розгорнув автономний мультиагентний фреймворк і менш ніж за шість годин спланував і запустив масову кампанію зі збору облікових даних. А Anthropic повідомила про учасника угруповання ShinyHunters, який використовував Claude у конвеєрі, що завантажив і декомпілював 1,8 млн Android-застосунків у пошуках секретів, залишених у коді.

Ця стаття Іспанія отримала перше повідомлення про витік даних, спричинений атакою ШІ-агента раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

VPN захищає приватність лише доти, доки працює. Якщо зʼєднання непомітно обривається, трафік повертається на звичайний канал, і справжню IP-адресу знову бачать сайти та провайдер. Функція Kill Switch закриває цю прогалину.

Що таке Kill Switch

Kill Switch («аварійний вимикач») — функція VPN-застосунку, яка блокує доступ пристрою до інтернету, щойно зʼєднання з VPN-сервером переривається. Попри грізну назву, до шпигунських фільмів вона не має стосунку: це запобіжник, що не дає розкрити IP-адресу та DNS-запити в момент збою.

VPN не є універсальним засобом безпеки, проте добре захищає приватність: приховує IP-адресу та інші дані, за якими можна ідентифікувати користувача, за зашифрованим зʼєднанням. Утім, захист діє лише доти, доки тунель активний. Мобільний інтернет, що зникає в метро, перевантажена публічна Wi-Fi-мережа, автоматичне перемикання з домашнього роутера на мобільні дані під час відключення електроенергії — усе це типові причини коротких обривів, яких користувач може навіть не помітити.

Стежити за стабільністю зʼєднання вручну непрактично. Kill Switch перетворює VPN на сервіс, який достатньо налаштувати один раз.

Як працює Kill Switch

VPN створює зашифрований тунель між пристроєм і VPN-сервером ще до того, як браузер звертається до сайту. Сайт бачить IP-адресу сервера, а не користувача, а провайдер і власник публічної Wi-Fi-мережі — лише зашифрований потік даних до VPN-сервера. Це ускладнює стеження за трафіком та атаки «людина посередині» (man-in-the-middle) у локальній мережі, а також приховує активність користувача від рекламодавців, сайтів та інтернет-провайдера.

Kill Switch постійно відстежує стан цього тунелю. Щойно фіксується збій, функція блокує інтернет-зʼєднання пристрою. Без неї операційна система просто відправила б трафік звичайним маршрутом, і справжня IP-адреса та DNS-запити потрапили б назовні. Навіть короткочасного витоку може вистачити, щоб скомпрометувати користувача.

Багато реалізацій Kill Switch спрацьовують також під час перемикання між серверами. Це знижує ризик витоку DNS-запитів у момент автоматичного перепідключення. Щойно тунель відновлюється, VPN повертає доступ до мережі.

Два типи: на рівні застосунків і системний

Kill Switch на рівні застосунків блокує мережевий доступ лише для вибраних програм, які можуть передати чутливі дані стороннім спостерігачам. Решта застосунків у разі обриву продовжує працювати через звичайне зʼєднання. Такий підхід гнучкіший: браузер і месенджер захищені, а оновлення системи чи відеодзвінок не перериваються.

Системний (мережевий) Kill Switch повністю перекриває весь інтернет-трафік пристрою. Він надійніший, але за нестабільного підключення може часто повністю відрізати пристрій від мережі.

Вбудований Kill Switch в Android

Android має власний системний механізм, який працює з більшістю VPN-застосунків. За даними довідки Google для Android Enterprise, функція постійно ввімкненої VPN (Always-on VPN) доступна з Android 7.0: система запускає VPN під час увімкнення пристрою і підтримує зʼєднання, доки пристрій працює. Поруч розташований перемикач блокування зʼєднань без VPN, який змушує весь мережевий трафік проходити лише через тунель.

Увімкнути обидві опції можна в системних налаштуваннях: розділ мережі та інтернету, далі пункт VPN і значок налаштувань поруч із потрібним сервісом. Назви пунктів і шлях до них відрізняються залежно від виробника смартфона.

Системне блокування має свої особливості. Як зазначено в документації ExpressVPN, воно доступне з Android 8.0 і блокує трафік навіть тоді, коли користувач сам вимкнув VPN. Водночас ця опція вимикає роздільне тунелювання (split tunneling) і доступ до пристроїв у локальній мережі, як-от принтерів чи смарт-телевізорів, а на прошивках деяких виробників її може не бути взагалі.

Як налаштувати Kill Switch у VPN-застосунку

Більшість провідних VPN-сервісів мають Kill Switch, однак у безплатних і бюджетних рішеннях його може не бути. Функцію слід шукати в налаштуваннях VPN-застосунку. Вона може називатися Kill Switch, Internet Kill Switch, Network Lock, «захист мережі», «захист від витоків» або «блокувати зʼєднання в разі відключення». Якщо в головному меню її немає, варто перевірити розділи «Безпека», «Приватність», «Захист мережі» чи «Додатково».

Якщо Kill Switch працює на рівні застосунків, його доцільно активувати для пошти, браузера, месенджерів та інших інструментів, що працюють із чутливими даними. Для програм, яким обрив зʼєднання може зашкодити, як-от відеоконференцій чи онлайн-ігор, розумно зробити винятки.

Разом із Kill Switch варто налаштувати автоматичне підключення. Більшість VPN-застосунків уміють вмикати захист під час підключення до публічної мережі або одразу після запуску пристрою, тож памʼятати про це вручну не доведеться.

Як перевірити, що Kill Switch працює

Найпростіший тест — вручну вимкнути VPN і спробувати відкрити будь-який сайт. Проте його результат слід тлумачити обережно: у багатьох сервісах застосунковий Kill Switch спрацьовує лише в разі непередбаченого обриву. Наприклад, ExpressVPN прямо зазначає, що його Internet Kill Switch для Android не блокує інтернет, якщо VPN відключено вручну. Тому надійніше імітувати реальний збій: перемкнутися з Wi-Fi на мобільний інтернет або ненадовго вимкнути роутер, не закриваючи VPN-застосунок.

Другий тест — перевірка на витік IP-адреси. Для цього підходять сервіси ipleak.net або whatismyipaddress.com, а для DNS-запитів — dnsleaktest.com. Відкривши сторінку з увімкненим VPN, слід зафіксувати показану адресу, а потім імітувати обрив зʼєднання й оновити сторінку. Справний Kill Switch не дозволить сайту завантажитися зі справжньою IP-адресою.

Від чого Kill Switch не захищає

Kill Switch реагує лише на падіння тунелю. Витоки, що відбуваються при активному VPN, він не блокує. Типовий приклад — WebRTC: браузерна технологія для відеодзвінків і передачі файлів, яка за певних налаштувань може розкрити справжню IP-адресу в обхід VPN. Схожий ризик виникає, якщо VPN-сервіс не підтримує IPv6 і такий трафік іде звичайним каналом. Захист від цих витоків налаштовують окремо: у VPN-застосунку та в браузері.

Інший приклад — техніка TunnelVision (CVE-2024-3661), описана дослідниками Leviathan Security Group. Зловмисник, який перебуває в тій самій локальній мережі, через підконтрольний DHCP-сервер і опцію 121 перенаправляє трафік повз тунель. VPN-зʼєднання при цьому формально залишається активним, тож, як зазначають автори дослідження, Kill Switch не спрацьовує. Техніка працює у Windows, Linux, macOS та iOS. Android не вразливий, оскільки не підтримує DHCP-опцію 121.

