Зламаний акаунт у соцмережі рідко цікавить зловмисників сам по собі. Він потрібен як інструмент: від імені власника розсилають прохання «позичити до завтра», фішингові посилання та шкідливі файли, а довіра друзів і підписників робить такі розсилки ефективними.
Типовий приклад задокументувала кіберполіція у 2022 році. Зловмисник із Сумщини купував у тематичних каналах скомпрометовані дані від поштових скриньок, через них відновлював доступ до профілів у соцмережах і писав друзям власників із проханням про позику. За попередніми даними, він отримав доступ до 30 акаунтів і ошукав щонайменше 50 людей приблизно на 200 тисяч гривень.
Ця історія добре показує головне: захист акаунта в соцмережі починається не з налаштувань самої соцмережі, а з пошти, номера телефону і звички не використовувати один пароль усюди.
Як зловмисники отримують доступ до акаунтів
Способів небагато, і більшість із них не потребує особливої технічної майстерності.
- Повторно використані паролі. Після витоку з будь-якого сайту пари «логін — пароль» потрапляють у зведені бази, які автоматично перевіряють на інших сервісах (так званий credential stuffing). За даними дослідників Verizon, у користувачів, чиї пристрої заразило шкідливе ПЗ для крадіжки паролів, у медіанному випадку лише 49% паролів до різних сервісів були унікальними. Решта повторювалися — і один викрадений пароль відкривав кілька акаунтів.
- Фішингові сторінки входу. Посилання на копію сторінки входу приходить у листі, особистому повідомленні чи коментарі — часто під приводом «порушення авторських прав», «блокування сторінки» або «верифікації». Введені там логін і пароль одразу потрапляють до зловмисника.
- Виманювання кодів підтвердження. «Знайомий» просить переслати код, який «випадково прийшов на ваш номер», «служба підтримки» телефонує і просить продиктувати цифри, «голосування за племінницю» вимагає підтвердити номер. Насправді це код входу або відновлення акаунта.
- Шкідливе ПЗ для крадіжки даних (інфостілери). Такі програми забирають із браузера збережені паролі й файли cookie активних сесій. Викрадена сесія дає змогу увійти в акаунт без пароля і без другого фактора.
- Захоплення пошти або номера. Отримавши доступ до поштової скриньки чи перевипустивши SIM-картку на себе (SIM-своп), зловмисник просто «відновлює» пароль від соцмережі легальним механізмом сервісу.
Чекліст захисту акаунта
1. Спершу — пошта і номер телефону
Поштова скринька, привʼязана до соцмережі, — це фактично майстер-ключ: хто контролює її, той може скинути пароль. Тому пошту варто захищати найнадійніше з усіх акаунтів: унікальний пароль, двофакторна автентифікація, регулярна перевірка правил пересилання листів. Зловмисники, які отримали доступ до скриньки, іноді налаштовують непомітне пересилання копій листів на свою адресу — і продовжують отримувати коди відновлення навіть після зміни пароля.
Для соцмереж зручно мати окрему адресу пошти, яка ніде не публікується. Щодо номера телефону варто уточнити в оператора, які додаткові перевірки передбачено на випадок заміни SIM-картки, і не вказувати цей номер у відкритому профілі.
2. Унікальний пароль для кожної соцмережі
Пароль від соцмережі не має повторюватися більше ніде. X, наприклад, у своїй довідці з безпеки радить пароль щонайменше з 10 символів і прямо застерігає від повторного використання. Запамʼятати десятки різних паролів неможливо, тому практичне рішення — менеджер паролів, який генерує і зберігає їх.
Перевірити, чи не потрапляла адреса пошти у відомі витоки, можна в сервісі Have I Been Pwned. Якщо потрапляла — пароль до кожного сервісу, де використовувалася ця адреса з тим самим паролем, варто змінити.
3. Двофакторна автентифікація — і правильний другий фактор
Двофакторна автентифікація (2FA) означає, що для входу, крім пароля, потрібне ще одне підтвердження. Кіберполіція називає її обовʼязковою поряд з унікальними паролями. Але способи другого фактора не рівноцінні:
- SMS-код — краще, ніж нічого, проте він залежить від SIM-картки і його легко виманити телефоном.
- Застосунок-автентифікатор генерує одноразові коди на самому пристрої і не залежить від оператора звʼязку.
- Ключ доступу (passkey) або апаратний ключ безпеки — найстійкіші до фішингу, бо привʼязані до справжнього домену сервісу і не спрацюють на підробленій сторінці.
Facebook та Instagram, за інформацією Meta, приймають як другий фактор код із телефона або із застосунку-автентифікатора. X пропонує три способи: SMS, застосунок-автентифікатор і апаратний ключ безпеки. Детальніше про налаштування на різних сервісах — у посібнику з двофакторної автентифікації.
4. Ключі доступу там, де вони вже є
Ключ доступу замінює введення пароля розблокуванням смартфона — відбитком пальця, обличчям або PIN-кодом. Meta у червні 2025 року почала запроваджувати ключі доступу для Facebook у мобільних застосунках, а з вересня — для Messenger. Компанія наголошує, що сам ключ і біометричні дані зберігаються на пристрої і не передаються Meta.
У квітні 2026 року Meta оголосила про поступову заміну «Центру облікових записів» (Accounts Center) на єдиний Meta Account: оновлення триватиме впродовж року, а ключі доступу з ним працюють і в Instagram. У Meta Account централізовано керуються пароль, двофакторна автентифікація та адреса пошти для Facebook, Instagram, Messenger і Threads. Ключі доступу підтримує також Telegram — інструкція з налаштування є на CyberCalm.
