Как проверить, что ваш пароль уже украден

01.09.2026 · 3 мин чтения

Пароль может быть длинным, случайным и использоваться только на одном сайте, и всё равно оказаться скомпрометированным, если утёк сам сервис, а не пароль был угадан. Проверить это можно, и для этого не нужно доверять свой пароль постороннему сервису целиком.

Откуда вообще берутся базы утечек

Когда сайт взламывают, у злоумышленников на руках оказывается вся его база пользователей, обычно вместе с паролями, реже в открытом виде, чаще в виде хэшей, которые затем перебирают офлайн. Эти базы расходятся по теневым форумам, объединяются друг с другом и в итоге агрегируются в сервисах вроде Have I Been Pwned, крупнейшей открытой базе скомпрометированных учётных данных, которая сейчас включает миллиарды записей из тысяч утечек. Задача такого сервиса не в том, чтобы хранить чьи-то секреты, а в том, чтобы дать любому проверить, «засветился» ли конкретный пароль хоть в одной из известных утечек.

Проблема наивной проверки: отправка пароля на сторону

Самый прямой способ проверки: ввести пароль на сайте сервиса утечек и посмотреть на ответ. Проблема очевидна: вы отправляете свой действующий пароль третьей стороне, чтобы узнать, безопасен ли он. Даже если конкретный сервис добросовестный, привычка вводить пароли куда попало ради проверки, это ровно то поведение, которое приводит к новым утечкам.

Как это делают правильно: k-anonymity

Have I Been Pwned предлагает API, которое решает эту проблему математически, а не обещанием «мы не сохраняем ваши данные». Пароль на вашей стороне превращается в хэш SHA-1, необратимое преобразование, из которого нельзя восстановить исходный пароль. На сервер уходят не все 40 символов этого хэша, а только первые пять. В ответ сервис присылает не «да» или «нет», а список всех окончаний хэшей, которые начинаются с этих пяти символов, обычно несколько сотен вариантов. Сравнение оставшейся части хэша со списком происходит уже локально, на вашей стороне. Сервер в этой схеме физически не может узнать, какой именно пароль вы проверяли: он видит только префикс, общий для сотен разных паролей одновременно. Это и называется k-anonymity: анонимность внутри группы, а не за счёт доверия.

Как это устроено в Сэйфком

Именно эта схема встроена в проверку паролей Сэйфком: при просмотре записи рядом с полем пароля показывается бейдж, который сообщает, встречался ли этот пароль в известных утечках, без отправки самого пароля куда-либо. Расчёт хэша и сравнение происходят в браузере, сервер Have I Been Pwned получает только пятисимвольный префикс, а сервер Сэйфком вообще не участвует в этой проверке: он, как и всегда в zero-knowledge архитектуре, не видит расшифрованный пароль ни на одном из этапов.

Что делать, если пароль оказался в утечке

Попадание в базу утечек не означает, что именно ваш аккаунт уже взломан. Это означает, что комбинация символов, которую вы используете, где-то раньше встречалась в скомпрометированной базе, и теперь входит в списки, которые перебирают автоматически. Если пароль уникальный и использовался только на одном сайте, риск ограничен этим сайтом. Если тот же пароль стоит ещё где-то, стоит заменить его везде, начиная с самых чувствительных сервисов: почты, банка, самого менеджера паролей. Уникальный пароль на каждый сайт: самая простая защита от того, чтобы одна старая утечка превращалась в цепочку новых взломов.