Для користувачів це означає просте правило: навіть з VPN та увімкненим Kill Switch у публічних мережах варто обмежувати роботу з чутливими даними. Шифрування HTTPS на самих сайтах залишається додатковим рівнем захисту, який приховує вміст трафіку навіть у разі витоку.

Ця стаття Kill Switch у VPN: що це таке, як працює і як перевірити раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Британська фінтех-компанія Revolut підтвердила, що передала конфіденційні дані клієнтів шахраям. Зловмисники надіслали запити з легітимної поштової скриньки на домені державної установи, і компанія сприйняла їх як справжні. Серед постраждалих, імовірно, переважно заможні користувачі, чимало з яких повʼязані з криптовалютним бізнесом.

Що сталося

Revolut працює у понад 160 країнах і регіонах та, за даними BleepingComputer, обслуговує понад 80 млн клієнтів, з них 800 тис. — бізнес-клієнти. Компанія пропонує банківські та інвестиційні послуги, а також інструменти для керування фінансами.

У заяві, оприлюдненій 12–13 вересня, Revolut назвала інцидент складною схемою шахрайства із видаванням себе за державний орган: неавторизована третя сторона скористалася поштовою скринькою на легітимному домені державної установи, щоб надіслати фальшиві запити на інформацію.

У листах постраждалим клієнтам компанія пояснила, чому виконала запит:

Revolut отримав запит на інформацію про клієнтів, який виглядав як запит від легітимної державної установи. Його надіслали з неавторизованої поштової скриньки безпосередньо з офіційного поштового домену цієї установи. Оскільки повідомлення мало дійсні облікові дані автентифікації домену, запит виконали з обґрунтованою впевненістю, що він справжній

Про інцидент стало відомо 12 вересня, коли дослідник криптошахрайств ZachXBT оприлюднив у Telegram сповіщення, яке Revolut надіслав одному з клієнтів.

Чий домен використали зловмисники

Revolut не назвала ні державну установу, ні її домен. Утім, за даними The Record, зображення, які поширював у Telegram обліковий запис, що приписував собі атаку, вказують на італійський домен. Італійські органи влади на запити видання не відповіли. Згодом Telegram-акаунт заблокували, тож перевірити всі його твердження не вдалося.

Також невідомо, чи використовували той самий скомпрометований домен для атак на інші фінансові організації.

Які дані отримали шахраї

Згідно зі сповіщеннями Revolut, до зловмисників потрапили:

• ідентифікаційні дані — повне імʼя, дата народження, рід занять;
• контакти — поштова адреса, email, номер телефону;
• документи та дані верифікації — копії паспорта та/або водійського посвідчення, а також селфі, які клієнти надсилали під час відкриття рахунку для перевірки KYC (Know Your Customer);
• фінансова інформація — виписки з рахунків із номерами IBAN, записи про зняття коштів і повна історія транзакцій, зокрема операцій з біткоїном.

За даними CyberInsider, у переліку також фігурують статус рахунку, дата його відкриття та ідентифікатори гаманців. Водночас Revolut запевнила клієнтів, що біометричну телеметрію обличчя не передавали.

Компанія наголошує, що її системи та кошти клієнтів не постраждали. Як зазначає Malwarebytes, ідеться не про злам інфраструктури Revolut, а про соціальну інженерію: шахраї просто попросили дані — і отримали їх.

Кого атакували

ZachXBT припустив, що витік стосується невеликої кількості клієнтів, але атака, схоже, була спрямована на заможних користувачів. The Record уточнює, що багато з них працюють у криптобізнесі. Про те, що їхні дані опинилися у зловмисників, заявили, зокрема, колишній CEO біткоїн-біржі Mt. Gox Марк Карпелес і криптопідприємець Марк Зеллер.

Зеллер написав в X, що в суботу прокинувся й дізнався, що Revolut «злив усі мої дані»:

Найбільше обурює те, що це сталося одразу після того, як Revolut надіслав мені сповіщення з вимогою надати ДУЖЕ багато даних, інакше „ми закриємо ваш рахунок за 20 днів“. Тепер ми знаємо, що хакери їх обдурили, а вони виконали за хакерів усю роботу, як слухняні песики

Ще один клієнт, чиї дані шахраї виклали в Telegram як доказ атаки, не заперечив їхньої справжності.

Вимагання і реакція Revolut

Зловмисники вимагають від Revolut викуп в обмін на нерозголошення даних клієнтів. Коментувати спробу вимагання компанія відмовилася. Як повідомляє The Crypto Times, 13 вересня в X і Telegram почали зʼявлятися копії паспортів і селфі клієнтів, а автори публікацій погрожують щоденними «зливами».

У коментарі Reuters компанія заявила, що інцидент зачепив «дуже обмежену» кількість клієнтів, але точної цифри не назвала. Постраждалих Revolut повідомила особисто.

Системи Revolut і кошти клієнтів не постраждали. Щойно ми виявили інцидент, одразу заблокували адресу та повідомили відповідну державну установу, а також правоохоронні органи, регуляторів у сфері захисту даних і фінансових регуляторів

Фальшиві «екстрені запити» — відома схема

Екстрений запит на дані (emergency data request) дозволяє правоохоронцям в невідкладних ситуаціях отримати інформацію від компанії негайно, без додаткових перевірок. Саме цим користуються злочинці.

У 2021–2022 роках хакери, повʼязані з угрупованням Lapsus$, отримали дані користувачів Apple, Meta і Discord, надсилаючи підроблені екстрені запити зі скомпрометованих акаунтів правоохоронних органів.

У листопаді 2024 року ФБР попередило про зростання кількості оголошень на кримінальних форумах, де продають доступ до скомпрометованих урядових поштових скриньок для таких запитів. Один зі злочинців, за даними бюро, стверджував, що контролює урядові адреси з понад 25 країн.

Для самої Revolut це не перший серйозний інцидент: у вересні 2022 року зловмисники викрали персональні, контактні та фінансові дані 50 150 клієнтів. Нинішній витік стався в момент, коли компанія розглядає вихід на біржу з оцінкою до 200 млрд доларів.

Як захиститися клієнтам Revolut

Витік не дає шахраям доступу до рахунків, проте поєднання паспорта, селфі, адреси та історії транзакцій — готовий набір для переконливих атак і крадіжки особистості. Паспорт можна замінити, а обличчя — ні. Тому клієнтам Revolut, особливо тим, хто отримав сповіщення про витік, варто дотримуватися кількох правил:

• Очікувати на цільовий фішинг. Шахраї можуть посилатися на реальні суми, дати операцій та адресу, щоб видати себе за підтримку Revolut, поліцію чи податкову. Знання таких деталей не підтверджує, що співрозмовник справжній.
• Звертатися до Revolut лише через офіційний застосунок. Не варто телефонувати за номерами з листів чи месенджерів і переходити за посиланнями з них.
• Не переказувати кошти на «безпечний рахунок». Також не варто повідомляти будь-кому коди підтвердження та паролі — банк про них не просить.
• Посилити захист пошти та інших фінансових сервісів. Email і номер телефону тепер відомі зловмисникам, тож варто увімкнути двофакторну автентифікацію або ключі доступу (passkeys) та змінити контрольні питання, повʼязані з датою народження чи адресою.
• Стежити за кредитною історією. Копії документів і селфі можуть використати для оформлення кредитів або відкриття рахунків в інших фінустановах на чуже імʼя.
• Не розголошувати відомості про статки й криптоактиви. Атака була спрямована на заможних клієнтів, тож варто обмежити публічну інформацію про себе в соцмережах.
• Реагувати на ознаки використання документів. Якщо зʼявилися підозри, що паспорт використовують шахраї, слід звернутися до поліції та органу, який його видав.