Важливе застереження: навіть після створення ключа доступу пароль у Meta лишається альтернативним способом входу. Отже, слабкий пароль усе одно залишається лазівкою — ключ доступу доповнює, а не скасовує попередні кроки.
5. Резервні коди — не в галереї телефона
Під час налаштування 2FA сервіси видають одноразові резервні коди — X, зокрема, радить їх зберегти на випадок втрати телефона чи зміни номера. Зберігати їх варто не в галереї смартфона, який можна втратити разом із кодами, а в менеджері паролів або в роздрукованому вигляді вдома.
6. Активні сесії та підключені застосунки
Раз на кілька місяців корисно переглядати список пристроїв, з яких виконано вхід, і завершувати незнайомі сесії. Так само варто переглядати сторонні застосунки й сайти, яким надано доступ до акаунта. X рекомендує надавати такий доступ лише через механізм OAuth і ніколи не повідомляти логін і пароль стороннім сервісам — особливо тим, що обіцяють підписників, заробіток або верифікацію.
7. Сповіщення про входи та перевірка безпеки
Сповіщення про вхід із нового пристрою дають змогу помітити злам у перші хвилини. X надсилає такі сповіщення в застосунку або на пошту, а про зміну адреси пошти — ще й на попередню адресу. У Facebook та Instagram є оновлена функція перевірки безпеки (Security Checkup), яка показує вразливі налаштування.
8. Коди й паролі — нікому
X прямо зазначає, що ніколи не просить пароль у листі, особистому повідомленні чи відповіді. Те саме стосується кодів підтвердження на будь-якій платформі: код потрібен лише для введення на офіційному сайті чи в застосунку. Будь-яке прохання його переслати — від «друга», «підтримки» чи «банку» — ознака атаки.
9. Посилання і «листи від підтримки»
Перед введенням логіна варто перевірити адресу сторінки в рядку браузера. Скорочені посилання на кшталт bit.ly чи TinyURL, як нагадує X, приховують справжню адресу призначення. Найнадійніша звичка — не переходити за посиланнями з повідомлень про «блокування» чи «порушення», а відкривати застосунок або вводити адресу вручну.
Сучасні фішингові сторінки здатні перехоплювати навіть одноразовий код 2FA в реальному часі — саме тому ключі доступу, привʼязані до справжнього домену, дають кращий захист.
10. Менше публічних даних
Дата народження, номер телефону, кличка домашнього улюбленця, школа чи місце роботи в профілі допомагають вгадувати відповіді на контрольні запитання і будувати правдоподібні сценарії соціальної інженерії. Номер телефону й пошту краще приховати з профілю, а список друзів — обмежити.
Інструкції для окремих платформ
Покрокові інструкції для конкретних сервісів CyberCalm публікує окремо: двофакторна автентифікація у Facebook, захист акаунта TikTok, двоетапна перевірка у WhatsApp, Telegram, Signal, Viber і Messenger.
Що робити, якщо акаунт уже зламали
Платформи поступово спрощують відновлення: за даними Meta, за рік кількість нових зламів акаунтів Facebook та Instagram у світі зменшилася більш ніж на 30%, а процедуру повернення доступу перебудували. Але швидкість реакції власника все одно вирішальна.
- Врятувати пошту. Змінити пароль до поштової скриньки з пристрою, якому є довіра, завершити всі сторонні сесії, перевірити правила пересилання листів і резервні контакти.
- Спробувати стандартне скидання пароля. Якщо зловмисник уже змінив пошту, варто пошукати в старій скриньці лист про зміну адреси: сервіси часто надсилають його на попередню адресу з можливістю скасувати зміну.
- Скористатися офіційними сторінками відновлення: facebook.com/hacked для Facebook, instagram.com/hacked для Instagram, довідка про скомпрометований акаунт для X. Meta додала можливість підтвердити особу відеоселфі — опційно.
- Попередити друзів іншим каналом: не переказувати гроші й не відкривати посилання з повідомлень від імені зламаного акаунта.
- Після повернення доступу — новий унікальний пароль, 2FA, перевірка активних сесій, підключених застосунків і контактних даних. Паролі на інших сервісах, де використовувався той самий, теж змінити.
- Якщо є фінансові збитки чи шантаж — звернутися до кіберполіції через офіційну форму.
«Сервіси відновлення», які пропонують свої послуги в коментарях чи особистих повідомленнях після публікації про злам, — поширена шахрайська схема. Офіційні платформи за відновлення акаунтів не беруть оплати через посередників.
Поширені запитання
Чи достатньо SMS-коду як другого фактора?
SMS-код значно краще, ніж відсутність 2FA, але це найслабший варіант: його можна виманити або перехопити через SIM-своп. Там, де сервіс дозволяє, варто обрати застосунок-автентифікатор або ключ доступу.
Чи можна повністю відмовитися від пароля, якщо налаштовано ключ доступу?
Здебільшого ні. Наприклад, у Facebook пароль лишається доступним як альтернативний спосіб входу, тому він має залишатися довгим і унікальним.
Чи безпечно входити на сторонні сайти через «Увійти з Facebook» або «Увійти з Google»?
Це зручно й позбавляє необхідності створювати новий пароль, але робить головний акаунт ще ціннішим для зловмисника: злам одного відкриває доступ до всіх підключених сервісів. Список таких сервісів варто періодично переглядати й відключати непотрібні.