Ця стаття Revolut передав шахраям паспорти й фінансові дані клієнтів: фальшиві запити надійшли зі справжньої урядової пошти раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Компанія Brave Software запустила Email Aliases — вбудований у браузер генератор поштових адрес-замінників. Сайт, на якому користувач реєструється, бачить лише згенерований аліас, а листи автоматично надходять на основну скриньку.

Про запуск розробники повідомили 27 серпня 2026 року; функція доступна починаючи з десктопної версії браузера 1.94.

Аліаси не містять персональних даних і не повʼязані з іменем чи основною адресою власника. Кожен із них можна будь-коли вимкнути — після цього листи на нього перестають надходити.

Чому адреса пошти стала інструментом стеження

У Brave описують електронну адресу як сталий і універсальний ідентифікатор: вона майже не змінюється роками й лишається однаковою на всіх ресурсах, де людина реєструвалася. Це робить її зручним ключем для зіставлення даних між різними компаніями.

Рекламні платформи не приховують цього механізму. Публічну документацію щодо завантаження клієнтських адрес для зіставлення з профілями користувачів мають Google, Meta і LinkedIn.

Розробники наводять типовий сценарій. Користувач купує кросівки в інтернет-магазині й залишає адресу пошти — сама собою вимога не викликає підозр, адже магазину потрібно надіслати чек. Але магазин водночас використовує рекламні інструменти Meta й передає цю адресу до системи зіставлення аудиторій. У Meta така сама адреса вже є — від акаунта у Facebook, створеного багато років тому. Записи збігаються, і рекламна платформа дізнається, що конкретна людина придбала конкретний товар.

Ключова деталь у тому, що обмін відбувається між серверами. Трафік не проходить через браузер, тому блокувальники трекерів і розширення для приватності на такий сценарій не впливають.

Друга проблема — витоки. Сайти захищають зібрані дані дуже по-різному, і після зламу адреса потрапляє до брокерів даних, а згодом роками фігурує у фішингових розсилках. Ізолювати наслідки допомагає саме поділ адрес: скомпрометованим виявляється лише той аліас, який використовувався на зламаному ресурсі.

У Brave наголошують, що браузер уже розділяє те, що сайти зберігають локально: файли cookie, кеш і мережевий стан ізольовані для кожного сайту, тому трекер не може впізнати відвідувача за даними, збереженими на іншому ресурсі. Проте цей поділ закінчується на межі браузера й не заважає двом компаніям звірити свої бази на власних серверах. Email Aliases, за задумом розробників, продовжує ту саму логіку ізоляції за межі програми.

Як створити аліас

Функція не вмикається автоматично навіть у тих, хто вже користується Brave. Порядок дій такий:

1. У десктопній версії Brave відкрити сторінку brave://settings/email-aliases і натиснути «Log in or create a Brave account».
2. Вказати основну адресу електронної пошти та надійний пароль.
3. Підтвердити адресу за інструкцією з листа.
4. Після входу — клацнути на полі для пошти на будь-якому сайті: браузер сам запропонує створити аліас. Якщо підказка «New Email Alias» не зʼявилася, той самий пункт доступний через контекстне меню правої кнопки миші.
5. Керувати створеними адресами — у розділі Settings → Autofill & Passwords → Email Aliases.

До кожного аліаса можна додати нотатку — наприклад, назву сервісу, для якого його створено.

Навіщо потрібен окремий обліковий запис Brave

Аліаси працюють поверх нового механізму Brave Accounts — входу за адресою пошти та паролем. Цей обліковий запис не повʼязаний із Brave Premium, який використовується для керування підписками на платні сервіси компанії. Саме адреса, вказана під час реєстрації, стає основною скринькою, куди пересилаються всі листи з аліасів.

Brave Accounts побудовано на протоколі OPAQUE, який Дослідницька група криптографічного форуму (CFRG) при IRTF опублікувала у липні 2025 року як RFC 9807. Це асиметричний протокол автентифікації за паролем із узгодженням ключів: він дає змогу перевірити знання пароля без передавання самого пароля на сервер — навіть на етапі реєстрації. Технічні деталі реалізації компанія описала в окремій публікації про Brave Accounts.

Які дані отримує компанія

Brave зберігає адресу, привʼязану до облікового запису, і перелік створених аліасів. Ці дані зашифровані у стані спокою.

Вміст листів компанія не читає: обробка обмежується стандартною фільтрацією спаму та шкідливих вкладень, без якої сервіс не міг би підтримувати репутацію поштового провайдера. Після доставки лист видаляється із серверів протягом кількох секунд.

Нотатки до аліасів зберігаються локально на пристрої. Якщо увімкнено синхронізацію Brave Sync, вони передаються між пристроями одного ланцюжка з наскрізним шифруванням — тобто недоступні й самій компанії. Умови обробки цих даних винесено в окремий розділ політики приватності.

Обмеження першої версії

Безкоштовно доступні пʼять аліасів. У Brave пояснюють таке обмеження витратами на утримання сервісу пересилання й планують розширити функціональність у межах платної підписки. Наразі аліаси працюють лише в десктопній версії — мобільну компанія називає пріоритетом найближчих оновлень.

Ще одне попередження стосується доставки: доки сервіс напрацьовує репутацію відправника, частина пересланих листів може потрапляти до теки спаму. Такі повідомлення розробники радять позначати як «не спам» — це впливає на подальшу маршрутизацію.

Окремо варто врахувати, що вся схема тримається на одній основній адресі. Її компрометація відкриває доступ до листування з усіх аліасів одночасно, тому базові заходи захисту — надійний пароль, двоетапна перевірка та резервна адреса для відновлення — лишаються обовʼязковими.

Ширший контекст

Механізм поштових аліасів не є винаходом Brave: подібні сервіси вже кілька років пропонують Apple, Mozilla, DuckDuckGo та Proton, а окремі менеджери паролів уміють генерувати такі адреси через інтеграції зі сторонніми провайдерами. Відмінність рішення Brave — у вбудованості: аліас створюється безпосередньо у формі реєстрації, без розширень, окремих застосунків і ручного копіювання адрес.

Для тих, хто обирає браузер за критеріями приватності, це ще один аргумент у переліку альтернатив Chrome — щоправда, поки що лише на компʼютері.

Ця стаття Brave приховує справжню адресу пошти під час реєстрації на сайтах раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

DuckDuckGo оприлюднила результати опитування 1944 дорослих американців про приватність у розмовах зі штучним інтелектом. 32% користувачів ШІ-чат-ботів повідомляли машині те, що приховували від близьких друзів, батьків або лікарів; серед тих, хто називає себе ентузіастом технології, показник сягає 56%. Водночас 53% опитаних не знали або сумнівалися, що більшість чат-ботів за замовчуванням навчаються на розмовах користувачів.

Чат-бот перетворився на простір без осуду

Дослідження опубліковано 25 серпня 2026 року у блозі Spread Privacy, який веде компанія DuckDuckGo. Його автори виходять з тези, що розмова з чат-ботом принципово відрізняється від пошукового запиту за обсягом розкритої інформації. Типовий запит у пошуковику — кілька слів. Діалог зі штучним інтелектом заохочує розлогі, персональні формулювання. Якщо пошук показує інтереси людини, то переписка з ШІ здатна оголити хід думок, манеру спілкування та обставини приватного життя.

Для багатьох людей чат-бот став простором без осуду, де можна озвучити те, що не наважуються сказати оточенню. Опитування це підтверджує: 32% користувачів ШІ повідомили, що ділилися з чат-ботом інформацією, яку приховували від близького друга, батька чи матері, колеги, лікаря або психотерапевта. Серед респондентів, які вважають себе ентузіастами ШІ, таких 56%.

Батьки відвертіші з машиною майже вдвічі

Найпомітніший розрив дослідники зафіксували між батьками та бездітними користувачами. Серед батьків і опікунів, які мають дітей удома та користуються ШІ, 43% розповідали чат-боту те, чого не казали жодній людині — ані лікареві, ані психотерапевту, ані другові, ані власним батькам чи дітям. Серед користувачів без дітей удома цей показник становить 25%.

Компанії, що розробляють чат-боти, самі підживлюють таку модель поведінки: у рекламних кампаніях і публічних виступах ШІ подають як довіреного співрозмовника. Проте вся ця комунікація спирається на припущення, що розмова залишиться приватною. Здебільшого це не так.

Шість базових фактів, про які не знає майже половина опитаних

Респондентам запропонували оцінити власну обізнаність щодо шести тверджень про те, як зберігають, переглядають і розкривають розмови зі звичайними ШІ-сервісами:

• чати з ШІ можуть бути витребувані судом або правоохоронними органами;
• чати з ШІ можуть стати публічними в межах судового процесу;
• роботодавець має доступ до робочих і корпоративних ШІ-акаунтів;
• налаштування видалення та припинення зберігання відрізняються залежно від постачальника;
• безкоштовні акаунти часто мають слабший захист приватності, ніж платні;
• розмови можуть переглядати люди — штатні працівники та підрядники.

Результат виявився показовим. 43% респондентів — з-поміж користувачів і не-користувачів ШІ разом — не знали про жоден із цих шести пунктів. Серед тих, хто описав себе як активного користувача ШІ, таких виявилася третина. Лише 25% опитаних знали, що чати можуть бути витребувані державою через судову процедуру.

Автори дослідження наголошують, що це не питання особистої недбалості: приблизно так само пересічний користувач не володіє деталями рекламного стеження в браузері. Ідеться про галузеву проблему, а не про провину окремої людини.

Чим більше люди знають, тим менше їм це подобається

Після того, як респондентам пояснили фактичний стан справ, 58% заявили, що їм некомфортно від використання їхніх розмов для навчання моделей. 30% обрали найсильніше формулювання — «дуже некомфортно».

Рівень довіри виявився низьким незалежно від обізнаності. Лише 14% респондентів «переважно» або «повністю» довіряють великим ШІ-компаніям захист своїх даних, тоді як 39% не довіряють їм зовсім. Уряд США отримав ще гіршу оцінку: 48% опитаних не довіряють йому взагалі.

Приватність за замовчуванням вимкнена

Більшість сервісів ШІ-чату використовує розмови для навчання моделей, якщо користувач самостійно не відмовиться від цього в налаштуваннях. Діалоги автоматично привʼязуються до профілю, зберігаються на боці компанії й можуть застосовуватися для поведінкової реклами.

Це вже не гіпотеза. OpenAI офіційно підтвердила, що під час тестування реклами в ChatGPT добір оголошень відбувається за темою поточної розмови, історією попередніх чатів і попередніми взаємодіями з рекламою. Компанія запевняє, що рекламодавці не мають доступу до самих чатів, а оголошення не впливають на відповіді моделі.

Окрему категорію ризиків становлять витоки. У серпні 2025 року тисячі розмов у ChatGPT потрапили до індексу пошукових систем через механізм публічних посилань. Дослідники SafetyDetectives проаналізували 1000 таких діалогів обсягом понад 43 мільйони слів і виявили серед них персональні дані: повні імена, адреси та номери документів. Пізніше в індекс Google потрапило понад 370 тисяч розмов користувачів Grok — разом із іменами, щонайменше одним паролем, зображеннями та документами.

Тема давно вийшла за межі окремих інцидентів. Реакцією на неї стала поява сервісів, які намагаються зробити зберігання розмов технічно неможливим, — наприклад, ШІ-чатботи з апаратним шифруванням.

Як налаштування приватності влаштовані у чотирьох найбільших чат-ботах

Опитування DuckDuckGo фіксує, що правила відрізняються залежно від постачальника, але не показує, як саме. Нижче — стан на кінець серпня 2026 року за офіційною документацією самих компаній. Ідеться виключно про безкоштовні та персональні платні акаунти: у корпоративних тарифах і через API правила інші, там навчання на даних клієнтів за замовчуванням не відбувається.

З таблиці випливає кілька практичних висновків. По-перше, вимкнення навчання і видалення історії — це різні дії: в OpenAI перемикач «Improve the model for everyone» зупиняє навчання, але чати залишаються в історії, доки їх не видалити вручну; тимчасовий чат натомість не потрапляє ні в історію, ні в памʼять, ні в навчання, проте копія зберігається до 30 днів із міркувань безпеки.

По-друге, у Google є суттєвий виняток, про який легко не знати: розмови, які вже переглянули люди-рецензенти, не видаляються разом з активністю користувача. Вони відʼєднані від акаунта і зберігаються до трьох років. Те саме стосується надісланого відгуку разом із контекстом останньої доби переписки.

По-третє, різниця у строках зберігання між сервісами відрізняється в рази. Anthropic у серпні 2025 року запропонувала користувачам обрати, чи дозволяти навчання на своїх розмовах, і одночасно подовжила зберігання даних до пʼяти років для тих, хто погодився. Для тих, хто відмовився, строк залишився 30-денним. Тобто одне рішення в налаштуваннях змінює строк зберігання у шістдесят разів.

Окремо варто зауважити ситуацію з Microsoft. Документація для попередньої версії застосунку Copilot описує окремі перемикачі для навчання на текстових і голосових розмовах, а також зберігання історії протягом 18 місяців. Для нової версії, доступної з 18 серпня 2026 року, компанія створила окрему сторінку налаштувань приватності, де перелічено лише персоналізацію та памʼять, історію чатів і вебпошук — перемикача навчання серед описаних елементів керування немає. Відсутність у документації не означає, що налаштування зникло з інтерфейсу, але користувачам оновленої версії варто перевірити розділ Privacy у профілі самостійно.

Ще одна відмінність стосується реклами. Google у довідці Gemini прямо стверджує, що розмови користувачів не використовуються для показу оголошень, і обіцяє повідомити, якщо це зміниться. OpenAI, навпаки, вже добирає рекламу за темою поточної розмови та історією попередніх чатів. Практичні кроки з налаштування конфіденційності в ChatGPT CyberCalm розбирав в окремому матеріалі.

Що з цим робити, поки немає регулювання

DuckDuckGo пропонує розглядати ситуацію оптимістичніше, ніж це заведено в дискусіях про цифрову приватність. Аргумент компанії такий: найцінніша для великих технологічних гравців інформація — це наступне питання людини, а не ті запити, які вона робила місяці чи роки тому. ШІ-чат перебуває на ранній стадії, стійкі звички у більшості користувачів ще не сформувалися, тому змінити модель поведінки простіше, ніж у випадку з пошуком чи соцмережами.

Практичні кроки, які випливають із результатів дослідження:

• перевірити в налаштуваннях чат-бота, чи вимкнено використання розмов для навчання моделі — за замовчуванням цей перемикач зазвичай увімкнено;
• користуватися режимом тимчасового чату для разових запитів, які не потрібно зберігати в історії;
• не вводити в чат персональні дані — повні імена, адреси, номери документів, медичні висновки, реквізити;
• враховувати, що корпоративний акаунт не є приватним: адміністратор організації має до нього доступ;
• обережно поводитися з функцією «поділитися розмовою» — саме вона стала причиною публічних витоків у ChatGPT і Grok;
• обирати сервіси з прозорою політикою обробки даних і перевіряти, чи описано в ній терміни зберігання.

Тут варто зробити застереження. Дослідження замовила й провела сама DuckDuckGo, яка розвиває власний сервіс Duck.ai — безкоштовний анонімний доступ до моделей OpenAI, Anthropic та інших постачальників — і пошукову систему, побудовану навколо теми приватності. Компанія стверджує, що не стежить за чатами і не зберігає їх у профілі; відповідні зобовʼязання прописані в політиці приватності Duck.ai. Дані опитування від цього не втрачають цінності, але їх варто читати з розумінням комерційного інтересу замовника.

Методологія

Опитування замовила й провела DuckDuckGo. Відповіді зібрано від 1944 дорослих мешканців США віком від 18 років у період з 17 до 27 червня 2026 року, онлайн-вибірка сформована через панель PureSpectrum. Застосовано квоти для балансування вибірки за віком, статтю та регіоном відповідно до демографії перепису США; результати наведено без зважування. Похибка вибірки для повного масиву — приблизно ±2,2 відсоткового пункту за 95-відсоткового рівня довіри, для підгруп вона більша (наприклад, близько ±6 пунктів для вікової групи 18–24 роки). Показники за відкритими питаннями розраховано лише серед тих, хто дав відповідь. Сума відсотків може не дорівнювати 100% через округлення та питання з кількома варіантами відповіді.

Ця стаття Третина користувачів ШІ довіряє чат-ботам те, що приховує від рідних раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Valve розсилає покупцям обладнання Steam у Європі повідомлення про витік персональних даних. Причина — кібератака на CEVA Logistics, логістичного підрядника, який доставляє європейським клієнтам Steam Deck, Steam Machine та Steam Controller. Під загрозою опинилися імена, адреси доставки, номери телефонів і електронні скриньки; платіжні дані, паролі та коди Steam Guard не постраждали. Головним ризиком для постраждалих залишається цільовий фішинг.

Що сталося

За даними повідомлень, які Valve надіслала клієнтам, зловмисники мали доступ до систем CEVA Logistics у період з 29 липня до 1 серпня 2026 року. Компанія дізналася про ймовірну компрометацію даних користувачів Steam 7 серпня, а розсилку попереджень розпочала 10 серпня. Копії листа опублікували самі отримувачі на тематичних майданчиках.

CEVA Logistics отримує від Steam обмежений набір даних, потрібних для доставки фізичних пристроїв європейським покупцям. Саме ці відомості, за словами підрядника, і потрапили до рук зловмисників. Оскільки логістична компанія зберігає їх до 90 днів після оформлення замовлення, Valve розіслала попередження всім клієнтам, які потенційно могли постраждати, — точну кількість не розкрито.

Які дані опинилися під загрозою

До набору скомпрометованої інформації входять:

• імʼя та прізвище отримувача
• адреса доставки, поштовий індекс, місто й країна
• номер телефону
• адреса електронної пошти, привʼязана до облікового запису Steam
• тип і вартість замовленого обладнання

Водночас Valve наголошує, що дані самого облікового запису Steam та історія інших покупок не постраждали: CEVA Logistics не має доступу до платіжної інформації, паролів, кодів Steam Guard чи інших чутливих відомостей. Змінювати пароль або налаштування акаунта користувачам не потрібно.

Головний ризик — цільовий фішинг

Компанія окремо попереджає, що викрадені дані з високою ймовірністю використають для шахрайських розсилок. Постраждалі можуть отримувати листи, SMS або дзвінки нібито від Steam, Valve чи служби доставки, у яких згадуватиметься реальне замовлення. Щоб виглядати переконливо, зловмисники можуть назвати справжню адресу доставки.

Типові сценарії, про які йдеться в попередженні Valve: прохання підтвердити доставку, вимога сплатити невелике «мито» чи «збір за повторну доставку», а також пропозиція авторизуватися на сторонньому сайті, щоб «підтвердити» замовлення. Усі такі звернення слід вважати підробленими.

Valve також нагадує три постійні орієнтири: підтримка Steam працює виключно через help.steampowered.com і ніколи не звертається до користувачів електронною поштою, у Steam Chat чи Discord; легітимні сторінки сервісу існують лише на доменах store.steampowered.com, www.steampowered.com, steamcommunity.com та help.steampowered.com; ні підтримка Steam, ні служби доставки ніколи не запитують пароль або код Steam Guard.

Інцидент вийшов далеко за межі Steam

Valve — не єдиний і не перший клієнт CEVA Logistics, який повідомив про наслідки атаки. Компанія підтвердила, що 1 серпня поінформувала постраждалих замовників про кіберінцидент, який зачепив частину її європейських операцій контрактної логістики. За заявою CEVA, операційний вплив обмежений вісьмома складами, інші системи компанії у світі не постраждали, а розслідування триває за участі зовнішніх фахівців.

Нідерландський онлайн-рітейлер bol повідомив, що сторонні особи отримали доступ до систем і даних його логістичного партнера, і подав відповідне повідомлення до Управління із захисту персональних даних Нідерландів. Про компрометацію даних клієнтів також заявили універмаг De Bijenkorf, футбольний клуб «Аякс», банк ING та мережа оптики Ace & Tate — усі вони користуються послугами CEVA для обробки та доставки замовлень.

За даними галузевого видання FreightWaves, атака порушила роботу вісьмох європейських складів ще у вихідні наприкінці липня та спричинила затримки відвантажень для рітейл-клієнтів. Розслідуванням, окрім самих компаній, займаються нідерландський регулятор із захисту даних і правоохоронні органи.

CEVA Logistics — повністю дочірня структура французької групи CMA CGM, третьої за величиною контейнерної судноплавної компанії світу. За корпоративними даними групи, CEVA керує близько 1000 складів і у 2025 році обробила 15 мільйонів відправлень; її річний дохід за 2025 рік становив 18,3 млрд доларів.

Що робити тим, хто отримав повідомлення

• Не переходити за посиланнями з листів, SMS чи месенджерів, які стосуються доставки обладнання Steam, навіть якщо в них правильно вказано адресу або модель пристрою.
• Перевіряти статус замовлення лише через обліковий запис Steam, вводячи адресу сайту вручну.
• Ігнорувати будь-які вимоги доплатити мито, збір за повторну доставку чи «розмитнення» — легітимні перевізники не збирають такі платежі за посиланням із листа.
• Ніколи не повідомляти пароль і код Steam Guard — їх не запитує ані підтримка Steam, ані курʼєрські служби.
• Увімкнути двофакторну автентифікацію Steam Guard у мобільному застосунку Steam, якщо її ще не активовано.
• Бути уважними до дзвінків від «служби доставки»: голосовий фішинг із посиланням на реальні деталі замовлення — типове продовження таких витоків.

Чому це важливо

Інцидент у CEVA Logistics — черговий приклад того, як персональні дані клієнтів витікають не через зламану платформу, а через її підрядника. Користувач не має жодного впливу на рівень захисту логістичного оператора, але саме його адреса, телефон і поштова скринька опиняються в чужих руках. Для покупця це означає, що навіть бездоганна гігієна власного облікового запису не убезпечує від наслідків, а єдиною реальною лінією захисту залишається скепсис щодо будь-яких повідомлень про доставку.

Транспортна й логістична галузь останніми роками стала регулярною мішенню кіберзлочинців: одні угруповання полюють на персональні дані для подальшого шахрайства, інші — на можливість втрутитися в рух вантажів. Витік у CEVA поєднує обидві складові: паралельно з компрометацією даних компанія повідомила про порушення роботи складів і затримки відвантажень.

Ця стаття Витік даних у CEVA Logistics: Valve попереджає європейських покупців обладнання Steam раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Наприкінці липня 2026 року сотні розмов користувачів із чат-ботом Claude виявилися доступними в результатах пошуку Google — разом із застосунками й документами, створеними всередині сервісу. Серед оприлюдненого — медичні документи, внутрішні корпоративні файли, запит юриста про порушення професійної етики та ключі від криптогаманця. Компанія Anthropic усунула технічну причину протягом двох діб, однак посилання, які вже встигли розійтися, залишаються робочими, а частину розмов уже зберегли сторонні особи.

Як виявили проблему

25 липня користувач Reddit опублікував у спільноті r/ClaudeAI спосіб, який не потребував жодних технічних навичок: пошуковий оператор site:claude.ai/share показував у Google сторінку за сторінкою чужих розмов із чат-ботом. Тема швидко зібрала близько чотирьох тисяч голосів. Першим про витік повідомило видання 404 Media.

Ідеться не про всі розмови з Claude. За замовчуванням чати приватні — у пошук потрапили лише ті, для яких користувач сам створив публічне посилання через функцію «Поділитися». Те саме стосується артефактів: інтерактивних мініпрограм, дашбордів і документів, які Claude генерує в окремій панелі поруч із чатом. Посилання не дають доступу до облікового запису чи до решти розмов — лише до знімка конкретного чату на момент публікації.

Що знайшли у відкритих чатах

Видання Futurism повідомило, що серед проіндексованих сторінок трапилися детальний медичний звіт реального пацієнта, результати клінічних досліджень з іменами учасників, документи з іменами та номерами телефонів дітей молодшого шкільного віку, корпоративні файли з позначкою «лише для внутрішнього використання», а також оцінювання працівників із персональними даними.

Видання Decrypt окремо описало seed-фразу криптогаманця у відкритому вигляді (той, хто нею володіє, контролює всі кошти), дані, схожі на номери соціального страхування, та запит юриста про те, чи зобовʼязаний він самостійно повідомити про порушення професійної етики. Пошук за оператором site:claude.ai/public/artifacts показував зарплатні відомості з іменами співробітників, експорти листування з CRM-систем та неоприлюднені дорожні карти продуктів.

Оцінити масштаб точно неможливо: жодне з видань не називає перевіреної кількості постраждалих розмов, а Anthropic не публікувала власних цифр.

Чому robots.txt не врятував ситуацію

Технічна причина — відсутність метатега noindex на сторінках спільного доступу. Anthropic покладалася на файл robots.txt, який забороняв пошуковим роботам сканувати ці адреси. Але заборона сканування не дорівнює забороні індексації: якщо посилання зустрічається деінде в мережі — на форумі, у дописі в соцмережі чи в робочому чаті, — пошукова система дізнається про існування сторінки й може додати її до індексу. Робот при цьому не може відкрити сторінку, а отже, не бачить інструкцію noindex усередині неї. Саме тому частина результатів у Google зʼявлялася з позначкою про відсутність опису сторінки.

Це принципова відмінність від ситуації з ChatGPT торік, де сторінки ставали публічними через окремий перемикач в інтерфейсі. Тут користувач нічого зайвого не вмикав — механізм захисту просто був неповним.

Що кажуть Anthropic і Google

Речниця Anthropic Емі Ротергем у коментарі TechCrunch заявила, що компанія не передає пошуковим системам каталоги чатів чи карти сайту, а посилання для спільного доступу неможливо вгадати — вони стають доступними лише тоді, коли користувач публікує їх самостійно. Оприлюднений у такий спосіб контент, за словами компанії, є публічним і, як і будь-який інший вміст мережі, може бути заархівований сторонніми сервісами. Фактично Anthropic поклала відповідальність на користувачів.

Речник Google Нед Едріенс зазначив, що ані Google, ані інші пошукові системи не визначають, які сторінки стають публічними, і що ці адреси були проіндексовані багатьма пошуковиками. Власники сайтів, за його словами, мають прямі інструменти для керування скануванням та індексацією.

Це вже третій подібний випадок у галузі за рік

У вересні 2025 року Forbes повідомляв про майже ідентичну історію: сотні транскриптів Claude потрапили в пошук, і Google оцінив кількість проіндексованих розмов приблизно у 600. Тоді Anthropic також посилалася на robots.txt.

Раніше, у липні 2025 року, OpenAI прибрала функцію, яка робила чати ChatGPT доступними для пошуку, — за даними 404 Media, у відкритому доступі опинилося близько 100 тисяч розмов. У серпні того ж року Forbes виявив сотні тисяч проіндексованих чатів Grok від xAI. Те, що три компанії незалежно припустилися однієї й тієї самої помилки, свідчить про системну проблему в тому, як індустрія проєктує функцію «поділитися».

Зникнення з пошуку не означає зникнення з мережі

Google почав прибирати результати вже 26 липня, після того як Anthropic оновила конфігурацію та додала теги noindex. Проте на момент публікації матеріалів частина посилань усе ще знаходилася через інші пошукові системи, а видання Fortune зафіксувало, що раніше оприлюднені чати залишалися відкритими для будь-кого, хто вже мав адресу.

Головний наслідок деіндексації — вона не видаляє копії. За даними Decrypt, у публічному репозиторії на GitHub уже збережено 453 розмови Claude та 519 чатів Grok — загалом 11 241 повідомлення у вигляді звичайного тексту. Скасування доступу до посилання зупиняє нові перегляди, але не стирає те, що вже скопійовано.

Як перевірити власні чати Claude і скасувати спільний доступ

Anthropic описує процедуру у довідці. Порядок дій для облікових записів на тарифах Free, Pro та Max такий:

1. Відкрити Claude і перейти до розділу Settings («Налаштування»).
2. Вибрати вкладку Privacy («Приватність»).
3. Натиснути Manage («Керувати») навпроти пункту Shared chats. Відкриється список усіх раніше оприлюднених розмов із назвою, датою публікації та посиланням на кожну.
4. Окремо перевірити перелік Shared artifacts — артефакти публікуються за власними адресами й у списку чатів не відображаються.
5. Переглянути кожен запис і позначити ті, що містять імена, адреси, контакти, реквізити доступу, клієнтські дані, медичну або юридичну інформацію, а також код, права на який належать роботодавцю.

Щоб закрити доступ до конкретної розмови:

1. Відкрити потрібний чат і натиснути кнопку Share у верхньому правому куті.
2. У випадному списку видимості змінити значення Public на Private — пряме посилання перестане працювати.

Важливо: видалення самої розмови з історії не скасовує раніше створене посилання. Це найпоширеніше непорозуміння — саме через нього під загрозою залишаються навіть ті, хто вже почистив історію чатів. Користувачі тарифів Team та Enterprise публічних посилань не створюють: у цих планах ділитися чатами можна лише з учасниками власної організації.

Що варто врахувати перед натисканням кнопки «Поділитися»

• Посилання спільного доступу — це публічна вебсторінка, а не приватне повідомлення. Напис «будь-хто з посиланням» слід читати буквально.
• Просте правило перевірки: якби цей текст був написаний на звороті поштової листівки, чи прийнятно було б, щоб його прочитали сторонні? Якщо ні — ділитися не варто.
• Файли, завантажені в чат, у знімок спільного доступу не потрапляють і залишаються приватними. Але цитати з цих файлів у відповідях Claude — потрапляють.
• Сирі дані, отримані через MCP-інтеграції, у спільному знімку приховані — видно лише підсумкову відповідь.
• Реквізити доступу, seed-фрази, паролі й ключі API не варто вводити в чат-бот узагалі — незалежно від того, планується публікація чи ні. Якщо такі дані вже були у відкритій розмові, їх потрібно негайно змінити або відкликати.
• Для безпечнішого обміну варто використовувати альтернативи публічним посиланням: експорт у файл і передавання через захищений канал або пересилання скриншотів лише потрібного фрагмента. Про підходи до приватності в ШІ-асистентах CyberCalm писав окремо.

Часті запитання

Чи означає це, що всі мої розмови з Claude бачили сторонні?

Ні. Витік стосувався виключно чатів та артефактів, для яких користувач власноруч створив публічне посилання. Приватні розмови залишалися недоступними, а самі посилання не давали доступу до облікового запису.

Чи можна дізнатися, чи потрапив мій чат у пошук?

Прямого інструмента для цього немає. Непрямий спосіб — переглянути список Shared chats у налаштуваннях приватності: якщо публічних посилань там немає, немає й що індексувати. Якщо посилання є, варто вважати, що вміст міг бути прочитаний сторонніми.

Чи достатньо перевести чат у режим Private?

Це зупиняє нові перегляди, але не видаляє копії, які вже могли зберегти пошукові кеші, вебархіви або сторонні особи. Якщо в розмові були реквізити доступу, їх потрібно змінити.

Чи безпечніші в цьому сенсі інші чат-боти?

Ні. Протягом 2025–2026 років у той самий сценарій потрапили ChatGPT, Grok і двічі Claude. Механізм публічного посилання створює однакові ризики в усіх сервісах.

Що робити, якщо в чаті були робочі дані компанії?

Скасувати доступ до посилання та повідомити відповідального за інформаційну безпеку — розголошення внутрішніх документів може мати наслідки і для роботодавця, і для працівника. Про ризики, повʼязані з роботою Claude з корпоративними файлами, CyberCalm повідомляв раніше.

Ця стаття Чати з Claude потрапили в пошук Google: що сталося і як закрити доступ до власних розмов раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Мегавитоки паролів перестали бути сенсацією — вони стали буденністю. У червні 2026 року дослідники знайшли у відкритому доступі базу на 24 мільярди записів із паролями у відкритому вигляді — одну з найбільших, які взагалі бачили. Навіть якщо ваше імʼя ніде публічно не «світилося», старий пароль міг давно осісти в одній із таких баз, і саме це робить його небезпечним. Нижче — як перевірити, чи витекли ваші дані, і що зробити, щоб захистити акаунти.

Мегавитоки стали регулярними

У червні 2026 року дослідники Cybernews виявили у відкритому доступі кластер Elasticsearch на 24 мільярди записів і понад 8,3 ТБ даних — одну з найбільших баз облікових даних, які взагалі бачили. Переважна більшість — це логи шкідливого ПЗ-викрадача (infostealer): логіни, паролі у відкритому вигляді й адреси сервісів, до яких вони відкривають доступ. Дані зібрані з 36 джерел, серед них — десятки Telegram-каналів, присвячених торгівлі краденими обліковими записами. Базу вже закрили, але паролі, що повторюються, досі наражають акаунти на ризик.

Це не поодинокий випадок, а закономірність. У січні 2026 року той самий колектив знайшов кластер на 8,73 мільярда записів про громадян і компанії Китаю — з національними ID, адресами й паролями у відкритому вигляді; виявив його український дослідник Боб Дяченко. А ще раніше, у червні 2025 року, Cybernews повідомив про 16 мільярдів облікових даних у 30 наборах — теж переважно з логів infostealer-ів.

Планку до того задавали інші збірки: «матір усіх витоків» (MOAB) у січні 2024 року з понад 26 мільярдів записів і файл rockyou2024.txt із майже 10 мільярдами паролів відкритим текстом.

Висновок простий: витоки такого масштабу тепер зʼявляються кожні кілька місяців, і питання не в тому, чи потрапить ваш пароль до однієї з баз, а в тому, коли це станеться — якщо ще не сталося.

Чому це загрожує саме вам

Головна небезпека — не сам факт витоку, а звичка повторно використовувати паролі. Маючи готовий список логінів і паролів, зловмисники запускають атаки з підстановкою облікових даних (credential stuffing): автоматично підставляють вкрадену пару «пошта + пароль» на сотнях інших сайтів. Якщо ви використали один і той самий пароль у пошті, банку й маркетплейсі, компрометація одного сервісу відчиняє двері до решти.

Окрема загроза — згадані infostealer-и. Вони крадуть не лише паролі, а й активні сесійні куки та токени. Це означає, що в частині випадків зловмисник може зайти в акаунт, обійшовши навіть двофакторну автентифікацію, бо система вважає його вже авторизованим користувачем.

Як перевірити, чи витік ваш пароль

Перш ніж щось міняти, варто дізнатися, чи фігурують ваші дані у відомих витоках. Для цього є кілька безкоштовних і надійних інструментів:

• Have I Been Pwned— найвідоміший сервіс перевірки. Введіть свою електронну адресу, і він покаже, у яких витоках вона фігурувала. Окремий розділ Pwned Passwords дозволяє перевірити конкретний пароль.
• Cybernews Personal Data Leak Checker— перевіряє адресу за базами, які акумулює команда Cybernews. Дані, що ви вводите, хешуються, і для пошуку використовується лише хеш.

Якщо користуєтеся менеджером паролів або вбудованими сховищами Google чи Apple, вони, найімовірніше, вже мають функцію моніторингу й самі попередять, якщо якийсь із ваших паролів засвітився у витоку.

Що зробити прямо зараз

Якщо перевірка показала, що ваші дані скомпрометовано (а в масштабах останніх витоків це досить імовірно), виконайте кілька кроків:

1. Змініть паролі там, де вони повторюються. Почніть із найважливішого — електронної пошти, до якої привʼязані інші акаунти, банківських застосунків і основних соцмереж.
2. Зробіть кожен пароль унікальним. Один сервіс — один пароль. Тримати десятки складних комбінацій у голові нереально, тому скористайтеся менеджером паролів (наприклад, Bitwarden, 1Password або KeePassXC) чи вбудованим у браузер сховищем.
3. Переходьте на ключі доступу (passkeys), де це можливо. Це безпарольний спосіб входу, який неможливо «злити» у вигляді тексту й важко підробити. Після витоку 2025 року на passkeys прямо перейти радила Google; цю технологію підтримують також Apple і Microsoft.
4. Увімкніть двофакторну автентифікацію. Краще через застосунок-автентифікатор або апаратний ключ, а не через SMS — коди в повідомленнях легше перехопити.
5. Будьте насторожі щодо фішингу. Після великих витоків зростає кількість цільових листів і повідомлень. Не переходьте за підозрілими посиланнями й не вводьте паролі на сторінках, на які потрапили з листа, навіть якщо лист виглядає офіційно.

Як захиститися надовго

Разові зміни паролів допомагають загасити конкретну пожежу, але стійкий захист — це звички:

• Використовуйте менеджер паролів як основне сховище й генератор довгих випадкових паролів. Для самого менеджера задайте окремий надійний пароль, який ніде більше не застосовуєте.
• Поступово замінюйте паролі на ключі доступу скрізь, де сервіс це підтримує.
• Не завантажуйте зламані програми, «активатори» й сумнівні застосунки — саме так на пристрої найчастіше потрапляють infostealer-и, що крадуть збережені паролі та сесії.
• Тримайте систему й антивірусний захист оновленими, а пристрої — «чистими». Витоки на кшталт мегабаз 2025–2026 років значною мірою живляться саме зараженими компʼютерами звичайних користувачів.

Поширені запитання

Чи означає витік, що мій акаунт уже зламали?

Ні. Поява пароля у витоку означає лише, що він потенційно відомий зловмисникам. Реальна загроза виникає, якщо ви використовуєте цей пароль і досі та ще й повторюєте його на інших сайтах. Тому ключове — оперативно змінити такий пароль і зробити його унікальним.

Чи захищає двофакторна автентифікація від таких витоків?

Здебільшого так, і вмикати її варто обовʼязково. Але це не абсолютний захист: шкідливе ПЗ-викрадач може красти активні сесійні куки, що дозволяють у частині випадків обійти другий фактор. Тому 2FA варто поєднувати з унікальними паролями й переходом на ключі доступу.

Що таке passkey і чи варто переходити?

Passkey (ключ доступу) — це спосіб входу без пароля, привʼязаний до вашого пристрою й захищений біометрією або PIN-кодом. Його не можна «злити» текстом, як звичайний пароль, і набагато важче підробити фішингом. Для критично важливих акаунтів перехід на passkeys — один із найкращих кроків, які можна зробити вже зараз.

Як часто треба міняти паролі?

Регулярна примусова зміна «про всяк випадок» уже не вважається обовʼязковою. Сучасна рекомендація — змінювати пароль тоді, коли є привід: він засвітився у витоку, ви підозрюєте компрометацію або повторно використовували його деінде. Набагато важливіше, щоб кожен пароль був довгим і унікальним.

Ця стаття Що робити, якщо ваш пароль потрапив у відкриту базу даних раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Чеський автовиробник Škoda Auto, який належить німецькій групі Volkswagen, повідомив про витік персональних даних клієнтів унаслідок кібератаки на свій онлайн-магазин. Зловмисники використали вразливість у стандартному програмному забезпеченні платформи електронної комерції та отримали тимчасовий доступ до системи. Серед скомпрометованих даних — імена, адреси, контактна інформація, номери телефонів, відомості про замовлення та облікові дані для входу.

Škoda Auto — одна з найстаріших автомобільних марок у світі, заснована 130 років тому у чеському місті Млада-Болеслав. Компанія входить до групи Volkswagen і за підсумками 2025 року встановила історичний рекорд: дохід групи Škoda Auto сягнув 30,1 млрд євро, операційний прибуток — 2,5 млрд євро, а клієнтам по всьому світу було поставлено понад 1 мільйон автомобілів. Škoda вперше за кілька років увійшла до трійки найбільш продаваних автомобільних брендів у Європі.

Як стався інцидент

Згідно з офіційним повідомленням Škoda Auto Deutschland, технічний моніторинг безпеки виявив, що сторонні особи проникли до системи інтернет-магазину, скориставшись вразливістю в стандартному програмному забезпеченні платформи. Після виявлення інциденту компанія негайно вжила контрзаходів: онлайн-магазин Škoda було превентивно відключено від мережі, щоб запобігти подальшому несанкціонованому доступу.

«У межах нашого технічного моніторингу безпеки ми встановили, що неуповноважені особи скористалися вразливістю у стандартному програмному забезпеченні нашого онлайн-магазину. Це дало їм змогу тимчасово отримати несанкціонований доступ до системи магазину», — йдеться у заяві Škoda. Виявлену вразливість усунули, а інцидент передали спеціалізованій команді з ІТ-форензики для технічного аналізу. Про подію також було повідомлено компетентний наглядовий орган із захисту персональних даних.

Які дані опинились під загрозою

За результатами технічного аналізу, ініціатори загрози могли отримати доступ до таких категорій персональних даних клієнтів:

• імена та поштові адреси;
• контактні дані, зокрема адреси електронної пошти;
• номери телефонів;
• інформацію про замовлення;
• облікові дані для входу — електронну адресу та пароль, що зберігається у вигляді криптографічного хешу.

Škoda окремо підкреслює, що повні дані банківських карток у системі магазину не зберігаються — їх обробляють виключно сторонні платіжні провайдери. За наявною інформацією, прямого доступу до повних реквізитів кредитних карток зловмисники не отримали.

Компанія також зазначає, що через особливості наявних журналів подій неможливо в усіх деталях встановити, чи були дані фактично скопійовані та в якому обсязі. Конкретних свідчень про зловживання даними клієнтів наразі немає, проте, оскільки повністю виключити доступ не можна, Škoda попереджає користувачів превентивно — щоб вони могли вжити власних заходів захисту.

Чим це загрожує клієнтам

Škoda застерігає постраждалих про два основні ризики. Перший — цільові фішингові кампанії. Маючи доступ до інформації про реальні замовлення та контактних даних, ініціатори загроз можуть надсилати правдоподібні листи, SMS чи телефонувати, видаючи себе за представників Škoda або служби підтримки магазину.

Другий ризик — спроби входу до інших онлайн-сервісів із використанням викрадених пар «логін-пароль». Хоча паролі зберігалися у хешованому вигляді, у разі повторного використання тих самих облікових даних на інших сайтах ризик компрометації акаунтів зростає.

«Найближчими тижнями просимо вас бути особливо пильними щодо листів, SMS або телефонних дзвінків, у яких ідеться про ваші відносини зі Škoda або замовлення в онлайн-магазині, особливо якщо вас просять ввести облікові дані, повідомити конфіденційну інформацію чи перейти за посиланнями», — наголошують у компанії. Škoda також рекомендує перевіряти банківські виписки й рахунки за кредитними картками та невідкладно повідомляти банк або платіжного провайдера у разі підозрілих операцій.

Що робити користувачам Škoda

На підставі рекомендацій компанії та стандартних практик кібергігієни, постраждалим клієнтам Škoda варто:

• негайно змінити пароль до облікового запису в онлайн-магазині Škoda;
• замінити паролі на всіх інших сервісах, де використовувалися ті самі або схожі облікові дані;
• увімкнути двофакторну автентифікацію скрізь, де це можливо;
• використовувати унікальні складні паролі для кожного сервісу — у цьому допоможе менеджер паролів;
• не переходити за посиланнями з листів і повідомлень, навіть якщо вони здаються правдоподібними; для зв’язку з компанією використовувати лише офіційні канали;
• не відкривати вкладення з підозрілих листів;
• моніторити виписки за банківськими картками та оперативно реагувати на будь-які незвичні транзакції.

Кібератаки на автовиробників: тенденція року

Інцидент зі Škoda стає черговою ланкою в серії атак на світову автомобільну індустрію. У жовтні 2025 року про витік даних британських клієнтів повідомили Renault і Dacia — у руки зловмисників потрапили імена, адреси, ідентифікаційні та реєстраційні номери транспортних засобів.

Місяцем раніше масштабної кібератаки зазнав британський концерн Jaguar Land Rover. Інцидент призвів до зупинки виробничих і роздрібних операцій, спричинив падіння оптових продажів на 43% у третьому кварталі та обійшовся компанії у понад 220 мільйонів доларів прямих збитків.

Кількість підтверджених атак на автовиробників за останні півтора року свідчить про те, що автомобільна галузь стала пріоритетною мішенню для кіберзлочинців. Це пов’язано як з обсягом персональних і фінансових даних клієнтів, так і з критичною залежністю автомобільного виробництва від цифрових ланцюгів постачання.

Škoda не уточнює точну кількість постраждалих клієнтів і не коментує, чи зв’язувалися із компанією зловмисники з вимогою викупу. Питання залишається відкритим — як і повноцінні висновки ІТ-форензики, які мають з’явитися пізніше.

Ця стаття Škoda підтвердила витік даних клієнтів після зламу онлайн-магазину раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня